Eine Nachricht vom vermeintlichen Geschäftsführer, eine angebliche Sicherheitswarnung des E-Mail-Anbieters oder ein dringendes Update für den Heimrouter kann täuschend echt wirken. Genau solche personalisierten Täuschungen stehen im Mittelpunkt dieses Beitrags. Ich zeige konkrete Beispiele für Spear-Phishing, erkläre die psychologischen Tricks dahinter und beschreibe, woran sich ein Angriff erkennen lässt und was nach einem Klick zu tun ist.
Gezielte Phishing-Angriffe leben von persönlichen Details
- Personalisierung macht die Nachricht glaubwürdiger als eine gewöhnliche Massen-Mail.
- CEO-Fraud zielt häufig auf Überweisungen, Rechnungen oder vertrauliche Daten.
- Messenger, QR-Codes und Telefonanrufe werden ebenso genutzt wie E-Mails.
- Zeitdruck, ungewöhnliche Zahlungswege und vertrauliche Anweisungen sind wichtige Warnzeichen.
- Nach einem Klick zählen schnelle Passwortänderung, Kontosperre und Meldung an den Anbieter.
Woran man Spear-Phishing erkennt
Beim klassischen Phishing erhalten viele Menschen nahezu dieselbe Nachricht. Spear-Phishing richtet sich dagegen an eine bestimmte Person, Abteilung oder Organisation. Die Angreifer sammeln Informationen aus Unternehmenswebsites, sozialen Netzwerken, Datenleaks oder früheren E-Mail-Verläufen und bauen daraus eine passende Geschichte.
Der Absender kennt dann möglicherweise den Namen des Vorgesetzten, das aktuelle Projekt oder den Internetanbieter des Opfers. Das BSI beschreibt genau diese Kombination aus Recherche und personalisierter Ansprache als typisches Merkmal gezielter Phishing-Angriffe. Für mich ist das der wichtigste Unterschied zu einer offensichtlichen Spam-Mail: Die Nachricht wirkt nicht zufällig, sondern passend.
Das Ziel kann sehr unterschiedlich sein. Manchmal geht es um ein Passwort oder einen Einmalcode, manchmal um Schadsoftware, interne Dokumente oder eine Überweisung. Besonders gefährlich ist, dass ein Angriff oft mehrstufig abläuft. Ein gestohlenes E-Mail-Konto kann später genutzt werden, um weitere Nachrichten an Kollegen oder Geschäftspartner zu senden.
Vier typische Angriffe aus dem Alltag
1. Der angebliche Geschäftsführer
Ein Mitarbeiter aus der Buchhaltung erhält eine kurze Nachricht, die scheinbar vom Geschäftsführer stammt. Darin geht es um eine vertrauliche Firmenübernahme oder eine dringende Zahlung an einen neuen Geschäftspartner. Der Ton passt zur Führungskraft, die Signatur sieht korrekt aus und die Bitte soll nicht telefonisch besprochen werden.
Das ist ein klassischer Fake-President- oder CEO-Fraud-Angriff. Der Täter muss nicht zwingend das komplette Postfach übernehmen. Oft reicht eine ähnlich aussehende Absenderadresse oder ein bereits kompromittiertes Konto. Die wichtigste Lehre lautet hier, dass Vertraulichkeit niemals eine Kontrollregel ersetzen darf. Eine zweite Freigabe über einen bekannten Kommunikationsweg gehört bei ungewöhnlichen Überweisungen zum Standard.
2. Die manipulierte Lieferantenrechnung
Ein Unternehmen erhält eine E-Mail von einem bekannten Lieferanten. Die Nachricht bezieht sich auf eine echte Bestellung und enthält eine neue Bankverbindung. Der Angreifer hat zuvor den E-Mail-Verkehr ausgespäht oder ein Konto des Lieferanten übernommen. Dadurch wirkt die Änderung plausibler als eine frei erfundene Rechnung.
Der Schaden entsteht nicht unbedingt durch einen Klick. Schon die Änderung von Zahlungsdaten kann ausreichen. Ich würde Bankverbindungen deshalb nie allein per E-Mail bestätigen. Ein Rückruf über die bereits bekannte Telefonnummer des Lieferanten dauert wenige Minuten und verhindert im Zweifel eine hohe Fehlüberweisung.
