Was ist das?
„Spear Phishing“ (auf Deutsch: Speer-Fischen) ist eine hochentwickelte, zielgerichtete Variante des klassischen Phishings. Während normales Phishing mit breiten Massen-E-Mails arbeitet, gleicht Spear Phishing einem gezielten Angriff mit einer Jagdwaffe.
Die Angreifer nehmen im Vorfeld eine bestimmte Person, Abteilung oder ein konkretes Unternehmen ins Visier. Die gefälschten Nachrichten sind so präzise auf das Opfer zugeschnitten, dass sie auf den ersten Blick unmöglich als Betrug zu erkennen sind.
Wie funktioniert das?
Die Analogie
Man kann sich Spear Phishing wie einen maßgeschneiderten Trickbetrug im echten Leben vorstellen:
- Die Ausspähung (Die Vorarbeit): Die Täter recherchieren im Vorfeld umfassend über ihr Opfer. Sie nutzen öffentlich zugängliche Informationen aus sozialen Netzwerken, Business-Plattformen oder von der Firmen-Webseite. Sie bringen in Erfahrung, wer der Chef ist, welche Projekte aktuell laufen und mit welchen Dienstleistern zusammengearbeitet wird.
- Die perfekte Tarnung: Der Betrüger taucht nun nicht in einer allgemeinen Verkleidung auf, sondern gibt sich exakt als eine Person aus, die Sie gut kennen – zum Beispiel als Ihr direkter Vorgesetzter, ein langjähriger Kollege oder ein vertrauter Lieferant.
- Das falsche Vertrauen: Sie erhalten eine Nachricht, die Ihren echten Namen, korrekte Projektdetails und den typischen Sprachstil Ihres Kollegen enthält. Weil alles perfekt plausibel klingt, schöpfen Sie keinen Verdacht und kommen der Aufforderung nach, eine vermeintlich wichtige Datei zu öffnen oder Zugangsdaten zu bestätigen.
Aus der Praxis
Im Unternehmen
Ein Mitarbeiter in der Buchhaltung erhält eine E-Mail vom langjährigen Steuerberatungsbüro der Firma. Der Absendername stimmt, und der Text nimmt Bezug auf den realen Jahresabschluss der letzten Woche. Im Anhang befindet sich ein Dokument, das angeblich korrigiert werden muss. In Wahrheit wurde die Absenderadresse minimal manipuliert, und das Dokument enthält Schadsoftware, die beim Öffnen das Firmennetzwerk infiziert.
Im Arbeitsalltag
Eine Assistentin erhält eine E-Mail vom Geschäftsführer, der sich gerade auf einer wichtigen Dienstreise befindet. Er bittet sie darin kurz angebunden, ein neues Dokument im internen System freizugeben und schickt einen Link zur Anmeldung mit. Da der Chef tatsächlich auf Reisen ist und der Schreibstil passt, meldet sich die Assistentin an – und übergibt die Zugangsdaten direkt an die Angreifer.
Warum ist das relevant?
Spear Phishing gehört zu den gefährlichsten Bedrohungen für die IT-Sicherheit von Organisationen. Da die Nachrichten keine typischen Rechtschreibfehler enthalten und hochgradig plausibel sind, versagen menschliche Instinkte besonders leicht.
Zudem scheitern rein technische Filter oft, weil die E-Mails keine bekannten schadhaften Links enthalten, sondern den Fokus rein auf die psychologische Täuschung des Opfers legen.
Ein einziger erfolgreicher Angriff kann ausreichen, um sensible Patente zu stehlen, Ransomware im Netzwerk zu aktivieren oder Millionenschäden zu verursachen.
Hinweis zu Schutz und Umgang im Alltag
Da Spear Phishing das Vertrauen in bekannte Personen ausnutzt, ist eine gesunde Skepsis bei ungewöhnlichen Prozessen der beste Schutz. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt klare Verhaltensregeln:
- Etablierung von Kontrollprozessen (Vier-Augen-Prinzip): Kritische Aktionen – wie das Ändern von Kontodaten, das Überweisen großer Summen oder das Herausgeben von Zugangsdaten – dürfen niemals rein auf Basis einer E-Mail oder Textnachricht durchgeführt werden.
- Den Kommunikationskanal wechseln (Gegenprüfung): Erhalten Sie eine dringende oder ungewöhnliche Aufforderung von einem Kollegen oder Vorgesetzten, greifen Sie zum Telefon oder fragen Sie persönlich nach. Nutzen Sie dafür nicht die Antwort-Funktion der E-Mail, sondern die Ihnen bekannten, internen Kontaktdaten.
- Sparsamkeit mit Daten im Netz: Je weniger Details über interne Strukturen, Zuständigkeiten und aktuelle Projekte auf Plattformen wie Xing, LinkedIn oder Facebook für jedermann sichtbar sind, desto schwerer haben es Angreifer, eine glaubwürdige Geschichte zu konstruieren.