Cyberpediavon Brain
DEENFR

Spear-Phishing: gezielte E-Mails

Spear-Phishing ist eine E-Mail, die mit öffentlichen Informationen über Sie und Ihr Unternehmen persönlich zugeschnitten ist. So erkennen Sie sie.

In 30 Sekunden

Wo es vorkommt
Im geschäftlichen Postfach, aber auch über soziale Netzwerke12.
Was der Angreifer will
Meist Schadcode auf Ihrem Rechner ausführen lassen1 oder ein Passwort, Daten oder eine Zahlung erlangen2.
Der Reflex
Bei jeder ungewöhnlichen Bitte (Zahlung, Passwort, Datei) diese über einen anderen Kanal als die E-Mail bestätigen, zum Beispiel per Anruf oder im persönlichen Gespräch2.
Wenn es schon passiert ist
Sofort die zuständigen Personen in der Organisation informieren, auch nach einem Klick. Wer Vorwürfe fürchtet, meldet langsamer2.

Worum es geht

Spear-Phishing, auf Deutsch auch gezieltes Phishing oder „Harpunieren", ist eine präparierte E-Mail, die an eine bestimmte Person, ein bestimmtes Unternehmen oder eine bestimmte Branche geschickt wird und nicht wahllos an Millionen von Postfächern12. Der Angreifer nutzt, was er über Sie oder Ihr Unternehmen weiß, damit die Nachricht überzeugender und realistischer wirkt2.

Eine solche Nachricht kann Ihre Position, einen echten Lieferanten oder einen Kollegen nennen. Sie sieht deshalb nicht aus wie die Massen-E-Mails, die man zu erkennen lernt.

Direkte Fragen

Was unterscheidet Spear-Phishing von gewöhnlichem Phishing?

Die gezielte Auswahl des Opfers. MITRE beschreibt Spear-Phishing als Variante, bei der eine bestimmte Person, ein bestimmtes Unternehmen oder eine bestimmte Branche angegriffen wird, im Gegensatz zu ungezielten Kampagnen mit Schad-Spam1. Das britische NCSC präzisiert, dass der Angreifer Informationen über Beschäftigte oder das Unternehmen verwendet2.

Woher kennt der Angreifer mich?

Er liest, was öffentlich zugänglich ist. Laut NCSC nutzt er frei verfügbare Informationen auf der Website des Unternehmens und in sozialen Netzwerken (den „digitalen Fußabdruck"), um seine Nachrichten überzeugender zu machen2. Das NCSC ergänzt, dass auch Partner, Auftragnehmer und Lieferanten online Informationen über eine Organisation preisgeben können2.

Warum ist es schwerer zu erkennen?

Typische Anzeichen für Phishing sind eine allgemeine Anrede wie „Dear Valued Customer", eine Signatur ohne Kontaktdaten, Rechtschreibfehler oder ein uneinheitliches Layout3. Eine Nachricht, die für Sie geschrieben wurde, kann all das vermeiden. Das NCSC schreibt, es sei schwierig, jede Phishing-E-Mail zu erkennen, und Spear-Phishing-Angriffe seien noch schwerer zu entdecken2.

Werden Führungskräfte vorrangig angegriffen?

Sie sind ein Ziel für sich. Das NCSC nennt „Whaling" eine Form des Spear-Phishing, die auf einen „big phish" zielt, zum Beispiel ein Vorstandsmitglied mit Zugang zu wertvollen Vermögenswerten2. Zu den interessanten Profilen zählt es außerdem Personen, die auf sensible Informationen zugreifen, Gelder verwalten oder IT-Systeme administrieren dürfen2.

Was tun, wenn ich geklickt oder geantwortet habe?

CISA rät, die Lage den zuständigen Personen in der Organisation zu melden, auch den Netzwerkadministratoren, die auf ungewöhnliche Aktivitäten achten können. Außerdem sollten preisgegebene Passwörter unverzüglich geändert werden, ebenso die Passwörter anderer Konten, falls dort dasselbe Passwort verwendet wurde3.

1In der Haut des Angreifers1 min

MITRE ordnet diese Phase der Aufklärung zu: Beim Phishing zur Informationsbeschaffung sollen Zugangsdaten oder andere verwertbare Daten preisgegeben werden, nicht Schadcode ausgeführt4. Der Angreifer kann auch direkt per E-Mail oder Instant Messaging kommunizieren, sich als Quelle mit einem Grund zur Nachfrage ausgeben oder mehrere scheinbar dringende Nachrichten senden4.

