--- id: CP-002 slug: spear-phishing-gezielte-e-mails-osint lang: de title: "Spear-Phishing: gezielte E-Mails" description: Spear-Phishing ist eine E-Mail, die mit öffentlichen Informationen über Sie und Ihr Unternehmen persönlich zugeschnitten ist. So erkennen Sie sie. canonical_url: https://startbrain.io/cyberpedia/de/articles/spear-phishing-gezielte-e-mails-osint/ markdown_url: https://startbrain.io/cyberpedia/de/articles/spear-phishing-gezielte-e-mails-osint.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: "Brain, „Spear-Phishing: gezielte E-Mails“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/spear-phishing-gezielte-e-mails-osint/ (CC BY 4.0)" wing: 1 theme: detect_phishing reflex: cr-002 schema: G1 updated: "2026-11-03" translations: de: https://startbrain.io/cyberpedia/de/articles/spear-phishing-gezielte-e-mails-osint/ fr: https://startbrain.io/cyberpedia/fr/articles/spear-phishing-harponnage-cible-osint/ en: https://startbrain.io/cyberpedia/en/articles/spear-phishing-osint-targeted-emails/ es: https://startbrain.io/cyberpedia/es/articles/spear-phishing-correos-dirigidos-osint/ sources: - "n": 1 title: Phishing, Technique T1566 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/ accessed: "2026-11-03" - "n": 2 title: "Phishing attacks: defending your organisation" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/guidance/phishing published: "2018-02-05" accessed: "2026-11-03" - "n": 3 title: Avoiding Social Engineering and Phishing Attacks | CISA publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" - "n": 4 title: Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1598/ accessed: "2026-11-03" - "n": 5 title: "Phishing: Spearphishing Attachment, Sub-technique T1566.001 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/001/ accessed: "2026-11-03" - "n": 6 title: "Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/002/ accessed: "2026-11-03" - "n": 7 title: "Phishing: Spearphishing via Service, Sub-technique T1566.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/003/ accessed: "2026-11-03" - "n": 8 title: APT28, IRON TWILIGHT, SNAKEMACKEREL, Swallowtail, Group 74, Sednit, Sofacy, Pawn Storm, Fancy Bear, STRONTIUM, Tsar Team, Threat Group-4127, TG-4127, Forest Blizzard, FROZENLAKE, GruesomeLarch, Group G0007 | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/groups/G0007/ accessed: "2026-11-03" - "n": 9 title: NSA and CISA Red and Blue Teams Share Top Ten Cybersecurity Misconfigurations | CISA publisher: CISA url: https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-278a published: "2023-10-05" accessed: "2026-11-03" - "n": 10 title: SVR Cyber Actors Adapt Tactics for Initial Cloud Access | CISA publisher: CISA url: https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-057a published: "2024-02-26" accessed: "2026-11-03" --- # Spear-Phishing: gezielte E-Mails Spear-Phishing, auf Deutsch auch gezieltes Phishing oder „Harpunieren", ist eine präparierte E-Mail, die an eine bestimmte Person, ein bestimmtes Unternehmen oder eine bestimmte Branche geschickt wird und nicht wahllos an Millionen von Postfächern [1][2]. Der Angreifer nutzt, was er über Sie oder Ihr Unternehmen weiß, damit die Nachricht überzeugender und realistischer wirkt [2]. Eine solche Nachricht kann Ihre Position, einen echten Lieferanten oder einen Kollegen nennen. Sie sieht deshalb nicht aus wie die Massen-E-Mails, die man zu erkennen lernt. ## In 30 Sekunden - Wo es vorkommt: im geschäftlichen Postfach, aber auch über soziale Netzwerke [1][2]. - Was der Angreifer