Spear-Phishing ist eine gezielte Form des Phishing: Statt Massen-Mails an Millionen Empfänger richtet sich die Attacke an eine einzelne Person oder ein bestimmtes Unternehmen. Der Angreifer recherchiert vorab – oft über soziale Netzwerke, LinkedIn, Firmenwebseiten oder frühere Datenlecks – und baut die Nachricht so persönlich, dass sie kaum von echter Kommunikation zu unterscheiden ist.
So läuft ein Angriff ab
Die Vorbereitung ist aufwendiger als beim Massen-Phishing: Der Täter sammelt Informationen über Namen, Position, Projekte, Kollegen und typische Kommunikationspartner des Opfers. Daraus entsteht eine individuell zugeschnittene E-Mail, die zum Beispiel einen Anhang mit einer Rechnung, ein Dokument zur Gehaltsabrechnung oder einen Link zu einem täuschend echten Anmeldeportal enthält. Der Absender wird oft gefälscht (Spoofing) oder ein kompromittiertes Konto eines echten Kollegen genutzt.
Whaling und CEO-Fraud
Besonders gefährliche Varianten zielen auf Führungskräfte: Whaling meint Spear-Phishing gegen Vorstände und Geschäftsführer, CEO-Fraud (auch Business E-Mail Compromise, BEC) die Täuschung von Mitarbeitern durch eine vorgetäuschte Anweisung der Cheftetage – etwa eine dringende Überweisung. Das FBI meldete für 2024 allein durch BEC Schäden von umgerechnet rund 2,7 Milliarden US-Dollar.
Erkennen und Schützen
- Ungewöhnliche Zahlungs- oder Überweisungsaufforderungen immer über einen zweiten Kanal (Telefon, persönlich) verifizieren – niemals direkt per Antwort-Mail.
- Absenderadressen genau prüfen: Ähnliche Domains wie firma-support.com statt firma.com sind ein Alarmzeichen.
- Technische Absicherung: E-Mail-Authentifizierung mit SPF, DKIM und DMARC, Filter für Anhänge und Links sowie Multi-Faktor-Authentifizierung für alle wichtigen Konten.
- Sensibilisierung: Gerade personalisierte Angriffe erkennen geschulte Mitarbeiter eher als Laien – simulierte Spear-Phishing-Übungen helfen.
Spear-Phishing ist die Einstiegsdroge vieler schwerer Angriffe: Einmal geknackte Zugangsdaten führen zu Banking-Trojanern, Ransomware oder Wirtschaftsspionage. Verwandte Kanäle derselben Familie sind Vishing (Telefon) und Smishing (SMS).