Spear-Phishing

Der Begriff leitet sich vom englischen „spear“ (Speer) ab und beschreibt das gezielte Vorgehen: Während Massen-Phishing wie ein weit ausgeworfenes Netz funktioniert, trifft Spear-Phishing wie ein gezielter Speerwurf einen einzelnen Empfänger. Die Angreifer investieren bewusst mehr Aufwand, weil ein erfolgreicher Treffer bei einer gut gewählten Person – etwa in der Buchhaltung, der Geschäftsführung oder der IT – besonders wertvoll ist. Spear-Phishing zählt zu den Techniken des Social Engineering, da es nicht primär auf technische Lücken, sondern auf menschliches Vertrauen abzielt.

Anders als beim allgemeinen Phishing stellt die Nachricht beim Spear-Phishing keine Störung im Posteingang dar, sondern fügt sich nahtlos in den Arbeitsalltag ein. Sie greift einen plausiblen Vorgang auf – eine offene Rechnung, ein laufendes Projekt, eine Personalangelegenheit – und wirkt gerade deshalb unverdächtig. Je besser die Angreifer die internen Abläufe kennen, desto überzeugender gelingt die Täuschung. Für Unternehmen ist Spear-Phishing damit eine der größten Einfallstüren für Betrug, Datendiebstahl und Ransomware.

Spear-Phishing wirkt nicht über technische Schwachstellen, sondern über Menschen – und genau das macht es so wirksam. Die folgenden Kennzahlen aus anerkannten Branchenberichten zeigen, warum gezielte Angriffe auf Mitarbeitende ein zentrales Geschäftsrisiko sind:

Die Zahlen verdeutlichen ein Muster: Nicht die Firewall, sondern der Posteingang ist heute das häufigste Einfallstor. Weil Spear-Phishing gezielt auf Vertrauen setzt, lassen sich die Risiken nicht allein mit Software senken – entscheidend ist, wie sicher Mitarbeitende im Ernstfall reagieren.

So unterschiedlich die Vorwände sind, der Ablauf eines Spear-Phishing-Angriffs folgt fast immer demselben Muster. Wer die Phasen kennt, erkennt den Angriff eher, bevor er Schaden anrichtet:

1. 1Zielauswahl und Recherche: Die Angreifer bestimmen eine lohnende Person oder Rolle und tragen öffentlich verfügbare Informationen über sie und ihr Umfeld zusammen.
2. 2Vorwand und Köder: Sie wählen einen glaubwürdigen Anlass und einen passenden Absender – etwa eine vertraute Rolle, einen Lieferanten oder einen bekannten Kontakt.
3. 3Kontaktaufnahme: Die personalisierte Nachricht erreicht das Opfer, knüpft an reale Bezüge an und baut gezielt Vertrauen auf.
4. 4Druckaufbau: Mit Dringlichkeit, Vertraulichkeit oder Autorität wird das Opfer zu einer schnellen, unkritischen Handlung gedrängt.
5. 5Ausführung: Das Opfer gibt Daten preis, öffnet einen präparierten Anhang oder leitet eine Zahlung an ein falsches Konto.
6. 6Ausnutzung und Verschleierung: Die Täter nutzen Zugänge oder Beute, bewegen sich teils unbemerkt weiter im Netzwerk und verwischen ihre Spuren.

Spear-Phishing lässt sich am besten anhand allgemeiner Muster beschreiben – ohne nachstellbare Vorlagen. Typisch ist etwa eine Nachricht, die scheinbar von einem bekannten Kollegen stammt und um eine kurzfristige, vertrauliche Unterstützung bittet. Oder eine E-Mail, die scheinbar von einem vertrauten Lieferanten kommt und auf eine angeblich geänderte Bankverbindung hinweist. Ebenso denkbar ist eine Anfrage, die scheinbar von der Geschäftsführung ausgeht und eine eilige Freigabe verlangt. Allen Beispielen gemeinsam ist, dass sie an echte Bezüge anknüpfen, inhaltlich plausibel wirken und gezielt eine schnelle, unkritische Reaktion auslösen sollen.

Ein einzelnes Werkzeug stoppt Spear-Phishing nicht zuverlässig. Wirksamer Schutz entsteht erst im Zusammenspiel dreier Ebenen, die sich gegenseitig absichern:

Technik bildet die erste Hürde. E-Mail-Authentifizierung über SPF, DKIM und DMARC erschwert das Fälschen von Absendern, Zwei-Faktor-Authentifizierung entwertet gestohlene Passwörter, und moderne Filter sortieren viele Angriffe aus. Doch Nachrichten ohne Schadlink oder aus gekaperten echten Konten passieren diese Schicht oft unbemerkt.

Der Mensch ist deshalb die entscheidende Ebene. Mitarbeitende, die typische Muster kennen und im richtigen Moment innehalten, fangen genau die Angriffe ab, die durch den technischen Filter rutschen. Diese Reflexe entstehen nicht durch einmalige Belehrung, sondern durch wiederholtes, realistisches Training – etwa über ein Security-Awareness-Training und regelmäßige Phishing-Simulationen.

Prozesse schließlich sorgen dafür, dass ein einzelner Fehler nicht sofort zum Schaden führt. Klare Freigaberegeln, das Vier-Augen-Prinzip bei Zahlungen und ein eingespielter Meldeweg für verdächtige Nachrichten begrenzen den möglichen Schaden selbst dann, wenn eine Täuschung zunächst funktioniert. Für viele Organisationen sind solche Vorgaben inzwischen auch regulatorisch relevant, etwa im Rahmen von NIS-2. Die konkreten Maßnahmen im Überblick: