Spear Phishing: die gezielte Attacke auf Ihr Team

Zuletzt aktualisiert: 26. August 2026 · Lesezeit: etwa 15 Minuten · Für Geschäftsführung, Finanzabteilung, IT-Leitung und Sicherheitsverantwortliche

Beim US-amerikanischen Internet Crime Complaint Center gingen 2025 insgesamt 1.008.597 Anzeigen ein, so viele wie nie zuvor. Nur 24.768 davon betrafen Angriffe auf die Geschäftskommunikation, also gerade einmal 2,5 Prozent. Auf diese 2,5 Prozent entfielen jedoch 3,05 Milliarden US-Dollar Schaden und damit 14,6 Prozent des gesamten gemeldeten Verlusts (IC3 Annual Report 2025). Ein einzelner dieser Fälle kostete im Schnitt rund 123.000 US-Dollar, etwa das Sechsfache des Durchschnitts über alle Deliktarten hinweg.

Diese Schieflage ist der ganze Punkt. Massen-Phishing ist ein Mengengeschäft und trifft, wen es trifft. Spear Phishing ist Handarbeit an einer ausgewählten Person, und es rechnet sich für die Täter genau deshalb. Dieser Beitrag erklärt, was Spear Phishing von gewöhnlichem Phishing unterscheidet, warum die übliche Empfehlung “achten Sie auf die Merkmale” hier an eine strukturelle Grenze stößt und welche Maßnahmen stattdessen greifen.

Kurz gesagt: Spear Phishing ist ein auf eine bestimmte Person zugeschnittener Angriff, der mit echten Namen, echten Vorgängen und echtem Kontext arbeitet. Er ist deshalb gefährlich, weil er genau die Auffälligkeiten entfernt, an denen Beschäftigte Phishing erkennen sollen: den unerwarteten Anlass, den fremden Absender, die holprige Sprache. Erkennen allein reicht daher nicht. Wirksam ist eine feste Regel: Jede Anweisung zu Zahlung, Bankverbindung oder Zugangsdaten wird über einen Kanal geprüft, den der Empfänger selbst wählt, niemals über einen, den die Nachricht mitliefert.

Was ist Spear Phishing? Definition und Abgrenzung

Spear Phishing ist ein gezielter Betrugsversuch, bei dem die Nachricht eigens für eine bestimmte Person oder eine kleine Gruppe angefertigt wird, auf Basis vorher recherchierter, zutreffender Informationen. Der Unterschied zum Massen-Phishing liegt nicht in der Technik, sondern im Aufwand pro Empfänger. Beim Massen-Phishing wird dieselbe Nachricht millionenfach verschickt und es genügt, wenn ein Bruchteil reagiert. Beim Spear Phishing wird eine Nachricht für einen einzigen Empfänger gebaut, und sie soll bei genau diesem einen sitzen.

Praktisch heißt das: Der Absender ist Ihr Steuerberater, Ihre Geschäftsführerin oder ein Lieferant, mit dem Sie tatsächlich zusammenarbeiten. Der Anlass ist ein Vorgang, den es wirklich gibt. Die Frist passt zu Ihrem Geschäftsjahr. Wenn Sie wissen möchten, wie der Angriffstyp insgesamt funktioniert und woran sich gewöhnliches Phishing erkennen lässt, ist der Beitrag Was ist Phishing? So erkennen Sie den Angriff die passende Grundlage. Der vorliegende Text setzt dort an, wo diese Erkennungsmerkmale bewusst entfernt wurden.

Spear Phishing, Whaling, CEO Fraud und BEC: die Begriffe sauber getrennt

Die vier Begriffe werden oft synonym verwendet, bezeichnen aber unterschiedliche Dinge: eine Methode, eine Zielgruppe, eine Masche und eine Schadenskategorie. Diese Unterscheidung ist nicht akademisch. Sie entscheidet darüber, welche Abteilung welche Regel bekommt.

