Eine scheinbar kurze Nachricht vom Geschäftsführer kann reichen, um eine hohe Überweisung auszulösen oder vertrauliche Unternehmensdaten preiszugeben. Diese besonders gezielte Form des Phishings richtet sich an Führungskräfte und Personen mit weitreichenden Zugriffs- oder Zahlungsrechten. Ich zeige, wie Whaling-Angriffe funktionieren, woran man sie erkennt und welche technischen sowie organisatorischen Maßnahmen in deutschen Unternehmen wirklich helfen.
Gezielte Täuschung mit hohem Schadenspotenzial
- Zielgruppe sind Geschäftsführung, Vorstände, Finanzverantwortliche und andere Personen mit wichtigen Befugnissen.
- Typische Forderungen betreffen Überweisungen, Zugangsdaten, vertrauliche Dokumente oder Änderungen von Bankverbindungen.
- Zeitdruck und Geheimhaltung sollen verhindern, dass die Anfrage über einen zweiten Kanal geprüft wird.
- Vier-Augen-Prinzip und Rückruf gehören zu den wirksamsten Schutzmaßnahmen gegen CEO-Fraud.
- Nach einem Verdacht zählen schnelle Kontosperrung, Beweissicherung und Meldung an interne sowie externe Stellen.
Was Whaling-Phishing von gewöhnlichen Phishing-Mails unterscheidet
Beim klassischen Phishing werden oft viele Empfänger mit ähnlichen Nachrichten angesprochen. Beim Whaling-Phishing recherchieren Angreifer ihre Zielpersonen deutlich genauer. Sie nehmen bevorzugt Vorstände, Geschäftsführer, leitende Angestellte oder Mitarbeitende aus Buchhaltung und Einkauf ins Visier.
Der Begriff Whaling beschreibt damit eine besonders wertvolle Variante des Spear-Phishings. Die Nachricht kann auf öffentlich zugänglichen Informationen beruhen, etwa auf einer Firmenwebsite, einem Karrierenetzwerk, einem Handelsregistereintrag oder sozialen Medien. Das Ziel ist nicht unbedingt der technische Zugriff auf ein Konto, sondern oft eine finanzielle oder geschäftliche Handlung.
| Angriffsart | Typisches Ziel | Charakter |
|---|---|---|
| Phishing | Viele Personen | Massenhaft und eher allgemein |
| Spear-Phishing | Bestimmte Person oder Abteilung | Individuell vorbereitet |
| Whaling | Führungskräfte und besonders privilegierte Nutzer | Hoch personalisiert und potenziell sehr teuer |
| CEO-Fraud | Finanz- und Verwaltungsmitarbeitende | Identität einer Führungskraft wird missbraucht |
Die Grenzen zwischen den Begriffen sind nicht immer scharf. Entscheidend ist für mich deshalb weniger das Etikett als die Frage, ob eine Nachricht eine ungewöhnliche Handlung mit hohem Risiko verlangt.
Wie ein Angriff typischerweise abläuft
Am Anfang steht meist die Informationsbeschaffung. Angreifer sammeln Namen, Zuständigkeiten, Abwesenheiten, Geschäftsbeziehungen und Schreibgewohnheiten. Schon wenige öffentlich sichtbare Details können ausreichen, um eine glaubwürdige Geschichte zu bauen.
Die typische Angriffskette
- Auswahl des Ziels: Der Angreifer sucht eine Führungskraft oder eine Person mit Zugriff auf Geld, Daten oder Systeme.
- Aufbau eines Vorwands: Häufig geht es um eine vertrauliche Übernahme, eine dringende Rechnung, eine Steuerzahlung oder einen neuen Geschäftspartner.
- Kontaktaufnahme: Die Nachricht kommt per E-Mail, Messenger, SMS oder Telefon. Auch ein kompromittiertes echtes Konto ist möglich.
- Druckaufbau: Zeitdruck, Geheimhaltung und eine angeblich nicht erreichbare Führungskraft sollen Rückfragen verhindern.
- Ausführung: Das Opfer überweist Geld, öffnet ein Dokument, gibt Zugangsdaten preis oder ändert Stammdaten.
Ein häufiger Trick ist die gefälschte Absenderadresse. Dabei wird nicht zwingend das echte Postfach übernommen. Oft genügt eine ähnlich aussehende Domain oder ein Anzeigename, der auf dem Smartphone zunächst plausibel wirkt.