will: meist Schadcode auf Ihrem Rechner ausführen lassen [1] oder ein Passwort, Daten oder eine Zahlung erlangen [2]. - Der Reflex: Bei jeder ungewöhnlichen Bitte (Zahlung, Passwort, Datei) diese über einen anderen Kanal als die E-Mail bestätigen, zum Beispiel per Anruf oder im persönlichen Gespräch [2]. - Wenn es schon passiert ist: sofort die zuständigen Personen in der Organisation informieren, auch nach einem Klick. Wer Vorwürfe fürchtet, meldet langsamer [2]. ## Direkte Fragen ### Was unterscheidet Spear-Phishing von gewöhnlichem Phishing? Die gezielte Auswahl des Opfers. MITRE beschreibt Spear-Phishing als Variante, bei der eine bestimmte Person, ein bestimmtes Unternehmen oder eine bestimmte Branche angegriffen wird, im Gegensatz zu ungezielten Kampagnen mit Schad-Spam [1]. Das britische NCSC präzisiert, dass der Angreifer Informationen über Beschäftigte oder das Unternehmen verwendet [2]. ### Woher kennt der Angreifer mich? Er liest, was öffentlich zugänglich ist. Laut NCSC nutzt er frei verfügbare Informationen auf der Website des Unternehmens und in sozialen Netzwerken (den „digitalen Fußabdruck"), um seine Nachrichten überzeugender zu machen [2]. Das NCSC ergänzt, dass auch Partner, Auftragnehmer und Lieferanten online Informationen über eine Organisation preisgeben können [2]. ### Warum ist es schwerer zu erkennen? Typische Anzeichen für Phishing sind eine allgemeine Anrede wie „Dear Valued Customer", eine Signatur ohne Kontaktdaten, Rechtschreibfehler oder ein uneinheitliches Layout [3]. Eine Nachricht, die für Sie geschrieben wurde, kann all das vermeiden. Das NCSC schreibt, es sei schwierig, jede Phishing-E-Mail zu erkennen, und Spear-Phishing-Angriffe seien noch schwerer zu entdecken [2]. ### Werden Führungskräfte vorrangig angegriffen? Sie sind ein Ziel für sich. Das NCSC nennt „Whaling" eine Form des Spear-Phishing, die auf einen „big phish" zielt, zum Beispiel ein Vorstandsmitglied mit Zugang zu wertvollen Vermögenswerten [2]. Zu den interessanten Profilen zählt es außerdem Personen, die auf sensible Informationen zugreifen, Gelder verwalten oder IT-Systeme administrieren dürfen [2]. ### Was tun, wenn ich geklickt oder geantwortet habe? CISA rät, die Lage den zuständigen Personen in der Organisation zu melden, auch den Netzwerkadministratoren, die auf ungewöhnliche Aktivitäten achten können. Außerdem sollten preisgegebene Passwörter unverzüglich geändert werden, ebenso die Passwörter anderer Konten, falls dort dasselbe Passwort verwendet wurde [3]. ## In der Haut des Angreifers MITRE ordnet diese Phase der Aufklärung zu: Beim Phishing zur Informationsbeschaffung sollen Zugangsdaten oder andere verwertbare Daten preisgegeben werden, nicht Schadcode ausgeführt [4]. Der Angreifer kann auch direkt per E-Mail oder Instant Messaging kommunizieren, sich als Quelle mit einem Grund zur Nachfrage ausgeben oder mehrere scheinbar dringende Nachrichten senden [4]. MITRE nennt Beispiele für Gruppen. Kimsuky verschickte maßgeschneiderte E-Mails, um Informationen über seine Opfer zu sammeln, darunter Kontaktlisten, mit denen weitere Ziele ermittelt wurden [4]. ZIRCONIUM nahm Mitarbeitende einer Präsidentschaftskampagne mit E-Mails zum Abgreifen von Zugangsdaten ins Visier [4]. Scattered Spider kombinierte Phishing von Zugangsdaten mit Social Engineering, um Einmalcodes (OTP) abzufangen [4]. Das NCSC beschreibt, was der Angreifer an internen Abläufen ausnutzen kann: Sind Arbeitsweisen bekannt (zum Beispiel, wie Zahlungen ausgelöst werden), kann er sie nachahmen, um ein Passwort oder