Begriff	Was er bezeichnet	Typisches Ziel
Spear Phishing	Die Methode: ein individuell recherchierter, zugeschnittener Angriff	Jede Person mit nützlichem Zugang, oft Sachbearbeitung und Assistenz
Whaling	Die Zielgruppe: Spear Phishing gegen die oberste Führungsebene	Geschäftsführung, Vorstand, Aufsichtsrat
CEO Fraud, auch Chef-Masche	Die Masche: der Angreifer gibt sich als Führungskraft aus	Buchhaltung und Rechnungswesen, mit Anweisung von oben
Business Email Compromise (BEC)	Die Schadenskategorie: Betrug über kompromittierte oder nachgeahmte Geschäftskommunikation	Zahlungsverkehr, Lieferantenstammdaten, Gehaltsabrechnung

Das BSI beschreibt das Vorgehen beim CEO Fraud sehr konkret: Angesprochen werden vorrangig Beschäftigte aus Buchhaltung oder Rechnungswesen, die Anweisung kommt angeblich vom Vorstand oder der Geschäftsführung, telefonisch oder per E-Mail, und das Opfer wird unter Zeitdruck gesetzt sowie zur Verschwiegenheit angehalten, weil es sich vorgeblich um ein vertrauliches Projekt handele. Wie ernst die Behörde das nimmt, zeigte sich, als das BSI im Rahmen eines Ermittlungsverfahrens gegen die organisierte Kriminalität an eine Liste mit rund 5.000 potenziellen Zielpersonen gelangte und die Betroffenen einzeln informierte.

Warum wenige gezielte Angriffe mehr kosten als Millionen Massenmails

Gezielte Angriffe sind selten, aber jeder einzelne wiegt schwer. Die klarste Beleglage dafür liefert die Jahresstatistik des IC3, weil dort Fallzahl und Schadenssumme für dieselbe Grundgesamtheit ausgewiesen werden und sich das Verhältnis ausrechnen lässt.

Kennzahl	Alle Delikte	Angriffe auf die Geschäftskommunikation
Gemeldete Fälle 2025	1.008.597	24.768 (2,5 Prozent)
Gemeldeter Schaden 2025	20,877 Mrd. USD	3,047 Mrd. USD (14,6 Prozent)
Durchschnitt je Fall	20.699 USD	rund 123.000 USD

Der Schaden liegt beim Sechsfachen des Durchschnitts, und zwar aus einem einfachen Grund: Bei gewöhnlichem Phishing ist die Beute ein Passwort, das erst noch zu Geld gemacht werden muss. Beim gezielten Angriff auf die Geschäftskommunikation ist die Beute die Überweisung selbst. Der IC3 hält zudem fest, dass 85 Prozent aller gemeldeten Verluste auf Betrug entfallen, der menschliches Verhalten ausnutzt, und nicht auf technische Kompromittierung.

Für Deutschland liefert das BKA die Größenordnung von der anderen Seite. Das Bundeslagebild Cybercrime 2025, veröffentlicht am 12. Mai 2026, weist 333.922 Delikte im engeren Sinne aus und schätzt den Schaden für die deutsche Wirtschaft auf 202,4 Milliarden Euro, rund 4,5 Prozent des Bruttoinlandsprodukts. Bemerkenswert ist die Aufklärungsquote: 32 Prozent bei Inlandstaten, aber nur 2 Prozent, wenn die Tat aus dem Ausland begangen wurde. Zwei Drittel aller Fälle fallen in die zweite Gruppe. Auf Rückholung des Geldes sollten Sie also nicht planen.

Die Recherchephase: was Angreifer über Ihr Team herausfinden, ohne anzugreifen

Der eigentliche Aufwand beim Spear Phishing liegt vor der ersten Nachricht. Das BSI weist ausdrücklich darauf hin, dass dem CEO Fraud häufig ausführliche Recherchen in sozialen Netzwerken oder längeres Mitlesen der internen E-Mail-Konversation vorausgehen. Das Landeskriminalamt Rheinland-Pfalz warnte im März 2026 vor einer neuen Welle und beschrieb Täter mit detaillierten Kenntnissen der Unternehmensstruktur, die recherchierte Fotos einsetzen und über Messenger-Dienste wie WhatsApp zusätzlichen Zeitdruck aufbauen.

Quelle	Was sie preisgibt	Wie es im Angriff verwendet wird
Karrierenetzwerke	Namen, Rollen, Berichtswege, Wechsel, Urlaubshinweise	Wer weisungsbefugt ist und wer gerade nicht erreichbar ist
Impressum und Handelsregister	Vertretungsberechtigung, Gesellschafterstruktur, Tochtergesellschaften	Auswahl der Tochter mit der schwächsten Kontrolle
Pressemitteilungen und Messeauftritte	Laufende Projekte, Kunden, Übernahmen, Investitionen	Der plausible Anlass für eine ungewöhnliche Zahlung
Aufgezeichnete Webinare und Videokonferenzen	Stimme, Sprechweise, Gesicht, Hintergrund	Ausgangsmaterial für synthetische Stimme und Bild
Ein bereits übernommenes Postfach	Der echte Rechnungsverkehr, Tonfall, Anhänge, offene Vorgänge	Übernahme eines laufenden Threads statt einer neuen Mail
Automatische Abwesenheitsnotizen	Vertretungsregelung mit Namen und Durchwahl	Direkter Einstieg bei der Vertretung, die den Vorgang nicht kennt

