Spear Phishing: Warum die Mail vom Chef so echt aussieht — und woran Sie sie trotzdem erkennen

Inhalt in Kürze

• Spear Phishing zielt auf bestimmte Personen statt auf die Masse. Die Angreifer recherchieren vorher — Position, Projekte, Lieferanten — und schneiden die E-Mail darauf zu.
• Die klassischen Warnzeichen greifen nicht: keine Rechtschreibfehler, korrekte Anrede, plausibler Anlass. Das BSI beschreibt Mail und gefälschte Website als „zumeist sorgfältig nachgeahmt”.
• Der gefährlichste Fall ist die Mail vom echten Konto eines Geschäftspartners, das vorher übernommen wurde. Technisch gibt es daran nichts zu beanstanden.
• Was hilft, sind drei Dinge gleichzeitig: phishing-resistente Anmeldung, ein Vier-Augen-Prozess für Zahlungen — und regelmäßige Übung, die die Melderate misst, nicht nur die Klickrate.

Die meisten Beschäftigten haben gelernt, worauf sie bei Phishing achten sollen: schlechtes Deutsch, „Sehr geehrter Kunde”, eine Absenderadresse, die bei genauem Hinsehen nicht stimmt. Bei Spear Phishing hilft dieses Wissen wenig. Denn hier stimmt alles — die Anrede, der Anlass, oft sogar der Absender.

Was ist Spear Phishing?

Spear Phishing ist ein gezielter Phishing-Angriff auf bestimmte Personen. Der Name kommt vom Speerfischen: Es wird nicht das Netz ausgeworfen, sondern auf ein einzelnes Ziel gezielt.

Der Unterschied zum Massen-Phishing liegt in der Vorbereitung. Cyberkriminelle sammeln vorab, was öffentlich über das Unternehmen und seine Mitarbeiter zu finden ist: Wer arbeitet in der Buchhaltung? Wer ist gerade im Urlaub? Welche Lieferanten werden auf der Website genannt? Welche Projekte laufen? Das steht in Stellenanzeigen, auf LinkedIn, im Impressum, in Pressemitteilungen.

Aus diesen Bausteinen entsteht eine E-Mail, die zu dem passt, was die Zielperson gerade ohnehin erwartet. Genau das macht Spear-Phishing-Angriffe so wirksam. Das BKA veröffentlicht die Entwicklung jährlich im Bundeslagebild Cybercrime.

Spear Phishing, Whaling und CEO-Fraud — die Abgrenzung

Die Begriffe überschneiden sich, meinen aber Unterschiedliches:

Alle vier gehören zum Social Engineering: Angegriffen wird nicht die Technik, sondern das Vertrauen. Wie stark das inzwischen mit synthetischen Stimmen und Videos kombiniert wird, steht in unserem Beitrag zu Deepfakes und CEO-Fraud.

Warum der Spamfilter hier nicht rettet

Ein Spamfilter sucht nach Mustern: Massenversand an viele Empfänger, bekannte bösartige Domains, schädliche Anhänge, Links auf Blocklisten. Eine einzelne, sauber formulierte Mail an eine Person hat davon nichts.

Das BSI führt Spear-Phishing deshalb getrennt auf: Es „richtet sich gezielt gegen bestimmte Firmen oder Organisationen” — und ist damit ein anderer Angriffstyp als die Massensendung, nicht bloß deren aufwendigere Variante.

Der unangenehmste Fall geht noch weiter. Wenn Angreifer zuerst das Postfach eines Geschäftspartners übernehmen und von dort schreiben, ist der Absender echt, die Domain korrekt, SPF und DKIM stimmen. Die Mail hängt sich sogar an einen laufenden Schriftwechsel an.

„Unsere interessanteste Datenpanne war ein Dienstleister mit nur 15 Mitarbeitern, bei dem der Geschäftsführer eine E-Mail von einem Geschäftspartner bekam. Die E-Mail kam wirklich von diesem Geschäftspartner – trotzdem war es ein Angriff.”

— Nils Oehmichen, TÜV-zertifizierter Datenschutzberater bei frag.hugo

Wer in so einem Fall auf technische Erkennung wartet, wartet vergeblich. Übrig bleibt der Mensch, der stutzig wird — und ein Prozess, der ihn absichert.

Woran Sie eine Spear-Phishing-E-Mail erkennen

Vergessen Sie Rechtschreibfehler. Die vier Signale, die verlässlich funktionieren, haben mit dem Anliegen zu tun, nicht mit der Form:

1. Dringlichkeit ohne Not: Eine Frist, die keinen sachlichen Grund hat. „Heute noch", „vor Feierabend", „bevor ich ins Flugzeug steige". Zeitdruck soll das Nachdenken abkürzen.
2. Bitte um Vertraulichkeit: „Bitte sprechen Sie mit niemandem darüber" ist in einem legitimen Geschäftsvorgang beinahe nie nötig — in einem Angriff dagegen zwingend, weil eine Rückfrage ihn auffliegen ließe.
3. Wechsel des Kanals oder des Wegs: Die Rechnung kommt plötzlich als privater Anhang statt über das Portal. Die Bankverbindung hat sich „kurzfristig geändert". Die Antwort soll an eine andere Adresse gehen.
4. Anfrage nach Anmeldedaten oder Zahlung: Kennwörter, Anmeldeinformationen, eine Überweisung, ein Gutscheincode. Seriöse Absender fragen so etwas nicht per E-Mail ab — auch nicht der eigene Chef.