eine nicht autorisierte Zahlung zu erlangen [2]. ## Was Sie auf dem Bildschirm sehen Die hier zitierten Quellen beschreiben mehrere Formen. Bei einem Anhang fügt der Angreifer der E-Mail eine Datei bei und rechnet in der Regel damit, dass der Nutzer sie ausführt, während er sich als vertrauenswürdige Quelle ausgibt [5]. Die Gruppe APT28 verschickte E-Mails mit schädlichen Microsoft-Office- und RAR-Anhängen [8]. Bei einem Link umgeht er Schutzmaßnahmen, die Anhänge prüfen [6]. Links können harmlos aussehen, aber mithilfe von Sonderzeichen eine legitime Website nachahmen (ein Angriff namens „IDN homograph") oder ihre Adresse verschleiern, indem sie Besonderheiten der URL-Syntax ausnutzen [6]. Ein Link kann auch eine OAuth-2.0-Autorisierung anfordern: Stimmt der Nutzer zu, erhält eine schädliche Anwendung Zugriffsrechte auf das Konto und kann im Namen des Nutzers handeln [6]. Bei einem Drittdienst kommt die Nachricht außerhalb des Firmenpostfachs an: über soziale Netzwerke oder persönliche Webmail. MITRE weist darauf hin, dass diese Dienste häufiger eine weniger strenge Sicherheitsrichtlinie haben als ein Unternehmen [7]. Der Angreifer legt gefälschte Konten an und bietet zum Beispiel eine Stelle an [7]. So hat er einen plausiblen Grund, Fragen zur eingesetzten Software zu stellen [7]. Er kann auch das Vertrauen des Ziels gewinnen und dann eine Datei an das persönliche Postfach schicken, das das Ziel an seinem Arbeitsrechner abruft [7]. Diese Datei umgeht dann Einschränkungen des Firmenkontos [7]. Weitere Varianten: Der Angreifer klinkt sich in einen bestehenden Gesprächsverlauf ein („thread hijacking") [1], oder die Nachricht fordert zum Anruf unter einer Nummer auf, bei dem das Opfer zu einer schädlichen URL, zu Schadsoftware oder zu einem Fernwartungswerkzeug geführt wird [1]. CISA nennt außerdem Absenderadressen, die der eines bekannten Unternehmens ähneln, weil einige Zeichen geändert oder weggelassen sind, sowie Links, deren angezeigter Text beim Darüberfahren nicht mit dem Ziel übereinstimmt [3]. Neutralisierte Illustration, ohne echten Link: ```text Von: [Vorname eines bekannten Kollegen oder Lieferanten] Betreff: [nennt ein echtes Projekt Ihrer Abteilung] Text: [Bitte, ein Dokument durchzusehen; sinngemäß wiedergegeben] Link: hxxps://anmeldung-firma[.]invalid/[nachgebaute Anmeldeseite] ``` ## Unter der Haube Absenderfälschung: Der Angreifer kann die Identität des Absenders fälschen, um sowohl den Empfänger als auch automatische Sicherheitswerkzeuge zu täuschen [1]. Als Gegenmaßnahmen werden SPF (Gültigkeit der Absenderdomain), DKIM (Integrität der Nachricht) und DMARC genannt, mit dem die Organisation diese Prüfungen durchsetzen kann [1]. Das NCSC ergänzt, dass DMARC verhindert, dass Phisher die Domain einer Organisation fälschen, und dass die legitimen E-Mails der Organisation eher im Posteingang ankommen [2]. Doppelgänger-Domain: Die Quellen erwähnen Adressen, die dem Original ähneln (Zeichen geändert oder weggelassen) [3], und Sonderzeichen, die eine legitime Website nachahmen [6]. Eine Adresse, die auf den ersten Blick richtig aussieht, kann also falsch sein. Datenabgriff: Die präparierte Seite dient dazu, Zugangsdaten zu erbeuten, der Anhang oder der Link dazu, Code zu installieren [1][4]. In einem Test drang ein Prüfteam von CISA und NSA per Phishing in ein Endnutzerkonto mit Administratorrechten ein und kompromittierte in weniger als einem Arbeitstag eine Domain [9]. Umgehung der Zwei-Faktor-Authentifizierung: In einem anderen Test kannte das Team die Zugangsdaten eines