Der letzte Punkt in der Tabelle ist der unangenehmste. Wer ein Postfach übernommen hat, muss nichts mehr erfinden. Er antwortet auf eine echte Nachricht in einem echten Vorgang und ändert nur die Kontonummer. Genau deshalb ist der Schutz von Anmeldedaten kein separates Thema neben dem Betrugsschutz, sondern dessen Voraussetzung. Microsoft ordnet 97 Prozent aller Identitätsangriffe als Passwortangriffe ein und beziffert die Wirkung phishing-resistenter Anmeldeverfahren auf über 99 Prozent der identitätsbasierten Angriffe. Welche Zugänge dabei zuerst abzusichern sind, behandelt die Seite Front Gate Protection.

Wie eine gezielte Attacke abläuft

Der Ablauf ist bei fast allen dokumentierten Fällen derselbe, unabhängig davon, ob am Ende eine E-Mail, ein Anruf oder eine Videokonferenz steht.

1. Auswahl. Nicht das Unternehmen wird ausgesucht, sondern eine Person: jemand mit Zahlungsbefugnis oder mit Zugriff auf Stammdaten, möglichst ohne direkten Draht zur Führungsebene.
2. Recherche. Rollen, Berichtswege, laufende Vorgänge und Abwesenheiten werden zusammengetragen, bis der Angreifer die Sprache des Hauses spricht.
3. Aufbau der Kulisse. Eine ähnlich aussehende Domain wird registriert, ein Postfach eingerichtet, gelegentlich eine ganze Webseite nachgebaut.
4. Erstkontakt. Die Nachricht kommt mit einem echten Anlass und in gewohntem Ton, oft ohne jede Aufforderung, was den Empfänger an die Kommunikation gewöhnt.
5. Die Anweisung. Erst jetzt folgt die eigentliche Bitte: geänderte Bankverbindung, eilige Zahlung, Freigabe eines Zugangs. Verbunden mit Zeitdruck und der Bitte um Vertraulichkeit.
6. Abfluss. Das Geld geht an ein Durchgangskonto und wird binnen Stunden weiterverteilt. Danach ist es praktisch nicht mehr rückholbar.

Führt der Angriff nicht zu einer Zahlung, sondern zu einem Zugang, ist der weitere Verlauf ein anderer: Der Zugang wird ausgebaut, oft weiterverkauft und mündet häufig in Verschlüsselung. Wie diese zweite Hälfte abläuft, beschreibt der Beitrag Was ist Ransomware, und wie stoppt man sie?

Warum “Erkennen Sie die Merkmale” bei Spear Phishing an Grenzen stößt

Die gängigen Erkennungsmerkmale für Phishing setzen voraus, dass die Nachricht Fehler enthält. Spear Phishing ist die Angriffsform, die genau diese Fehler beseitigt. Das ist kein Versagen der Schulung, sondern eine Eigenschaft des Angriffs. Ein Blick auf die üblichen Ratschläge macht das deutlich.

Übliche Empfehlung	Wirkung bei Massen-Phishing	Wirkung bei Spear Phishing
Auf unerwartete Anlässe achten	Hoch, der Anlass ist meist frei erfunden	Gering, der Anlass ist echt und stammt aus Ihrem Vorgang
Auf Rechtschreibung und Anrede achten	Bereits gering, seit Sprachmodelle im Einsatz sind	Praktisch null, Anrede und Tonfall sind recherchiert
Absenderadresse prüfen	Hoch, oft eine völlig fremde Domain	Gering, bei übernommenen Postfächern ist der Absender echt
Auf Zeitdruck achten	Mittel	Mittel, das ist das einzige Merkmal, das robust bleibt
Linkziel mit dem Linktext vergleichen	Hoch	Gering, viele dieser Angriffe enthalten überhaupt keinen Link

Verschärft wird das durch den breiten Einsatz von Künstlicher Intelligenz auf der Angreiferseite. Der Bitkom-Studie Wirtschaftsschutz 2025 zufolge, für die 1.002 Unternehmen in Deutschland befragt wurden, kommt bei rund der Hälfte aller Angriffe inzwischen KI zum Einsatz, unter anderem für überzeugendere Nachrichten und für Deepfakes. Für gezielte Angriffe ist das der entscheidende Kostenvorteil: Was früher stundenlange Handarbeit pro Empfänger war, lässt sich heute in Serie produzieren, ohne an Passgenauigkeit zu verlieren.

