Spear-Phishing: Der gezielte Angriff auf Ihre Firma

Eine E-Mail, die exakt zu Ihrem Betrieb passt. Vom richtigen Kollegen, mit dem echten Projektnamen, im gewohnten Tonfall. Genau das ist Spear-Phishing. Also kein Massenversand, sondern ein Angriff, der nur auf Sie zielt. Deshalb rutscht er so leicht durch. Denn er sieht nicht aus wie Betrug, sondern wie Alltag.

Dieser Beitrag erklärt, wie die Masche funktioniert. Zunächst geht es um die Abgrenzung zum breiten Phishing. Danach um den Schaden für ein KMU und außerdem um die Frage, woran Sie den Angriff erkennen. Zum Schluss um konkrete Maßnahmen. Das Ziel ist ein Team, das die feinen Warnzeichen sieht. Also nicht Angst, sondern ruhige Wachsamkeit.

Was Spear-Phishing genau bedeutet

Spear-Phishing ist ein gezielter, personalisierter Betrugsversuch per Nachricht. Dabei nimmt der Angreifer eine bestimmte Person ins Visier, nicht eine anonyme Masse. Deshalb der Name: das Speerfischen trifft einen einzelnen Fisch, nicht den ganzen Schwarm. Zudem ist der Köder auf das Opfer zugeschnitten. Also mit echten Namen, echten Projekten und ebenso echten Rollen im Betrieb.

Der Unterschied zum klassischen Phishing liegt in der Vorbereitung. Massen-Phishing setzt auf Menge. Millionen gleicher Mails, von denen ein winziger Anteil klickt. Der gezielte Angriff dreht das um. Wenige Nachrichten, dafür sorgfältig recherchiert. Genau das macht die Sache so wirksam. Denn eine Mail, die Ihren Chef beim Vornamen nennt und ein laufendes Angebot erwähnt, weckt kaum Misstrauen.

Wie der Angreifer an seine Informationen kommt

Die Recherche nennt man OSINT, also Open Source Intelligence. Dabei sammelt der Angreifer frei verfügbare Daten. Zunächst aus dem Impressum und der Team-Seite Ihrer Website. Danach aus LinkedIn, aus Pressemeldungen und außerdem aus alten Datenlecks. Somit kennt er Namen, Funktionen und oft auch den Schreibstil. Anschließend setzt er diese Bausteine zu einer glaubwürdigen Geschichte zusammen. Ein Beispiel: Er sieht auf LinkedIn, dass Ihre Buchhalterin gerade eine neue Software einführt. Kurz darauf erhält sie eine passende Rechnung vom vermeintlichen Anbieter.

Whaling und CEO-Fraud als Sonderformen

Zielt der Angriff auf die Führungsebene, spricht man von Whaling. Also der große Fisch. Beim CEO-Fraud gibt sich der Täter als Geschäftsführer aus. Dann fordert er eine dringende Überweisung, oft am Freitagnachmittag. Der Druck ist gewollt. Denn wer unter Zeitdruck steht, prüft weniger genau. Diese Form fällt unter Business E-Mail Compromise, kurz BEC. Sie richtet weltweit den größten Schaden aller Betrugsmaschen an. Wie Angreifer dabei die Psychologie nutzen, zeigt unser Beitrag zum Social Engineering.

Der Grund für den Erfolg liegt selten in der Technik. Er liegt im Vertrauen. Diese Angriffsform greift nicht die Firewall an, sondern den Menschen davor. Deshalb hilft eine gute Firewall allein hier wenig. Das ENISA Threat Landscape 2025 ordnet Phishing und Social Engineering als häufigsten Einstieg für Angreifer ein. Rund 60 Prozent der beobachteten Fälle beginnen so.

Ein anschauliches Bild hilft beim Verständnis. Massen-Phishing ist wie ein Netz, das ein Fischer wahllos auswirft. Er hofft, dass sich irgendein Fisch verfängt. Der gezielte Angriff dagegen ist der Wurf mit dem Speer auf einen einzelnen, ausgewählten Fisch. Der Angreifer weiß, wen er trifft, und wählt den Moment. Genau darin liegt die Gefahr für Ihren Betrieb. Denn ein Angriff, der nur einmal kommt und perfekt passt, fällt kaum auf. Er wirkt wie eine ganz normale Bitte aus dem Arbeitsalltag.

Was ein Treffer ein KMU kostet

Ein erfolgreicher Spear-Phishing-Angriff trifft ein KMU oft hart. Denn der Schaden bleibt außerdem selten bei einer Mail. Zunächst wird aus einem geklickten Link ein gestohlenes Passwort. Danach aus dem Passwort ein Zugang zum Konto oder zur Buchhaltung. Und schließlich aus dem Zugang eine falsche Überweisung oder ein voller Ransomware-Vorfall. Somit steht am Ende oft eine fünf- oder sechsstellige Summe.

Direkte und indirekte Kosten

Die direkten Kosten sind das eine. Dazu zählt die überwiesene Summe beim CEO-Fraud. Ebenso der Betrag der Erpressung. Außerdem der Aufwand für die IT-Wiederherstellung. Die indirekten Kosten wiegen hingegen oft schwerer. Dazu zählen der Betriebsstillstand, der Vertrauensverlust bei Kunden und mögliche Strafen. Denn wenn dabei personenbezogene Daten abfließen, greift die DSGVO. Dann drohen eine Meldepflicht binnen 72 Stunden und im schlimmsten Fall ein Bußgeld. Wie Sie diese Frist einhalten, erklärt der Ratgeber Datenpanne melden.

Warum gerade der Mittelstand im Fokus steht

Beim Spear-Phishing haben Angreifer KMU bewusst im Blick. Denn dort sind die Prozesse schlanker und die Hierarchien flach. Man kennt sich, man vertraut sich, außerdem stellt eine Anweisung vom Chef kaum jemand infrage. Zudem fehlt oft eine eigene IT-Sicherheitsabteilung. Genau diese Mischung macht den Mittelstand zum lohnenden Ziel. Ein großer Konzern hat beispielsweise Freigabeprozesse mit vier Augen. Ein 30-Personen-Betrieb hat sie hingegen oft nicht.

Die Zahlen unterstreichen das Risiko. Laut FBI verursachte Business E-Mail Compromise 2025 weltweit über drei Milliarden Dollar Schaden. Damit ist es eine der teuersten Cyberkategorien überhaupt. Für einen einzelnen Betrieb kann ein Treffer existenzbedrohend sein. Wie Sie im Ernstfall richtig reagieren, lesen Sie im Ratgeber Cyberangriff: Was Sie tun müssen. Denn wer den Ablauf kennt, verliert im Vorfall weniger Zeit und Geld.

Ein Rechenbeispiel macht den Schaden greifbar. Ein Handelsbetrieb mit 40 Beschäftigten fällt auf eine gefälschte Lieferantenmail herein. Die neue Kontonummer wirkt echt, die Rechnung passt zur letzten Bestellung. Also überweist die Buchhaltung 48.000 Euro. Das Geld ist binnen Stunden über mehrere Konten weitergeleitet und praktisch weg. Dazu kommen Tage voller Klärung mit Bank und Anwalt. Zudem der Ärger mit dem echten Lieferanten, der weiter auf sein Geld wartet. Ein sauberer Rückruf vor der Überweisung hätte den ganzen Fall verhindert.

Woran Sie einen gezielten Angriff erkennen

Spear-Phishing erkennen Sie an Details, nicht an plumpen Fehlern. Die alten Merkmale greifen hingegen oft nicht. Denn die Sprache ist sauber, das Logo stimmt, die Absenderadresse wirkt echt. Trotzdem verraten sich viele Angriffe. Man muss dabei nur wissen, worauf man achtet.

Die typischen Warnzeichen

• Unerwarteter Zeitdruck: Eine Aufgabe muss sofort und geheim erledigt werden. Genau das ist ein rotes Tuch.
• Ungewöhnliche Bitte: Der Chef fragt per Mail nach Gutscheinkarten oder einer stillen Überweisung.
• Wechsel des Kanals: Man drängt Sie weg von der E-Mail hin zu WhatsApp oder SMS.
• Leicht falsche Adresse: Aus max.mustermann@firma.at wird max.mustermann@firma-at.com.
• Bruch in der Routine: Der Lieferant ändert plötzlich seine Kontonummer per Mail.

Ein einzelnes Zeichen muss noch kein Angriff sein. Aber mehrere zusammen sollten Sie stutzig machen. Vor allem die Mischung aus Autorität und Dringlichkeit ist verdächtig. Denn genau darauf baut CEO-Fraud. Die Initiative onlinesicherheit.gv.at beschreibt diese Muster für österreichische Betriebe verständlich.

Der KI-Faktor macht es schwerer

Künstliche Intelligenz hebt den gezielten Angriff auf ein neues Niveau. Früher verrieten sich Angreifer durch holpriges Deutsch. Heute schreibt eine KI fehlerfreie Mails in perfektem Österreichisch. Zudem passt sie den Ton an laufende Projekte und interne Hierarchien an. Das ENISA Threat Landscape 2025 nennt KI-gestützte Kampagnen als klaren Trend. Deshalb reicht der Blick auf Rechtschreibung nicht mehr. Der Kontext wird zum wichtigsten Prüfstein. Passt die Bitte wirklich zur Situation? Und würde diese Person das so je verlangen?

Ein weiteres Warnzeichen ist der Bruch mit der gewohnten Freigabe. Angreifer umgehen bewusst die üblichen Wege. Statt über das Buchhaltungssystem kommt die Zahlungsbitte direkt per Mail. Statt der bekannten Rechnungsadresse taucht ein neuer Ansprechpartner auf. Achten Sie deshalb nicht nur auf die einzelne Nachricht, sondern auf die Abweichung vom normalen Ablauf. Genau diese Abweichung ist oft der einzige verlässliche Hinweis. Denn Sprache und Logo lassen sich fälschen, ein eingespielter Prozess nicht so leicht.

So schützen Sie Ihr Unternehmen wirksam

Schutz vor Spear-Phishing braucht drei Ebenen. Nämlich Technik, klare Prozesse und außerdem geschulte Menschen. Keine davon reicht allein. Denn ein Filter fängt viel ab, aber nicht alles. Und ein Prozess hilft nur, wenn das Team ihn kennt. Deshalb greifen die Bausteine ineinander.

Technische Maßnahmen zuerst

Beginnen Sie zunächst bei der Basis. Aktivieren Sie Zwei-Faktor-Authentifizierung für alle wichtigen Zugänge. Denn selbst ein gestohlenes Passwort nützt dem Angreifer dann wenig. Richten Sie zudem die E-Mail-Standards SPF, DKIM und DMARC ein. Somit erschweren Sie das Fälschen Ihrer Absenderadresse deutlich. Laut einer europäischen Erhebung fehlt bei rund 70 Prozent der KMU ein sauberer DMARC-Eintrag. Genau das ist eine offene Einladung zum Spoofing. Ein moderner Mailfilter und ein sichtbarer Warnhinweis bei externen Mails runden die Technik ab.

Prozesse gegen den Zahlungsbetrug

Der beste Schutz gegen CEO-Fraud ist eine feste Regel. Legen Sie zunächst ein Vier-Augen-Prinzip für Überweisungen ab einer bestimmten Höhe fest. Verlangen Sie zudem bei jeder Änderung einer Bankverbindung eine Rückfrage über einen zweiten Kanal. Also ein kurzer Anruf unter der bekannten Nummer, niemals unter der Nummer aus der Mail. Diese Regel klingt zwar banal. Doch sie stoppt die meisten Angriffe, weil der Betrug genau am zweiten Kanal scheitert.

