Spear Phishing: gezielte Angriffe erkennen und Ihr Unternehmen schützen

Spear Phishing ist ein gezielter Phishing-Angriff auf eine bestimmte Person, eine Abteilung oder ein Unternehmen. Anders als bei massenhaft verschickten Betrugsmails recherchieren Angreifer vorher Namen, Zuständigkeiten und Abläufe und schreiben eine Nachricht, die genau in den Arbeitsalltag der Empfängerin oder des Empfängers passt. Das macht Spear Phishing so erfolgreich und so schwer zu erkennen.

Dieser Beitrag erklärt, wie ein Angriff abläuft, welche Beispiele im Mittelstand typisch sind, an welchen 7 Warnsignalen Sie Spear Phishing erkennen und wie Sie Ihr Unternehmen mit Prozessen, Technik und Training schützen.

Was ist Spear Phishing?

Der Begriff kommt vom englischen „spear“ für Speer: Statt mit einem großen Netz möglichst viele Opfer zu fangen, zielen Angreifer auf eine einzelne Person. Spear Phishing ist damit eine Unterform des Phishings, bei der die Nachricht individuell zugeschnitten ist. Häufig ist sie nur der erste Schritt eines größeren Angriffs, etwa um Zugangsdaten zu erbeuten, Schadsoftware ins Netzwerk zu bringen oder eine Zahlung umzuleiten.

Ein Überblick über alle Varianten, von Smishing per SMS bis Quishing per QR-Code, steht im Beitrag zu den Phishing-Arten. Hier geht es um die gezielte Variante im Detail.

Wie läuft ein Spear-Phishing-Angriff ab?

Ein Spear-Phishing-Angriff folgt fast immer demselben Muster in vier Phasen:

1. Ziel auswählen: Angreifer suchen Personen mit Zugriff auf Geld, Daten oder Systeme, zum Beispiel in Buchhaltung, Personalabteilung, Einkauf oder IT.
2. Recherchieren: Aus Website, Karriereseite, LinkedIn, Handelsregister und Pressemitteilungen entsteht ein Bild von Namen, Zuständigkeiten, Lieferanten und laufenden Projekten.
3. Vertrauen aufbauen: Die Nachricht nutzt diese Details, kommt scheinbar von einer bekannten Person und hat einen plausiblen Anlass. Manchmal geht ein harmloser Erstkontakt voraus.
4. Handlung auslösen: Am Ende steht eine konkrete Bitte, etwa einen Anhang zu öffnen, sich anzumelden, Daten zu schicken oder eine Zahlung freizugeben.

Generative KI macht diese Angriffe günstiger: Texte in fehlerfreiem Deutsch und im passenden Tonfall lassen sich heute in Sekunden für viele Ziele gleichzeitig erstellen. Was früher Handarbeit war, wird damit skalierbar.

Spear Phishing, Phishing, Whaling und CEO Fraud im Vergleich

Die Begriffe werden oft durcheinander verwendet. Der Unterschied liegt vor allem darin, wer angegriffen wird und wie stark die Nachricht personalisiert ist:

Whaling und CEO Fraud sind damit Sonderformen des Spear Phishings. Allen gemeinsam ist die Vorab-Recherche über das Unternehmen.

Welche Spear-Phishing-Beispiele sind im Mittelstand typisch?

Die folgenden Szenarien zeigen, wie gezielt die Angriffe auf echte Abläufe zugeschnitten sind:

• Geänderte Bankverbindung: Die Buchhaltung erhält eine Mail im Namen eines bekannten Lieferanten mit dem Hinweis, die Bankverbindung habe sich geändert. Die nächste Rechnung geht auf das Konto der Angreifer.
• Bewerbung mit Anhang: Die Personalabteilung bekommt eine Bewerbung auf eine tatsächlich ausgeschriebene Stelle. Der Lebenslauf im Anhang enthält Schadsoftware.
• Angeblicher IT-Support: Beschäftigte erhalten eine Nachricht der „IT“ zur Umstellung auf ein neues Passwortsystem, mit Link zu einer täuschend echten Anmeldeseite.
• Projektbezug: Ein vermeintlicher Projektpartner schickt „die aktualisierten Unterlagen zum Meeting von Dienstag“ als geteilten Link. Den Termin kennen die Angreifer aus einem LinkedIn-Beitrag.
• Bekannte Kollegin, neuer Kanal: Eine Nachricht kommt scheinbar von einer Kollegin, die gerade auf Dienstreise ist, und bittet über die private Mailadresse dringend um eine Datei.

Wie erkennen Sie Spear Phishing? 7 Warnsignale

Bei Spear Phishing fehlen viele klassische Merkmale wie unpersönliche Anrede oder Rechtschreibfehler. Diese 7 Warnsignale sind deshalb wichtiger:

1. Abweichender Absender: Der Anzeigename stimmt, die Adresse dahinter nicht, oder die Domain ist minimal verändert.
2. Ungewöhnlicher Kanal: Eine bekannte Person schreibt plötzlich von einer privaten Adresse oder über einen Messenger.
3. Zeitdruck: Die Bitte soll sofort erledigt werden, oft kurz vor Feierabend, vor dem Wochenende oder während einer Abwesenheit.
4. Vertraulichkeit: Sie sollen niemanden einbeziehen oder den üblichen Weg bewusst umgehen.
5. Geänderte Zahlungsdaten: Bankverbindung, Empfänger oder Zahlungsweg sollen kurzfristig geändert werden.
6. Anmeldung oder Download: Ein Link führt zu einer Anmeldeseite oder einem Dokument, das Sie erst „freischalten“ müssen.
7. Stimmiger Anlass, falsches Detail: Der Inhalt passt zu Ihrem Alltag, aber ein Detail irritiert, etwa eine falsche Durchwahl, eine ungewohnte Grußformel oder ein Projektname in falscher Schreibweise.