Dazu kommt ein zweites Problem. Wo der Angriff auf Bild und Stimme setzt, versagt die menschliche Wahrnehmung messbar. In einer Untersuchung von iProov mit 2.000 Teilnehmenden aus Großbritannien und den USA erkannten nur 0,1 Prozent sämtliche vorgelegten echten und künstlich erzeugten Inhalte korrekt. Die Teilnehmenden waren dabei ausdrücklich vorgewarnt, dass Fälschungen enthalten sein würden. Videos wurden deutlich schlechter erkannt als Bilder. Im Arbeitsalltag, ohne jede Vorwarnung, ist die Trefferquote kaum höher anzusetzen.

Die Schlussfolgerung ist unbequem, aber sie folgt zwingend: Wenn ein Angriff so gebaut ist, dass er keine Auffälligkeiten mehr hat, kann das Auffinden von Auffälligkeiten nicht die tragende Schutzmaßnahme sein.

Der Fall Arup: als der Prüfkanal selbst der Angriff war

Der bekannteste dokumentierte Fall ist deshalb lehrreich, weil das Opfer alles richtig machte und trotzdem zahlte. Anfang 2024 erhielt ein Mitarbeiter der Finanzabteilung im Hongkonger Büro des britischen Ingenieurbüros Arup eine E-Mail, die angeblich vom Finanzvorstand aus Großbritannien stammte und eine eilige, vertrauliche Transaktion verlangte. Der Mitarbeiter war misstrauisch. Er tat, was jede Schulung empfiehlt: Er wollte den Vorgang persönlich bestätigt haben.

Daraufhin wurde er zu einer Videokonferenz eingeladen. In dieser Konferenz saßen der Finanzvorstand und mehrere weitere leitende Kolleginnen und Kollegen. Sie sahen aus wie sie selbst und klangen wie sie selbst. Keiner von ihnen war echt. Der Mitarbeiter veranlasste anschließend 15 Überweisungen auf fünf Konten, insgesamt 200 Millionen Hongkong-Dollar, umgerechnet rund 25 Millionen US-Dollar. Dass er getäuscht worden war, bemerkte er erst später im Austausch mit der Zentrale. Nach Feststellung der Hongkonger Polizei stammte das Ausgangsmaterial für die Fälschungen aus öffentlich verfügbaren Aufzeichnungen von Konferenzen und Videomeetings. Arups IT-Leiter Rob Greig stellte klar, dass keine Systeme kompromittiert und keine Daten abgeflossen waren.

Der strukturelle Fehler steckt nicht im Verhalten des Mitarbeiters, sondern in der Regel, der er gefolgt ist. Die Regel lautete: über einen zweiten Kanal prüfen. Der zweite Kanal wurde ihm angeboten, und er war Teil des Angriffs. Die brauchbare Regel lautet daher anders: über einen zweiten Kanal prüfen, den Sie selbst aus einer Quelle wählen, die Ihnen bereits vorher vorlag.

Der Fall Leoni: 40 Millionen Euro ohne eine einzige Sicherheitslücke

Der größte öffentlich bekannte deutsche Fall zeigt dasselbe Muster acht Jahre früher und ganz ohne Künstliche Intelligenz. Beim Nürnberger Automobilzulieferer Leoni erbeuteten Täter 2016 rund 40 Millionen Euro. Angriffspunkt war nicht die Zentrale, sondern die rumänische Tochtergesellschaft in Bistrița. Dort gingen E-Mails ein, die aussahen wie legitime Zahlungsanweisungen einer deutschen Führungskraft, versendet über ein manipuliertes Absenderfeld. Der Finanzverantwortliche der Tochter veranlasste die Überweisungen. Das Geld floss auf Konten in China und Hongkong und wurde von dort auf rund 60 weitere Konten verteilt. Bemerkt wurde der Betrug am 12. August, als das Geld längst verteilt war.

Die rumänischen Ermittler gingen davon aus, dass die Täter über detaillierte Kenntnisse der internen Abläufe verfügten, weil die gefälschten Anweisungen den echten täuschend ähnlich sahen. Es gab keinen Einbruch in die IT und keine ausgenutzte Softwarelücke. Von den 40 Millionen Euro ersetzte eine Vertrauensschadenversicherung fünf Millionen. Vier Beschäftigte wurden entlassen, später nahm das Unternehmen den damaligen Vorstandsvorsitzenden wegen Verletzung von Organisations- und Überwachungspflichten in Haftung.