Was im Mittelstand wirklich hilft

Eine einzelne Maßnahme reicht nicht. Wirksam ist die Kombination aus dreien:

• Phishing-resistente Anmeldung. Wenn Anmeldedaten abfließen, entscheidet der zweite Faktor. SMS-Codes lassen sich abfangen; Passkeys und FIDO2-Schlüssel sind an die echte Domain gebunden und funktionieren auf einer gefälschten Seite schlicht nicht. Welche Verfahren wie sicher sind, ordnet unser Beitrag zur Multi-Faktor-Authentifizierung im Unternehmen ein.
• Ein Prozess, der nicht am Vertrauen hängt. Zahlungen über einem festen Betrag und jede Änderung von Bankdaten brauchen eine zweite Freigabe und eine Rückfrage über einen bekannten Kanal. Dieser Schritt kostet zwei Minuten und ist der Grund, warum CEO-Fraud in vielen Häusern nicht funktioniert.
• Übung statt Jahresschulung. Wissen, das einmal im Jahr vermittelt wird, ist im Ernstfall nicht abrufbar. Kurze, wiederholte Übung wirkt — und sie muss messen, wer eine verdächtige Mail meldet, nicht nur, wer klickt.

Der letzte Punkt ist der, der am häufigsten falsch aufgesetzt wird. Wer nur die Klickrate misst, erzeugt Angst und Schweigen. Wer die Melderate in den Mittelpunkt stellt, bekommt etwas, das im echten Angriff zählt: Menschen, die Alarm schlagen, statt den Vorfall zu verschweigen. Wie eine solche Phishing-Simulation abläuft — von der Zustellprüfung bis zum Nachweis für den Prüfer — haben wir ausführlich beschrieben.

Wenn es doch passiert ist

Ein Klick ist kein Weltuntergang, aber ein Wettlauf. Die ersten Minuten entscheiden:

1. Nicht löschen. Die Mail ist Beweismittel und hilft der IT, weitere Empfänger zu finden.
2. Kennwörter ändern — von einem anderen Gerät aus, nicht von dem betroffenen.
3. Aktive Sitzungen beenden. Wer nur das Kennwort ändert, wirft einen Angreifer mit gültigem Sitzungs-Token nicht hinaus.
4. Melden, sofort. Intern an die IT, und bei Verdacht auf abgeflossene personenbezogene Daten läuft die 72-Stunden-Frist nach Art. 33 DSGVO. Was in den ersten Stunden zu tun ist, steht Schritt für Schritt in Phishing-Mail geöffnet — was jetzt zu tun ist.

Der vierte Punkt ist der schwierigste — nicht technisch, sondern kulturell. In Häusern, in denen ein Klick Ärger bedeutet, wird geschwiegen. Und Schweigen kostet genau die Stunden, die man gebraucht hätte.

Häufige Fragen zu Spear Phishing

Was ist Spear Phishing? Ein gezielter Phishing-Angriff auf bestimmte Personen oder eine kleine Gruppe. Die Angreifer recherchieren ihr Opfer vorher — Name, Position, Projekte, Lieferanten — und schneiden die Spear-Phishing-E-Mail darauf zu. Deshalb wirkt sie glaubwürdig.

Was ist der Unterschied zwischen Phishing und Spear Phishing? Phishing geht als Massensendung an Tausende und hofft auf eine kleine Quote. Spear Phishing richtet sich an wenige, sorgfältig ausgewählte Zielpersonen. Whaling ist die Sonderform, die auf hochrangige Führungskräfte zielt.

Woran erkenne ich eine Spear-Phishing-E-Mail? Nicht an Rechtschreibfehlern. Verlässlicher sind vier Signale: künstliche Dringlichkeit, die Bitte um Vertraulichkeit, ein Wechsel des üblichen Wegs und eine Anfrage nach Zahlung oder Anmeldedaten. Im Zweifel über eine bekannte Nummer zurückrufen.

Warum funktioniert Spear Phishing trotz Spamfilter? Eine einzelne, sauber geschriebene Mail an eine Person enthält keine der Massenversand-Muster, auf die Filter reagieren. Kommt sie vom echten, zuvor übernommenen Konto eines Geschäftspartners, ist technisch nichts zu beanstanden.

Was hilft gegen Spear Phishing im Mittelstand? Phishing-resistente Anmeldung mit Passkeys, ein Vier-Augen-Prozess für Zahlungen und Bankdatenänderungen sowie regelmäßige Übung, die die Melderate misst — nicht nur die Klickrate.