Weitere allgemeine Merkmale betrügerischer Mails finden Sie im Beitrag Phishing erkennen.

Wie schützen Sie Ihr Unternehmen vor Spear Phishing?

Gegen gut recherchierte Angriffe reicht keine einzelne Maßnahme. Wirksam ist das Zusammenspiel aus Prozessen, Technik und Menschen:

Prozesse

• Rückrufregel: Änderungen von Bankverbindungen und ungewöhnliche Zahlungsanweisungen werden immer über eine bekannte Telefonnummer bestätigt, nie über die Kontaktdaten aus der Mail.
• Vier-Augen-Prinzip: Zahlungen ab einer festgelegten Höhe gibt eine zweite Person frei.
• Klarer Meldeweg: Alle wissen, wohin sie verdächtige Nachrichten melden, und eine Meldung hat keine negativen Folgen, auch nicht nach einem Klick.

Technik

• E-Mail-Authentifizierung: SPF, DKIM und DMARC erschweren es, Ihre eigene Domain zu fälschen.
• Mehr-Faktor-Authentifizierung: Erbeutete Passwörter allein reichen dann nicht für den Zugriff.
• Externe Mails kennzeichnen: Ein Hinweis bei Nachrichten von außen macht gefälschte interne Absender sichtbar.

Menschen

• Weniger Angriffsfläche: Prüfen Sie, welche Namen, Zuständigkeiten und Abläufe öffentlich sichtbar sein müssen.
• Regelmäßiges Training: Eine Phishing-Schulung vermittelt die Warnsignale, besonders für gefährdete Rollen in Buchhaltung, HR und Assistenz.
• Realistische Übungen: Eine Phishing-Simulation mit personalisierten Szenarien zeigt, ob das Wissen im Alltag ankommt.

Wie Sie diese Bausteine zu einem dauerhaften Programm verbinden, beschreibt der Beitrag zum Security Awareness Training.

Was tun, wenn jemand auf eine Spear-Phishing-Mail reagiert hat?

Schnelles Handeln begrenzt den Schaden. Diese Schritte sollten alle Beschäftigten kennen:

1. Sofort melden: IT oder die zuständige Stelle informieren, auch wenn noch nichts passiert zu sein scheint.
2. Passwort ändern: Wurden Zugangsdaten eingegeben, das Passwort sofort ändern und die IT prüfen lassen, ob es anderswo genutzt wird.
3. Gerät vom Netz nehmen: Wurde ein Anhang geöffnet, das Gerät nach Anweisung der IT vom Netzwerk trennen.
4. Zahlung stoppen: Wurde Geld überwiesen, sofort die Bank kontaktieren, um die Zahlung zurückzurufen.
5. Datenpanne prüfen: Sind personenbezogene Daten betroffen, muss das Unternehmen prüfen, ob eine Meldung an die Datenschutzaufsicht innerhalb von 72 Stunden nötig ist (Art. 33 DSGVO).

Mehr zur Vorgehensweise bei gezielten Angriffen auf Unternehmen bietet das BSI zum Thema Phishing.

Wie unterstützt reteach beim Schutz vor Spear Phishing?

reteach ist eine deutsche Lernplattform (LMS) für den Mittelstand in der DACH-Region. Unternehmen erstellen, automatisieren und dokumentieren damit Pflichtschulungen, Unterweisungen und Onboarding revisionssicher. Zum Angebot gehören das reteach LMS, über 500 anpassbare E-Learning-Kurse, 59 interaktive Kurse als SCORM-Paket für bestehende Lernplattformen sowie reteach Phishing Awareness für automatisierte Phishing-Simulationen.

reteach Phishing Awareness gibt es als eigenständige Komplettlösung und ebenso zusammen mit dem reteach LMS:

• Realistische Simulationen: Phishing-Mails im Rhythmus 14-tägig oder monatlich, auch mit gezielten Szenarien für einzelne Abteilungen.
• Aufklärungsseite im Klick-Moment: Wer klickt, erfährt sofort, woran die Mail zu erkennen gewesen wäre.
• Auswertung und Nachweis: Ergebnisse nach Abteilung zeigen, wo Training nötig ist, und liefern einen auditfähigen Nachweisbeitrag, etwa für NIS2 oder ISO 27001.
• Datenschutzfreundlich gestaltet: Die Auswertung ist auf das ausgerichtet, was für Training und Nachweis nötig ist.

Fazit: Gegen gezielte Angriffe hilft ein geübtes Team

Spear Phishing funktioniert, weil es echt wirkt. Persönliche Anrede, fehlerfreie Sprache und ein plausibler Anlass sind keine Beweise mehr für eine echte Mail. Schutz entsteht dort, wo klare Prozesse verdächtige Bitten abfangen, Technik das Fälschen erschwert und Beschäftigte die Warnsignale kennen und regelmäßig üben.

Die nächsten Schritte:

1. Rückrufregel und Vier-Augen-Prinzip für Zahlungen festlegen.
2. Meldeweg für verdächtige Mails einrichten und bekannt machen.
3. Gefährdete Rollen identifizieren und gezielt schulen.
4. Mit regelmäßigen Simulationen prüfen, ob das Wissen im Alltag ankommt.

Häufig gestellte Fragen