Besonders gefährlich wird die Kombination mit Business Email Compromise. Dabei haben Kriminelle ein echtes Geschäftskonto übernommen oder lesen eine laufende Kommunikation mit. So können sie sich in bestehende E-Mail-Verläufe einschalten und auf den ersten Blick völlig legitim wirken.
Auch künstlich erzeugte Stimmen und gefälschte Profilbilder können die Täuschung verstärken. Eine kurze Sprachnachricht beweist daher nicht automatisch die Identität des Absenders. Für Zahlungen und sensible Freigaben bleibt ein unabhängiger Rückruf über eine bekannte Telefonnummer unverzichtbar.
Diese Warnzeichen sollte man ernst nehmen
Eine einzelne Auffälligkeit muss noch kein Betrug sein. Mehrere der folgenden Signale zusammen sind jedoch ein guter Grund, die Kommunikation sofort zu unterbrechen und die Anfrage unabhängig zu prüfen.
- Die angebliche Führungskraft verlangt eine sofortige Überweisung oder eine Änderung von Bankdaten.
- Die Anfrage soll ausdrücklich vertraulich bleiben oder darf niemandem im Team gezeigt werden.
- Der Absender verweist auf eine angebliche Ausnahmesituation, Reise oder Besprechung.
- Die Sprache wirkt ungewohnt, obwohl der Name und die Signatur stimmen.
- Die Nachricht kommt plötzlich über WhatsApp, SMS oder einen privaten E-Mail-Account.
- Ein Link führt zu einer Anmeldeseite mit einer leicht veränderten Internetadresse.
- Eine Rechnung oder Kontoverbindung weicht von früheren Geschäftsdaten ab.
- Der Absender lehnt einen Rückruf ab oder liefert dafür eine neue Telefonnummer.
Die Bundesnetzagentur hat vor CEO-Fraud über Messenger gewarnt, bei dem sich Täter mit dem Namen und Foto einer Führungskraft an Mitarbeitende oder Geschäftspartner wenden. Das Muster ist immer ähnlich: Vertrauen wird in Zeitdruck verwandelt, bis das Opfer handelt, ohne den Vorgang zu prüfen.
Ein realistisches Beispiel
Ein vermeintlicher Geschäftsführer bittet die Buchhaltung, 78.000 Euro an einen neuen Geschäftspartner zu überweisen. Die Zahlung sei Teil einer vertraulichen Übernahme, müsse noch am selben Tag erfolgen und dürfe nicht telefonisch besprochen werden.
Der Betrag, die Geheimhaltung und die neue Bankverbindung sind zusammen bereits ein starkes Warnsignal. Eine korrekte Reaktion wäre, die E-Mail nicht zu beantworten, die Führungskraft über eine bekannte Nummer zu erreichen und die Zahlung nach den normalen Freigaberegeln zu behandeln.
Welche Schutzmaßnahmen im Unternehmen funktionieren
Technische Filter sind wichtig, aber sie erkennen nicht jede gut vorbereitete Nachricht. Die größte Wirkung entsteht durch eine Kombination aus Technik, klaren Abläufen und geübter Aufmerksamkeit.
Technische Grundlagen
- Mehrfaktor-Authentifizierung: Ein zweiter Faktor erschwert die Übernahme von Konten, ersetzt aber nicht die Prüfung verdächtiger Zahlungsanweisungen.
- SPF, DKIM und DMARC: Diese E-Mail-Standards helfen, gefälschte Absender und unberechtigte Nutzung der eigenen Domain zu erkennen.
- Externe Nachrichten kennzeichnen: Ein gut sichtbarer Hinweis macht deutlich, dass eine Nachricht nicht aus der eigenen Organisation stammt.
- Web- und E-Mail-Filter: Sie können bekannte Schadsoftware, gefährliche Links und verdächtige Anhänge blockieren.
- Minimale Berechtigungen: Niemand sollte mehr Zugriffsrechte besitzen, als die jeweilige Aufgabe erfordert.
Ich halte vor allem DMARC und die sichtbare Kennzeichnung externer E-Mails für unterschätzt. Beide Maßnahmen verhindern keinen Angriff allein, geben Mitarbeitenden aber einen wichtigen Hinweis, bevor sie auf einen gefälschten Absender hereinfallen.