Der Mensch als stärkste Verteidigung

Technik und Prozesse wirken erst mit einem wachsamen Team. Deshalb ist Security Awareness der wichtigste Hebel. Schulen Sie Ihre Leute regelmäßig, nicht einmal im Jahr. Üben Sie den Ernstfall mit einer Phishing-Simulation. So lernt das Team die Warnzeichen an sicheren Beispielen. Genauso wichtig ist eine offene Meldekultur. Wer einen Fehlklick sofort meldet, statt ihn zu verstecken, rettet oft den ganzen Betrieb. Denn Zeit ist im Vorfall der wichtigste Faktor. Warum der Mensch so oft im Zentrum steht und wie Sie ihn stärken statt beschuldigen, ist die Kernfrage jeder guten Sicherheitskultur.

Spear-Phishing im größeren Sicherheitsbild

Spear-Phishing ist kein isoliertes Problem. Vielmehr ist es ein Einstiegstor, das viele andere Angriffe erst öffnet. Ein geklickter Anhang installiert Schadsoftware. Ein gestohlenes Login führt zum Identitätsdiebstahl und öffnet weitere Konten. Deshalb gehört der Schutz davor in ein größeres Ganzes. Also nicht als Einzelmaßnahme, sondern als Teil Ihrer gesamten Sicherheit.

Der Platz im ISMS

Ein Informationssicherheits-Managementsystem ordnet die einzelnen Maßnahmen. Ein ISMS nach ISO 27001 verlangt genau die Bausteine, die gegen solche Angriffe helfen. Dazu zählen Zugriffskontrolle, Awareness-Schulungen und außerdem ein Meldeprozess. Das folgende Bild zeigt den Unterschied der beiden Angriffsformen im Überblick.

Verbindung zum Notfallmanagement

Kein Schutz ist perfekt. Deshalb gehört der Ernstfall eingeplant. Ein Notfallmanagement legt fest, wer was tut, wenn ein Angriff durchkommt. Wer sofort weiß, wie er ein Konto sperrt und wen er informiert, begrenzt den Schaden. Somit schließt sich der Kreis. Prävention senkt die Wahrscheinlichkeit, ein Notfallplan senkt die Folgen. Das BSI und das nationale CERT.at geben dazu laufend aktuelle Hinweise.

Wie SecTec Sie gegen gezielte Angriffe stärkt

SecTec hilft Ihnen, Spear-Phishing praktisch abzuwehren. Und zwar auf allen drei Ebenen: Technik, Prozess und außerdem Mensch. Der Ansatz ist herstellerunabhängig. Somit empfehlen wir kein Produkt, das wir verkaufen wollen, sondern das, was zu Ihrem Betrieb passt. Der Start ist meist eine nüchterne Bestandsaufnahme.

Vom Check bis zur laufenden Betreuung

Zunächst prüfen wir Ihren Ist-Stand. Ein IT-Security-Audit zeigt, wo Ihre Mailsicherheit und Ihre Prozesse Lücken haben. Wir kontrollieren dabei die SPF-, DKIM- und DMARC-Einträge, den Mailfilter und die Freigaberegeln für Zahlungen. Danach heben wir das Bewusstsein im Team. Mit einer Awareness-Schulung und einer realistischen Phishing-Simulation. So merkt jeder selbst, wie überzeugend ein gezielter Angriff sein kann. Diese Erfahrung wirkt stärker als jede Theorie. Anschließend messen wir den Fortschritt und wiederholen die Übung, bis die Meldequote sichtbar steigt.

Sicherheit als Teil des KMU-Alltags

Gezielte Angriffe sind kein Konzernthema. Sie treffen beispielsweise den Handwerksbetrieb genauso wie die Steuerkanzlei. Deshalb denken wir Schutz konsequent vom KMU her. Unsere Cybersecurity für KMU bündelt die Maßnahmen zu einem machbaren Paket. Ohne überzogenen Aufwand und ohne Fachchinesisch. Fehlt intern das Know-how für die Steuerung, übernimmt ein externer CISO diese Rolle. So bekommen Sie Sicherheitskompetenz, ohne eine eigene Stelle zu schaffen.