Drei Dinge sind daran bis heute gültig. Erstens: Angegriffen wird die Stelle mit der schwächsten Kontrolle, nicht die mit den wertvollsten Daten, und das ist oft eine Auslandstochter. Zweitens: Der Schaden ist ein Prozessschaden, kein IT-Schaden, und die Haftungsfrage richtet sich entsprechend an die Organisation. Drittens: Versicherungsschutz deckt in der Praxis einen Bruchteil. Wer Nachweise über den eigenen Kontrollstand gegenüber Versicherern und Aufsichtsgremien führen muss, findet auf der Seite Board-Ready Evidence den passenden Ansatz.

Die Zahl, die überall steht und die niemand belegen kann

Wer nach Spear-Phishing-Statistiken sucht, stößt fast zwangsläufig auf die Behauptung, 91 Prozent aller erfolgreichen Angriffe begännen mit Spear Phishing. Diese Zahl sollten Sie nicht verwenden, und der Grund dafür ist lehrreicher als die Zahl selbst.

Sie taucht praktisch nur in Anbieterbeiträgen ohne Primärquelle auf und steht im Widerspruch zu den Erhebungen, die tatsächlich mit einer offengelegten Methodik arbeiten. Der Verizon Data Breach Investigations Report 2026 weist Phishing als Erstzugriff bei 16 Prozent der bestätigten Datenpannen aus, Pretexting bei 6 Prozent und den Missbrauch gestohlener Zugangsdaten bei 13 Prozent. Der Anteil aller Datenpannen mit menschlicher Beteiligung liegt bei 62 Prozent. Zwischen 62 und 91 Prozent liegt kein Rundungsfehler, sondern eine andere Behauptung.

Der tiefere Grund ist methodisch: Spear Phishing ist in keiner der großen Erhebungen eine eigene Kategorie. Es ist ein Attribut, das beschreibt, wie sorgfältig eine Nachricht gebaut war, und es verteilt sich über die Kategorien Phishing, Pretexting und Zugangsdatenmissbrauch. Jede Prozentangabe der Form “X Prozent aller Angriffe sind Spear Phishing” ist daher zwangsläufig eine Schätzung und keine Messung. Die belastbare Aussage lautet stattdessen: Gezielte Angriffe auf Menschen sind selten im Vergleich zur Gesamtzahl der Vorfälle, aber sie verursachen einen überproportionalen Anteil des Schadens, und dafür gibt es mit der IC3-Statistik saubere Belege.

Eine Methodikänderung des Berichts 2026 ist dabei erwähnenswert, weil sie sonst zu Fehlschlüssen führt: Pretexting wurde erstmals getrennt ausgewiesen. Der Missbrauch gestohlener Zugangsdaten fiel dadurch von 22 auf 13 Prozent. Das ist keine Entspannung, sondern eine Umbuchung.

Was wirklich schützt: Verifikation statt Erkennung

Die einzige Maßnahme, die sowohl den Leoni-Fall als auch den Arup-Fall verhindert hätte, ist eine feste Verfahrensregel für Zahlungs- und Stammdatenänderungen. Sie ist unabhängig davon, wie überzeugend die Nachricht war, und funktioniert auch dann, wenn der Absender echt ist, weil sein Postfach übernommen wurde.

Die Regel besteht aus vier Sätzen, und sie gehört schriftlich fixiert, nicht in eine Schulungsfolie:

1. Jede Änderung einer Bankverbindung wird zurückgerufen. Ausnahmslos, unabhängig von der Höhe und unabhängig davon, wer sie anfordert.
2. Die Rufnummer stammt aus Ihrem Stammdatensatz, nicht aus der Nachricht, nicht aus der Signatur und nicht aus der angehängten Datei. Der Angreifer kontrolliert alles, was mit der Nachricht mitkommt.
3. Ab einem festgelegten Betrag gilt Vieraugenprinzip, ausgeführt von zwei Personen, die unabhängig voneinander freigeben, nicht von einer Person mit zwei Zugängen.
4. Zeitdruck hebt die Regel nicht auf, sondern verschärft sie. Das ist der wichtigste Satz, denn jeder Angriff dieser Art arbeitet mit Dringlichkeit. Wer das intern nicht ausdrücklich festhält, überlässt die Entscheidung dem Druckgefühl einer einzelnen Person.