3. Der gefälschte IT-Support
Eine Mitarbeiterin bekommt eine personalisierte Nachricht vom angeblichen Microsoft- oder Unternehmenssupport. Darin steht, dass ihr Konto wegen einer verdächtigen Anmeldung überprüft werden müsse. Ein Link führt zu einer täuschend echten Anmeldeseite, auf der Benutzername, Passwort und MFA-Code abgefragt werden.
Diese Variante zielt auf Zugangsdaten und Sitzungsinformationen. Eine aktivierte Zwei-Faktor-Authentifizierung hilft zwar, sie macht Phishing aber nicht automatisch wirkungslos. Gibt das Opfer einen aktuellen Bestätigungscode auf der gefälschten Seite ein, kann der Angreifer die Anmeldung unter Umständen direkt ausnutzen.
4. Das angebliche Router- oder DSL-Update
Auch Privathaushalte und Homeoffice-Arbeitsplätze sind attraktive Ziele. In einem fiktiven Szenario erhält ein Kunde eine Nachricht, die seinen Internetanbieter, den genutzten Router und einen bevorstehenden Leitungsausbau nennt. Für ein angebliches Firmware-Update soll er sich in einem Kundenportal anmelden oder eine Fernwartungssoftware installieren.
Die Nachricht wirkt besonders überzeugend, wenn sie tatsächlich zum Anschluss oder zur Region passt. Ein echter Anbieter fordert jedoch nicht per überraschendem Link zur Eingabe des Kundenpassworts auf. Bei Router- und DSL-Themen sollte man das Kundenportal manuell über die bekannte App oder Webadresse öffnen und dort nach einer Meldung suchen.
Warum moderne Angriffe nicht bei E-Mails enden
Messenger-Phishing mit falschem Sicherheitsteam
Ein aktuelles Muster gegen exponierte Personen funktioniert über Messenger. Betroffene erhalten eine Nachricht von einem angeblichen Sicherheits-Bot oder Support-Team. Sie sollen wegen verdächtiger Aktivitäten ihre PIN bestätigen oder einen QR-Code scannen. Dadurch kann ein Angreifer versuchen, das Konto mit einem fremden Gerät zu verknüpfen.
Deutsche Sicherheitsbehörden haben vor einer solchen Kampagne gegen Signal-Konten gewarnt. Der Fall zeigt eindrücklich, dass ein seriöser Messenger keine Garantie für einen sicheren Kommunikationspartner ist. Die Plattform kann geschützt sein, während der Nutzer durch eine überzeugende Nachricht zur Freigabe verleitet wird.
Vishing und gefälschte Stimmen
Beim Vishing findet der Angriff telefonisch statt. Der Anrufer gibt sich als Bankmitarbeiter, IT-Administrator oder Vorgesetzter aus und kennt bereits einige persönliche Details. Mit künstlich erzeugten Stimmen können solche Gespräche zusätzlich glaubwürdiger wirken.
Eine Stimme ist kein verlässlicher Identitätsnachweis. Bei Geldtransfers, Passwortänderungen oder Fernzugriffen sollte ich immer auflegen und selbst über eine unabhängig recherchierte Nummer zurückrufen. Das gilt auch dann, wenn der Anrufer den Namen, die Abteilung und den aktuellen Anlass korrekt kennt.
Lesen Sie auch: Social Phishing erkennen und nach Fehlklick richtig handeln
QR-Codes und Kalendereinladungen
Gezielte Angriffe können auch als scheinbar harmlose Kalendereinladung, Paketbenachrichtigung oder QR-Code auftreten. Der Code führt zu einer gefälschten Login-Seite, während der Termin im Kalender weniger verdächtig wirkt als eine klassische E-Mail.
Gerade auf dem Smartphone fällt die vollständige Webadresse oft nicht sofort auf. Ich öffne QR-Codes deshalb nur, wenn Herkunft und Anlass eindeutig sind. Ein QR-Code ist kein Vertrauenssignal, sondern lediglich ein anderer Weg zu einem Link.