MITRE nennt Beispiele für Gruppen. Kimsuky verschickte maßgeschneiderte E-Mails, um Informationen über seine Opfer zu sammeln, darunter Kontaktlisten, mit denen weitere Ziele ermittelt wurden4. ZIRCONIUM nahm Mitarbeitende einer Präsidentschaftskampagne mit E-Mails zum Abgreifen von Zugangsdaten ins Visier4. Scattered Spider kombinierte Phishing von Zugangsdaten mit Social Engineering, um Einmalcodes (OTP) abzufangen4.

Das NCSC beschreibt, was der Angreifer an internen Abläufen ausnutzen kann: Sind Arbeitsweisen bekannt (zum Beispiel, wie Zahlungen ausgelöst werden), kann er sie nachahmen, um ein Passwort oder eine nicht autorisierte Zahlung zu erlangen2.

2Was Sie auf dem Bildschirm sehen2 min

Die hier zitierten Quellen beschreiben mehrere Formen.

Bei einem Anhang fügt der Angreifer der E-Mail eine Datei bei und rechnet in der Regel damit, dass der Nutzer sie ausführt, während er sich als vertrauenswürdige Quelle ausgibt5. Die Gruppe APT28 verschickte E-Mails mit schädlichen Microsoft-Office- und RAR-Anhängen8.

Bei einem Link umgeht er Schutzmaßnahmen, die Anhänge prüfen6. Links können harmlos aussehen, aber mithilfe von Sonderzeichen eine legitime Website nachahmen (ein Angriff namens „IDN homograph") oder ihre Adresse verschleiern, indem sie Besonderheiten der URL-Syntax ausnutzen6. Ein Link kann auch eine OAuth-2.0-Autorisierung anfordern: Stimmt der Nutzer zu, erhält eine schädliche Anwendung Zugriffsrechte auf das Konto und kann im Namen des Nutzers handeln6.

Bei einem Drittdienst kommt die Nachricht außerhalb des Firmenpostfachs an: über soziale Netzwerke oder persönliche Webmail. MITRE weist darauf hin, dass diese Dienste häufiger eine weniger strenge Sicherheitsrichtlinie haben als ein Unternehmen7. Der Angreifer legt gefälschte Konten an und bietet zum Beispiel eine Stelle an7. So hat er einen plausiblen Grund, Fragen zur eingesetzten Software zu stellen7. Er kann auch das Vertrauen des Ziels gewinnen und dann eine Datei an das persönliche Postfach schicken, das das Ziel an seinem Arbeitsrechner abruft7. Diese Datei umgeht dann Einschränkungen des Firmenkontos7.

Weitere Varianten: Der Angreifer klinkt sich in einen bestehenden Gesprächsverlauf ein („thread hijacking")1, oder die Nachricht fordert zum Anruf unter einer Nummer auf, bei dem das Opfer zu einer schädlichen URL, zu Schadsoftware oder zu einem Fernwartungswerkzeug geführt wird1. CISA nennt außerdem Absenderadressen, die der eines bekannten Unternehmens ähneln, weil einige Zeichen geändert oder weggelassen sind, sowie Links, deren angezeigter Text beim Darüberfahren nicht mit dem Ziel übereinstimmt3.

Neutralisierte Illustration, ohne echten Link:

Auszug
Von: [Vorname eines bekannten Kollegen oder Lieferanten] <name@beispielfirma[.]invalid>
Betreff: [nennt ein echtes Projekt Ihrer Abteilung]
Text: [Bitte, ein Dokument durchzusehen; sinngemäß wiedergegeben]
Link: hxxps://anmeldung-firma[.]invalid/[nachgebaute Anmeldeseite]
3Unter der HaubeIT-Teams1 min

Absenderfälschung: Der Angreifer kann die Identität des Absenders fälschen, um sowohl den Empfänger als auch automatische Sicherheitswerkzeuge zu täuschen1. Als Gegenmaßnahmen werden SPF (Gültigkeit der Absenderdomain), DKIM (Integrität der Nachricht) und DMARC genannt, mit dem die Organisation diese Prüfungen durchsetzen kann1. Das NCSC ergänzt, dass DMARC verhindert, dass Phisher die Domain einer Organisation fälschen, und dass die legitimen E-Mails der Organisation eher im Posteingang ankommen2.

Doppelgänger-Domain: Die Quellen erwähnen Adressen, die dem Original ähneln (Zeichen geändert oder weggelassen)3, und Sonderzeichen, die eine legitime Website nachahmen6. Eine Adresse, die auf den ersten Blick richtig aussieht, kann also falsch sein.