Punkt vier braucht Rückendeckung von oben. Eine Sachbearbeiterin, die eine angebliche Anweisung der Geschäftsführerin zurückhält, muss wissen, dass sie dafür Rückhalt bekommt und nicht Ärger. Diese Zusage ist kostenlos und wirkt stärker als die meisten technischen Maßnahmen. Wie sich solche Regeln als überprüfbarer Standard über eine ganze Umgebung hinweg verankern lassen, statt als Absichtserklärung zu enden, zeigt die Seite Governance und Control Fabric.

Die Vorbereitung des Angreifers ist sichtbar

Weil ein gezielter Angriff Vorbereitung erfordert, hinterlässt er Spuren, bevor die erste Nachricht bei einem Menschen ankommt. Der Verizon-Bericht 2026 hebt genau das hervor: Kampagnen dieser Art brauchen Zielrecherche, aufgebaute Identitäten und eigens eingerichtete Infrastruktur, und all das erzeugt auswertbare Signale vor dem Erstkontakt. Das ist die zweite Hälfte der Abwehr und die einzige, die nicht von der Aufmerksamkeit eines Menschen im ungünstigsten Moment abhängt.

Signal	Was dahintersteckt
Neu registrierte Domain, die Ihrer ähnelt	Die Kulisse wird aufgebaut. Meist wenige Tage bis Wochen vor dem Angriff.
Erstkontakt eines externen Absenders an eine Person mit Zahlungsbefugnis	Der Einstieg in die Kommunikation, oft noch völlig harmlos formuliert.
Neue Weiterleitungs- oder Filterregel in einem Postfach	Ein Konto ist bereits übernommen. Die Regel soll Rückfragen unsichtbar machen.
Anmeldung aus ungewöhnlicher Region oder von unverwaltetem Gerät	Ein gestohlenes Sitzungstoken wird verwendet.
Neue Zustimmung für eine unbekannte Anwendung	Zugriff, der eine Passwortänderung überlebt.
Änderung von Lieferantenstammdaten kurz vor einem Zahlungslauf	Der zeitliche Zusammenhang ist das eigentliche Signal, nicht die Änderung selbst.

Beim ersten Punkt lohnt eine Einordnung, weil er oft unterschätzt wird. Eine Studie im Journal of Cybersecurity untersuchte 15.126 eigens für Phishing registrierte Domains über elf Monate und stellte fest, dass 79,3 Prozent davon ein TLS-Zertifikat erhielten, gegenüber 66,7 Prozent bei Phishing-Seiten insgesamt. Das Schloss-Symbol im Browser sagt also über die Echtheit einer Seite nichts aus, im gezielten Angriff sogar noch weniger als im Durchschnitt. Eine weitere Auswertung für 2026 kommt auf rund 1,5 Millionen bösartig registrierte Domains in den ersten fünf Monaten, überwiegend innerhalb weniger Wochen nach Registrierung eingesetzt.

Für Microsoft-Umgebungen liegen die genannten Signale in Defender, Entra ID und Sentinel bereits vor. Was fehlt, ist meist die Zusammenführung. Genau das ist die Aufgabe der Managed-Detection-and-Response-Plattform von UnifiedONE; welche Bausteine im Microsoft-Umfeld dabei zusammenspielen, beschreibt die Seite Microsoft-Sicherheit.

Schutzmaßnahmen, nach Wirkung sortiert

Die Reihenfolge zählt, weil die ersten drei Punkte auch dann greifen, wenn ein Mensch getäuscht wurde.

1. Rückrufpflicht bei Bankverbindungsänderungen, an eine hinterlegte Nummer. Die einzige Einzelmaßnahme, die Leoni und Arup gleichermaßen verhindert hätte.
2. Vieraugenprinzip ab einem festen Betrag, technisch erzwungen im Zahlungssystem und nicht als Dienstanweisung.
3. Phishing-resistente Anmeldung mit Passkeys oder FIDO2-Schlüsseln, beginnend bei Geschäftsführung, Buchhaltung und administrativen Konten. Sie verhindert die Postfachübernahme, aus der die überzeugendsten Angriffe erst entstehen.
4. Externe Absender sichtbar kennzeichnen und E-Mail-Authentifizierung mit SPF, DKIM und DMARC bis zur Durchsetzung konfigurieren, damit niemand in Ihrem Namen schreibt.
5. Ähnlich lautende Domains überwachen und Neuregistrierungen im Umfeld Ihrer Marke aktiv beobachten.
6. Postfachregeln, Zustimmungen und Anmeldeanomalien alarmieren, insbesondere für den Kreis der zahlungsbefugten Personen.
7. Stammdatenänderungen protokollieren und mit Zahlungsläufen abgleichen, sodass die zeitliche Nähe auffällt.
8. Ein Codewort für telefonische Freigaben vereinbaren, das nirgends digital abgelegt ist. Wirksam gegen synthetische Stimmen, weil es nicht recherchierbar ist.
9. Auslandstöchter und kleine Standorte einbeziehen. Sie tragen dieselben Befugnisse, aber selten dieselben Kontrollen.