Welche Warnzeichen in den Beispielen stecken
Ein einzelnes Merkmal beweist noch keinen Betrug. Mehrere Auffälligkeiten zusammen sollten jedoch eine Prüfung auslösen. Die folgende Übersicht hilft, typische Muster schneller einzuordnen.
| Warnzeichen | Was dahinterstecken kann | Sinnvolle Reaktion |
|---|---|---|
| Ungewöhnlicher Zeitdruck | Der Empfänger soll ohne Rückfrage handeln. | Vorgang stoppen und über einen zweiten Kanal prüfen. |
| Neue Bankverbindung | Rechnung oder Lieferantenkonto wurde manipuliert. | Bekannten Ansprechpartner zurückrufen. |
| Absenderadresse mit kleinem Unterschied | Lookalike-Domain oder gefälschtes Konto. | Adresse Zeichen für Zeichen kontrollieren. |
| Bitte um Passwort, PIN oder MFA-Code | Die Zugangsdaten sollen direkt abgegriffen werden. | Nichts eingeben und Portal manuell öffnen. |
| Ungewöhnlicher Dateianhang | Schadsoftware oder manipuliertes Dokument. | Anhang nicht öffnen und IT-Sicherheit informieren. |
| Geheimhaltung oder Umgehung von Regeln | Der Angreifer will Kontrollen ausschalten. | Freigabeprozess trotzdem einhalten. |
Viele Menschen achten zuerst auf Rechtschreibfehler. Das ist heute zu wenig. Dank professioneller Vorlagen und KI können Nachrichten sprachlich sauber formuliert sein. Aussagekräftiger sind die verlangte Handlung, der ungewöhnliche Kommunikationsweg und die Abweichung vom normalen Prozess.
Was nach einem Klick sofort zu tun ist
Ein Klick bedeutet nicht automatisch, dass ein Schaden entstanden ist. Entscheidend ist, was danach passiert ist. Wurde nur eine Seite geöffnet, sollte man sie schließen und das Gerät mit aktueller Sicherheitssoftware prüfen. Wurden Zugangsdaten eingegeben, muss das Passwort sofort über die echte Website geändert werden.
Bei einem geschäftlichen Konto sollte die IT-Abteilung den Zugang sperren, aktive Sitzungen beenden und Weiterleitungsregeln im Postfach kontrollieren. Wurde ein MFA-Code bestätigt, reicht eine Passwortänderung allein möglicherweise nicht aus. Alle aktiven Sitzungen und unbekannten Geräte müssen überprüft werden.
- Bei Bankdaten sofort die Bank über die offizielle Nummer kontaktieren.
- Bei einer bereits ausgeführten Überweisung die Bank umgehend über einen Rückruf stoppen lassen.
- Verdächtige Nachrichten nicht weiterleiten, sondern als Beweismittel sichern.
- Den Vorfall intern melden, auch wenn noch kein sichtbarer Schaden entstanden ist.
- Bei größeren Schäden Anzeige erstatten und die vorhandenen Nachrichten, Header und Screenshots aufbewahren.
Vorbeugend helfen individuelle Passwörter, ein Passwortmanager und eine phishing-resistente MFA-Methode wie ein Sicherheitsschlüssel. Technische Filter bleiben wichtig, können gezielte Nachrichten aber nicht vollständig erkennen. Deshalb braucht es zusätzlich klare Freigaberegeln und eine Kultur, in der Nachfragen ausdrücklich erlaubt ist.
Die wichtigste Lehre aus den Beispielen
Spear-Phishing ist erfolgreich, weil der Angriff an eine echte Situation anknüpft. Eine Rechnung, ein Router-Update, ein Messenger-Alarm oder eine dringende Anweisung der Geschäftsleitung klingt nicht grundsätzlich verdächtig. Verdächtig wird es, wenn eine vertraute Situation mit Zeitdruck, Geheimhaltung oder der Preisgabe sensibler Daten verbunden wird.
Mein praktischer Grundsatz ist deshalb einfach: Bei Geld, Zugangsdaten und Sicherheitsfreigaben zählt nicht, wie überzeugend eine Nachricht klingt. Entscheidend ist, ob sich die Aufforderung über einen unabhängigen zweiten Kanal bestätigen lässt. Genau diese kurze Unterbrechung nimmt gezielten Phishing-Angriffen ihren größten Vorteil.