Der erste Schritt kostet Sie nichts außer etwas Zeit. In einem kurzen Gespräch klären wir, wo Ihr größtes Risiko liegt. Danach entsteht ein Plan, den Sie in Etappen umsetzen können. Genau diese Beratung finden Sie über unsere Kontaktseite. Denn gegen Spear-Phishing hilft kein einzelnes Werkzeug, sondern ein Zusammenspiel. Und genau das richten wir mit Ihnen gemeinsam ein.

Erstgespräch vereinbaren

Häufig gestellte Fragen

Was ist der Unterschied zwischen Phishing und Spear-Phishing?

Phishing geht als Massenmail an tausende Empfänger. Spear-Phishing zielt hingegen gezielt auf eine einzelne Person. Dafür recherchiert der Angreifer vorab echte Namen und Projekte. Deshalb wirkt die Nachricht glaubwürdig und rutscht außerdem leichter durch.

Woran erkenne ich eine Spear-Phishing-Mail?

Achten Sie zunächst auf die Kombination aus Zeitdruck und Autorität. Verdächtig sind zudem ungewöhnliche Zahlungsbitten, eine geänderte Kontonummer oder der Wechsel auf WhatsApp. Prüfen Sie außerdem die Absenderadresse genau. Im Zweifel fragen Sie über einen zweiten, bekannten Kanal nach.

Was ist CEO-Fraud?

Beim CEO-Fraud gibt sich der Täter als Geschäftsführer aus. Dann fordert er per Mail eine dringende, vertrauliche Überweisung. Diese Sonderform des Spear-Phishing richtet somit oft hohe Schäden an. Ein Vier-Augen-Prinzip stoppt sie hingegen zuverlässig.

Wie viel kostet ein erfolgreicher Angriff ein KMU?

Der Schaden liegt bei mittelständischen Betrieben oft im fünf- bis sechsstelligen Bereich. Business E-Mail Compromise verursachte 2025 weltweit über drei Milliarden Dollar Schaden. Für einen einzelnen Betrieb kann ein Treffer existenzbedrohend sein.

Schützt ein Spamfilter vor Spear-Phishing?

Ein Filter fängt zwar viel ab, aber nicht alles. Denn gezielte Mails sind sauber formuliert und wirken echt. Deshalb braucht es zusätzlich klare Prozesse und außerdem ein geschultes Team. Erst dieses Zusammenspiel schützt zuverlässig.

Macht KI Spear-Phishing gefährlicher?

Ja. KI schreibt fehlerfreie Mails in perfektem Deutsch und passt den Ton an. Damit fallen die alten Warnzeichen wie holprige Sprache weg. Der Kontext wird zum wichtigsten Prüfstein. Passt die Bitte wirklich zur Situation?

Wie schützt SecTec mein Unternehmen konkret?

SecTec setzt auf drei Ebenen: Technik, Prozesse und Awareness. Zunächst prüfen wir Ihre Mailsicherheit in einem Audit. Danach schulen wir Ihr Team und üben mit einer Phishing-Simulation. So schließen wir die häufigsten Lücken gezielt.

Fazit: Aufmerksamkeit schlägt Technik allein

Spear-Phishing greift nicht die Technik an, sondern das Vertrauen. Deshalb reicht keine Firewall und kein Filter allein. Wirksamer Schutz braucht drei Ebenen. Nämlich saubere Mailtechnik, feste Prozesse für Zahlungen und ein wachsames Team. Vor allem der Mensch entscheidet. Wer die feinen Warnzeichen kennt, stoppt den Angriff dort, wo er beginnt.

Der beste Zeitpunkt, damit anzufangen, ist vor dem ersten Vorfall. Zunächst genügt ein ehrlicher Blick auf die eigenen Prozesse. Danach folgen Schulung und Übung in kleinen Schritten. So wird aus einer diffusen Bedrohung ein Risiko, das Sie im Griff haben.

SecTec begleitet Sie dabei. Herstellerunabhängig und mit Blick auf das Ganze. Jetzt Erstgespräch vereinbaren