Kleinere Organisationen ohne eigenes Sicherheitsteam scheitern selten an den ersten beiden Punkten, die kosten nichts außer Disziplin, sondern an den Punkten fünf bis sieben. Wie sich das ohne eigene Rund-um-die-Uhr-Besetzung lösen lässt, beschreiben die Seiten für kleine Unternehmen und für MSPs.

Was Awareness-Schulungen leisten und was nicht

Schulungen sind nicht wirkungslos, aber sie werden an der falschen Kennzahl gemessen. Die Klickrate misst, wie oft es schiefgeht. Gegen Spear Phishing ist sie das schwächere von zwei verfügbaren Maßen, weil ein wirklich gut gemachter gezielter Angriff die Klickrate ohnehin nicht senkt.

Die aussagekräftigere Kennzahl ist die Meldequote, und zwar getrennt nach Kanälen. Der Verizon-Bericht 2026 zeigt, warum: 41 Prozent der Vorfälle über Social Engineering laufen inzwischen nicht mehr über E-Mail, und in Simulationen liegt die Erfolgsquote bei Anruf und SMS rund 40 Prozent höher als bei E-Mail. Jahrelange Schulung hat Misstrauen gegenüber dem Posteingang erzeugt, aber nicht gegenüber dem Telefon. Eine Schulung, die den Anruf nicht übt, übt am wachsenden Teil des Problems vorbei.

Realistisch formuliert lautet der Anspruch also nicht, dass Ihre Belegschaft gezielte Angriffe erkennt. Er lautet, dass sie eine Regel kennt, die auch dann trägt, wenn sie nichts erkennt, und dass sie meldet, ohne mit Vorwürfen rechnen zu müssen. Was in der jeweiligen Woche tatsächlich versucht wird, hält der wöchentliche Rückblick The Repeat fest.

Wenn es passiert ist: die ersten Stunden und die Meldepflichten

Bei einer ausgelösten Zahlung entscheidet die erste Stunde, bei einem abgeflossenen Zugang die erste Nacht. Die Reihenfolge:

1. Hausbank sofort telefonisch informieren und den Rückruf der Überweisung beantragen. Vor allen internen Klärungen, denn hier zählen Minuten.
2. Anzeige bei der Zentralen Ansprechstelle Cybercrime (ZAC) des zuständigen Landeskriminalamts erstatten.
3. Betroffene Konten sperren, alle aktiven Sitzungen zurückziehen und Anmeldeverfahren neu registrieren. Ein gestohlenes Sitzungstoken überlebt die Passwortänderung.
4. Postfächer auf neu angelegte Weiterleitungs- und Filterregeln prüfen, auch bei scheinbar unbeteiligten Kolleginnen und Kollegen.
5. Beweise sichern: Originalnachrichten mit vollständigem Kopfbereich, Anmeldeprotokolle, Zeitstempel, Gesprächsnotizen.
6. Vertrauensschadenversicherung und Cyberversicherung einschalten und die vertraglichen Meldefristen prüfen, die oft kürzer sind als die gesetzlichen.

Dazu kommen gesetzliche Pflichten. Sind personenbezogene Daten betroffen, gilt nach Artikel 33 der Datenschutz-Grundverordnung eine Frist von 72 Stunden gegenüber der Aufsichtsbehörde. Fällt Ihr Unternehmen als wesentliche oder wichtige Einrichtung unter NIS2, verlangt Artikel 23 zusätzlich eine Frühwarnung binnen 24 Stunden, eine Meldung binnen 72 Stunden und einen Abschlussbericht innerhalb eines Monats. Ob Sie betroffen sind, klärt der Beitrag Welche Unternehmen fallen unter NIS2?, wie daraus dauerhafter Schutz wird, zeigt NIS2 in der Praxis, und einen Überblick über die Anforderungen bietet die NIS2-Seite.

Ein verbreiteter Irrtum sei hier ausgeräumt: Ein reiner Zahlungsbetrug ohne Datenabfluss und ohne Beeinträchtigung der Dienste löst nicht automatisch eine Meldepflicht nach NIS2 aus. Sobald der Betrug aber über ein übernommenes Postfach lief, liegt in aller Regel ein Sicherheitsvorfall vor, und dann laufen beide Uhren.

