Weaponization ist die Phase, in der ein Angreifer sein Angriffsmittel vorbereitet – etwa ein präpariertes Dokument oder eine täuschend echte Anmeldeseite – bevor er es dem Ziel zustellt.
Weaponization (Bewaffnung) ist die zweite Phase der Cyber Kill Chain. Nachdem der Angreifer sein Ziel aufgeklärt hat, bereitet er in dieser Phase das Angriffsmittel vor: Er kombiniert einen Payload mit einem Trägerformat und einer Täuschung, die genau auf das Ziel zugeschnitten ist. Das Ergebnis ist etwas, das für den Empfänger glaubwürdig wirkt – ein Bewerbungsschreiben, eine Rechnung, eine Einladung zur Sitzung – und zugleich den Angriff transportiert.
Weaponization findet vollständig in der Infrastruktur des Angreifers statt, nicht beim Ziel. Deshalb ist sie für Verteidiger praktisch unsichtbar; erkennbar wird der Angriff erst bei der Zustellung. Umso wichtiger ist, die Qualität der Vorbereitung zu verstehen, um die spätere Täuschung einzuordnen.
Was in dieser Phase geschieht
- Zielgenauer Vorwand: Aus der Reconnaissance und OSINT weiß der Angreifer, welches Thema, welcher Absender und welcher Anlass beim Empfänger Vertrauen erzeugen. Je besser die Vorinformation, desto überzeugender die Täuschung – die Grundlage von Spear Phishing.
- Trägerformat wählen: Dokument, Link, Archiv oder Anmeldeseite – abhängig davon, was im Zielumfeld üblich ist und welche Schutzmaßnahmen umgangen werden müssen.
- Infrastruktur aufbauen: Der Angreifer registriert Domänen, die echten ähneln, bereitet Server für die Steuerung vor und richtet alles so ein, dass es legitim erscheint.
- Tarnung gegen Erkennung: Das Mittel wird so gestaltet, dass Mail-Filter und Schutzsoftware es möglichst nicht als schädlich einstufen.
Im Red Teaming bildet unser Team diese Phase kontrolliert nach, um realistische Szenarien zu erzeugen – stets innerhalb der Rules of Engagement und ohne Täuschungen, die etwa Notfälle oder Gesundheit vortäuschen.
Bedeutung für Unternehmen
Die Qualität der Weaponization erklärt, warum gute Phishing-Angriffe so schwer zu erkennen sind. Standard-Phishing ist an schlechter Sprache und offensichtlichen Absendern erkennbar; gezielte Angriffe nach gründlicher Aufklärung sind es nicht. Laut Mandiant M-Trends 2026 war Vishing – telefonische Täuschung – mit 11 Prozent der zweithäufigste Erstzugriff, E-Mail-Phishing mit 6 Prozent. Beide beruhen auf sorgfältiger Vorbereitung.
Für Unternehmen folgt daraus, dass Erkennung nicht erst beim Menschen ansetzen darf. Da das Angriffsmittel selbst unsichtbar vorbereitet wird, zählen die nachgelagerten Schichten: Prüfung von Absenderdomänen, Erkennung neu registrierter Domänen, technische Mail-Authentifizierung und die Fähigkeit, verdächtiges Verhalten nach einem Klick zu bemerken.
Praxis-Hinweise
- Richten Sie Mail-Authentifizierung (SPF, DKIM, DMARC) konsequent ein; sie erschwert die Fälschung Ihrer eigenen Absenderadressen.
- Überwachen Sie Registrierungen von Domänen, die Ihrer Marke ähneln, und lassen Sie sie bei Missbrauch sperren.
- Trainieren Sie Mitarbeitende mit realistischen, gut vorbereiteten Simulationen statt mit offensichtlichen Beispielen – nur so lernt man gezielte Angriffe zu erkennen.
- Planen Sie für den Fall, dass die Täuschung gelingt: Entscheidend ist, ob Sie den Angriff nach dem Klick bemerken und stoppen.