Nutzers, doch die Multifaktor-Authentifizierung blockierte seine Anmeldungen. Es gab sich als IT-Support aus und erhielt den Code telefonisch [9]. Manche Formen der Multifaktor-Authentifizierung sind anfällig für Phishing und für „Push Bombing" [9]. ## Fallanalysen ### 2016: das Democratic National Committee der USA APT28 soll 2016 die Kampagne von Hillary Clinton, das Democratic National Committee (DNC) und das Democratic Congressional Campaign Committee (DCCC) kompromittiert haben, um die US-Präsidentschaftswahl zu beeinflussen [8]. Laut MITRE nutzte die Gruppe Zugangsdaten, die per Spear-Phishing-E-Mail gestohlen wurden, um sich im Netz des DCCC anzumelden, und kompromittierte mit diesem Zugang dann das Netz des DNC [8]. ### Februar 2024: der Cloud-Zugang der Gruppe APT29 Eine am 26. Februar 2024 vom britischen NCSC und seinen Partnern veröffentlichte Warnung beschreibt die Methoden der Gruppe APT29, die nach Einschätzung fast sicher zum russischen SVR gehört [10]. Die Warnung behandelt nicht das Spear-Phishing selbst, sondern den nächsten Schritt, wenn ein Passwort bereits bekannt ist: Sie beschreibt eine Umgehung der Multifaktor-Authentifizierung durch „MFA bombing" oder „MFA fatigue", bei der der Akteur wiederholt Anfragen sendet, bis das Opfer zustimmt [10]. Sie empfiehlt, die Dauer von Sitzungen zu begrenzen und nur autorisierte Geräte registrieren zu lassen [10]. ## Quellen 1. MITRE ATT&CK, „Phishing, Technique T1566 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1566/ (abgerufen am 3. November 2026) 2. NCSC (Royaume-Uni), „Phishing attacks: defending your organisation“, 5. Februar 2018. https://www.ncsc.gov.uk/guidance/phishing (abgerufen am 3. November 2026) 3. CISA, „Avoiding Social Engineering and Phishing Attacks | CISA“, 1. Februar 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (abgerufen am 3. November 2026) 4. MITRE ATT&CK, „Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1598/ (abgerufen am 3. November 2026) 5. MITRE ATT&CK, „Phishing: Spearphishing Attachment, Sub-technique T1566.001 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1566/001/ (abgerufen am 3. November 2026) 6. MITRE ATT&CK, „Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1566/002/ (abgerufen am 3. November 2026) 7. MITRE ATT&CK, „Phishing: Spearphishing via Service, Sub-technique T1566.003 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1566/003/ (abgerufen am 3. November 2026) 8. MITRE ATT&CK, „APT28, IRON TWILIGHT, SNAKEMACKEREL, Swallowtail, Group 74, Sednit, Sofacy, Pawn Storm, Fancy Bear, STRONTIUM, Tsar Team, Threat Group-4127, TG-4127, Forest Blizzard, FROZENLAKE, GruesomeLarch, Group G0007 | MITRE ATT&CK®“. https://attack.mitre.org/groups/G0007/ (abgerufen am 3. November 2026) 9. CISA, „NSA and CISA Red and Blue Teams Share Top Ten Cybersecurity Misconfigurations | CISA“, 5. Oktober 2023. https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-278a (abgerufen am 3. November 2026) 10. CISA, „SVR Cyber Actors Adapt Tactics for Initial Cloud Access | CISA“, 26. Februar 2024. https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-057a (abgerufen am 3. November 2026) --- Originalquelle: Cyberpedia, die öffentliche Enzyklopädie zu Cybersicherheit und KI von Brain. Kanonische Version: https://startbrain.io/cyberpedia/de/articles/spear-phishing-gezielte-e-mails-osint/ Sie dürfen diesen Text unter der Lizenz CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) frei weiterverwenden, sofern Sie „Brain, Cyberpedia“ mit einem Link auf die obige Adresse nennen.