Lesen Sie auch: Spam-Anrufe blockieren und Telefonbetrug sicher erkennen
Organisatorische Regeln für Zahlungen
Eine Überweisung darf nie allein deshalb ausgeführt werden, weil sie angeblich vom Chef kommt. Für neue Empfänger, hohe Beträge oder geänderte Kontodaten sollte ein Vier-Augen-Prinzip gelten.
- Neue Bankverbindungen werden über einen bereits bekannten Kommunikationsweg bestätigt.
- Hohe Zahlungen benötigen eine zweite Freigabe durch eine unabhängig zuständige Person.
- Dringlichkeit hebt interne Kontrollen niemals auf.
- Private Messenger und private E-Mail-Adressen gelten nicht als ausreichende Freigabekanäle.
- Mitarbeitende dürfen verdächtige Vorgänge ohne negative Konsequenzen stoppen und melden.
Schulungen sollten nicht nur aus allgemeinen Warnungen bestehen. Sinnvoller sind kurze Übungen mit realistischen Szenarien, etwa einer gefälschten Rechnung, einer angeblichen Vorstandsentscheidung und einer Messenger-Nachricht während einer Dienstreise.
Was nach einem Klick oder einer Überweisung zu tun ist
Ein Fehler sollte sofort gemeldet werden. Schweigen verschafft den Angreifern Zeit und macht es schwieriger, Überweisungen zurückzuholen oder weitere kompromittierte Konten zu sichern.
- Kommunikation stoppen: Nicht weiter antworten, keine weiteren Links öffnen und keine Daten nachreichen.
- IT-Sicherheit informieren: Betroffene Konten, Geräte und E-Mail-Sitzungen müssen geprüft werden.
- Zugangsdaten ändern: Das sollte über ein sauberes Gerät erfolgen. Wiederverwendete Passwörter müssen ebenfalls ersetzt werden.
- Bank kontaktieren: Bei einer Überweisung zählt jede Minute. Die Bank sollte den Betrugsverdacht sofort kennen.
- Beweise sichern: E-Mails, Header-Daten, Chatverläufe, Telefonnummern und Zahlungsinformationen nicht löschen.
- Anzeige erstatten: In Deutschland kommen Polizei und gegebenenfalls weitere zuständige Meldestellen infrage.
Nach einer möglichen Kontoübernahme reicht es nicht, nur das Passwort zu ändern. Die IT-Abteilung sollte auch Weiterleitungen, Sitzungen, Zugriffsrechte und hinterlegte Mehrfaktor-Geräte kontrollieren. Angreifer richten manchmal unauffällige Mailregeln ein, damit sie weiterhin Kopien wichtiger Nachrichten erhalten.
Falls Schadsoftware geöffnet wurde, sollte das Gerät vom Netzwerk getrennt werden. Es ist besser, kurz den Arbeitsablauf zu unterbrechen, als einen kompromittierten Rechner weiter im Unternehmensnetz zu betreiben.
Warum der menschliche Faktor entscheidend bleibt
Whaling-Angriffe nutzen selten nur technische Schwachstellen. Sie greifen vor allem Vertrauen, Hierarchien und den Wunsch an, eine dringende Aufgabe schnell zu erledigen. Genau deshalb kann auch eine gut geschützte Organisation betroffen sein.
Der beste Schutz besteht nicht darin, jede ungewöhnliche Nachricht pauschal zu blockieren. Er besteht darin, riskante Handlungen von der ursprünglichen Nachricht zu trennen. Eine Überweisung, eine Passwortfreigabe oder eine Änderung von Lieferantendaten muss einen eigenen Prüfweg haben.
Das BSI empfiehlt bei ungewöhnlichen Zahlungsanweisungen unter anderem eine Rückbestätigung über einen unabhängigen Kanal und zusätzliche Kontrollmechanismen. Diese Regel wirkt unspektakulär, verhindert aber genau den Moment, auf den die Täter setzen.
Der wichtigste Schutz ist ein ruhiger zweiter Kanal
Eine Nachricht von einer Führungskraft kann echt aussehen und trotzdem gefälscht sein. Sobald Geld, Zugangsdaten oder vertrauliche Informationen betroffen sind, sollte ich deshalb innehalten, den Vorgang über einen bekannten zweiten Kanal bestätigen und die üblichen Freigaben einhalten.
Wer diese Reaktion regelmäßig übt, senkt das Risiko deutlich. Nicht die perfekte Erkennung jeder Täuschung entscheidet, sondern die konsequente Regel, dass keine einzelne Nachricht eine kritische Handlung allein auslösen darf.