Datenabgriff: Die präparierte Seite dient dazu, Zugangsdaten zu erbeuten, der Anhang oder der Link dazu, Code zu installieren14. In einem Test drang ein Prüfteam von CISA und NSA per Phishing in ein Endnutzerkonto mit Administratorrechten ein und kompromittierte in weniger als einem Arbeitstag eine Domain9.

Umgehung der Zwei-Faktor-Authentifizierung: In einem anderen Test kannte das Team die Zugangsdaten eines Nutzers, doch die Multifaktor-Authentifizierung blockierte seine Anmeldungen. Es gab sich als IT-Support aus und erhielt den Code telefonisch9. Manche Formen der Multifaktor-Authentifizierung sind anfällig für Phishing und für „Push Bombing"9.

4FallanalysenReale Fälle1 min

2016: das Democratic National Committee der USA

APT28 soll 2016 die Kampagne von Hillary Clinton, das Democratic National Committee (DNC) und das Democratic Congressional Campaign Committee (DCCC) kompromittiert haben, um die US-Präsidentschaftswahl zu beeinflussen8. Laut MITRE nutzte die Gruppe Zugangsdaten, die per Spear-Phishing-E-Mail gestohlen wurden, um sich im Netz des DCCC anzumelden, und kompromittierte mit diesem Zugang dann das Netz des DNC8.

Februar 2024: der Cloud-Zugang der Gruppe APT29

Eine am 26. Februar 2024 vom britischen NCSC und seinen Partnern veröffentlichte Warnung beschreibt die Methoden der Gruppe APT29, die nach Einschätzung fast sicher zum russischen SVR gehört10. Die Warnung behandelt nicht das Spear-Phishing selbst, sondern den nächsten Schritt, wenn ein Passwort bereits bekannt ist: Sie beschreibt eine Umgehung der Multifaktor-Authentifizierung durch „MFA bombing" oder „MFA fatigue", bei der der Akteur wiederholt Anfragen sendet, bis das Opfer zustimmt10. Sie empfiehlt, die Dauer von Sitzungen zu begrenzen und nur autorisierte Geräte registrieren zu lassen10.

Merkblatt

Kennung
CP-002
Flügel
1. Angriffe und Techniken
Brain-Kompetenz
Phishing erkennen (detect_phishing)
Brain-Reflex
cr-002
Schema
G1 · Angriffskette (Kill Chain)
Sprachen
de, en, fr
Quellen
10 Quellen geprüft am 3. November 2026
Quellen10 Quellen
  1. MITRE ATT&CK, „Phishing, Technique T1566 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1566/ (abgerufen am 3. November 2026)
  2. NCSC (Royaume-Uni), „Phishing attacks: defending your organisation“, 5. Februar 2018. https://www.ncsc.gov.uk/guidance/phishing (abgerufen am 3. November 2026)
  3. CISA, „Avoiding Social Engineering and Phishing Attacks | CISA“, 1. Februar 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (abgerufen am 3. November 2026)
  4. MITRE ATT&CK, „Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1598/ (abgerufen am 3. November 2026)
  5. MITRE ATT&CK, „Phishing: Spearphishing Attachment, Sub-technique T1566.001 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1566/001/ (abgerufen am 3. November 2026)
  6. MITRE ATT&CK, „Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1566/002/ (abgerufen am 3. November 2026)
  7. MITRE ATT&CK, „Phishing: Spearphishing via Service, Sub-technique T1566.003 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1566/003/ (abgerufen am 3. November 2026)
  8. MITRE ATT&CK, „APT28, IRON TWILIGHT, SNAKEMACKEREL, Swallowtail, Group 74, Sednit, Sofacy, Pawn Storm, Fancy Bear, STRONTIUM, Tsar Team, Threat Group-4127, TG-4127, Forest Blizzard, FROZENLAKE, GruesomeLarch, Group G0007 | MITRE ATT&CK®“. https://attack.mitre.org/groups/G0007/ (abgerufen am 3. November 2026)
  9. CISA, „NSA and CISA Red and Blue Teams Share Top Ten Cybersecurity Misconfigurations | CISA“, 5. Oktober 2023. https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-278a (abgerufen am 3. November 2026)
  10. CISA, „SVR Cyber Actors Adapt Tactics for Initial Cloud Access | CISA“, 26. Februar 2024. https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-057a (abgerufen am 3. November 2026)

Diesen Artikel zitieren

Brain, „Spear-Phishing: gezielte E-Mails“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/spear-phishing-gezielte-e-mails-osint/

BibTeX 
@misc{brain_cp002_de_2026,
  author = {Brain},
  title = {Spear-Phishing: gezielte E-Mails},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/de/articles/spear-phishing-gezielte-e-mails-osint/},
  note = {CC BY 4.0}
}
Lizenz CC BY 4.0