Spear-Phishing ist gezieltes Phishing gegen ausgewählte Personen oder Rollen, bei dem Angreifer recherchierte Details nutzen, damit die Nachricht glaubwürdig und persönlich wirkt.
Spear-Phishing ist die gezielte Variante des Phishings. Statt tausende identische Mails zu verschicken, nimmt der Angreifer eine Handvoll Personen ins Visier – etwa die Buchhaltung, einen Administrator oder die Assistenz der Geschäftsführung – und passt die Nachricht an deren Arbeitsalltag an. Der Speer trifft, wo das Netz nur streift: Die Mail bezieht sich auf ein laufendes Projekt, einen echten Lieferanten oder eine Veranstaltung, auf der die Zielperson tatsächlich war. Richtet sich der Angriff gegen Vorstand oder Geschäftsführung, spricht man auch von Whaling.
Die Grundlage dafür liefert OSINT, also die Auswertung öffentlich verfügbarer Informationen: Karriereprofile, Pressemitteilungen, Stellenanzeigen mit Technologie-Stack, Vortragsfolien und Social-Media-Beiträge. MITRE ATT&CK führt Spear-Phishing unter T1566 mit den Unter-Techniken Anhang (T1566.001), Link (T1566.002) und Nachricht über Dienste wie LinkedIn (T1566.003). Es ist die bevorzugte Einstiegsmethode staatsnaher Gruppen (APT) und professioneller Ransomware-Akteure.
So funktioniert es
Ein typischer Spear-Phishing-Angriff folgt einem Drehbuch:
- Aufklärung: Wer arbeitet in welcher Rolle, wer vertritt wen, welche Tools sind im Einsatz, welche Formulierungen nutzt das Unternehmen in seiner Außenkommunikation?
- Vorwand: Ein glaubwürdiges Szenario (Pretexting), etwa eine Rechnungskorrektur vom bekannten Lieferanten oder eine Bewerbung auf eine tatsächlich ausgeschriebene Stelle.
- Infrastruktur: Eine Domain, die der echten zum Verwechseln ähnlich sieht, ein Postfach mit passender Signatur, eine Anmeldeseite mit dem Firmenlogo.
- Zustellung und Nachfassen: Häufig geht der Mail ein Anruf oder eine zweite Nachricht voraus, die den Kontakt „legitimiert“ – der Übergang zu Vishing ist fließend.
Weil die Nachricht individuell ist, greifen signaturbasierte Filter oft nicht: Es gibt keine bekannte Kampagne, keine Massenaussendung, keine auffällige URL-Liste.
Bedeutung für Unternehmen
Spear-Phishing trifft gezielt die Personen mit den wertvollsten Rechten: Administratoren, Zahlungsfreigeber, Personalverantwortliche. Ein erfolgreicher Angriff liefert nicht irgendein Konto, sondern genau das, das der Angreifer für sein Ziel braucht. Typische Fehler auf Unternehmensseite sind zu viele öffentlich einsehbare Details über Organisation und Technik, fehlende Prüfprozesse bei Zahlungs- und Stammdatenänderungen sowie Awareness-Programme, die nur mit plumpen Massen-Mails üben.
In unseren Red-Team-Einsätzen entwickeln wir Spear-Phishing-Szenarien auf Basis der gleichen Aufklärung, die ein echter Angreifer betreiben würde. Das Ergebnis zeigt nicht nur, wer klickt, sondern welche Informationen über das Unternehmen den Angriff überhaupt erst ermöglicht haben – und ob die Folgeschritte erkannt werden.
Schutz und Prüfung
- Angriffsfläche „Mensch“ kennen: Regelmäßig prüfen, welche Informationen über Rollen, Prozesse und Technik öffentlich auffindbar sind, und bewusst entscheiden, was davon nötig ist.
- Prozesse härten: Vier-Augen-Prinzip und Rückruf über bekannte Nummern bei Zahlungs- und Kontodatenänderungen, unabhängig davon, wie glaubwürdig die Mail wirkt.
- Phishing-resistente MFA und Conditional Access: Auch erbeutete Zugangsdaten dürfen keinen Zugang ergeben.
- Externe Kennzeichnung und Lookalike-Monitoring: Mails von außen markieren, neu registrierte Domains mit Ähnlichkeit zur eigenen überwachen.
- Realistisch üben: Zielgruppenspezifische Simulationen statt Einheitsmails – wie das rechtssicher gelingt, beschreibt unser Ratgeber zur Phishing-Simulation.