Gemeinsam gegen gezielte Angriffe

Gezielte Angriffe wirken wie Einzelfälle, sind es aber selten. Dieselben Absenderdomains, dieselben Textbausteine und dieselben Kontoverbindungen tauchen nacheinander bei mehreren Unternehmen auf, häufig innerhalb einer Branche oder entlang einer Lieferkette. Wer als Erster betroffen ist, zahlt Lehrgeld. Wer als Zweiter dieselbe Domain sieht, müsste es nicht.

Genau hier liegt der Hebel, den einzelne Organisationen allein nicht haben: Eine bestätigte Absenderdomain, eine erkannte Kulisse oder ein auffälliges Zahlungsmuster lassen sich sofort für alle anderen sperren, oft bevor die zweite Welle überhaupt zugestellt wird. Wie geteilte Bedrohungsdaten dabei praktisch funktionieren, beschreibt die Seite Shared Defense Intelligence.

Häufige Fragen zu Spear Phishing

Was ist Spear Phishing einfach erklärt?

Spear Phishing ist ein Betrugsversuch, der für eine bestimmte Person angefertigt wurde. Der Angreifer recherchiert vorher Name, Rolle, laufende Vorgänge und Ansprechpartner und baut daraus eine Nachricht, die exakt zum Arbeitsalltag dieser Person passt. Massen-Phishing geht an Millionen, Spear Phishing an eine.

Was ist der Unterschied zwischen Phishing und Spear Phishing?

Der Unterschied ist der Aufwand pro Empfänger. Massen-Phishing verschickt eine Standardnachricht ohne Personenbezug und rechnet damit, dass wenige reagieren. Spear Phishing verwendet echte Namen, echte Vorgänge und den richtigen Tonfall. Deshalb greifen die üblichen Erkennungsmerkmale wie fremder Absender oder holprige Sprache hier kaum noch.

Was ist CEO Fraud und wie läuft er ab?

Beim CEO Fraud geben sich Täter als Geschäftsführung aus und weisen Beschäftigte in der Buchhaltung zu einer eiligen Überweisung an. Typisch sind Zeitdruck und die Bitte um Vertraulichkeit wegen eines angeblich geheimen Projekts. Das BSI weist darauf hin, dass dem meist längere Recherche in sozialen Netzwerken oder Mitlesen der internen E-Mail-Kommunikation vorausgeht.

Wie erkenne ich Spear Phishing?

Verlässlich erkennen lässt es sich oft nicht, und das ist die entscheidende Einsicht. Robust bleibt nur ein Merkmal: künstlicher Zeitdruck bei einer Anweisung zu Geld, Bankverbindung oder Zugangsdaten. Statt auf Erkennung zu setzen, sollten Sie eine feste Rückrufregel an eine selbst hinterlegte Nummer einführen, die unabhängig davon greift, wie überzeugend die Nachricht wirkt.

Schützt Mehr-Faktor-Authentifizierung vor Spear Phishing?

Sie schützt einen wichtigen Teilbereich. MFA verhindert die Übernahme von Postfächern, aus denen die überzeugendsten gezielten Angriffe erst entstehen. Gegen eine Zahlungsanweisung, die ein Mensch freiwillig ausführt, hilft sie nicht. Verfahren mit Code oder Push lassen sich zudem in Echtzeit umgehen; zuverlässig sind nur phishing-resistente Methoden wie Passkeys oder FIDO2.

Wie erkenne ich einen Deepfake-Anruf oder eine gefälschte Videokonferenz?

Am Bild und an der Stimme praktisch nicht. In einer Untersuchung von iProov mit 2.000 vorgewarnten Teilnehmenden erkannten nur 0,1 Prozent alle vorgelegten echten und gefälschten Inhalte korrekt. Wirksam ist stattdessen ein vorher vereinbartes Codewort für telefonische Freigaben und ein Rückruf an eine hinterlegte Nummer, statt im laufenden Gespräch zu entscheiden.

Ist mein kleines Unternehmen überhaupt ein Ziel für gezielte Angriffe?

Ja, denn ausgewählt wird nach Befugnis, nicht nach Größe. Wer Rechnungen bezahlen oder Bankverbindungen ändern darf, ist ein lohnendes Ziel, und kleine Organisationen haben seltener ein Vieraugenprinzip. Der Fall Leoni zeigt dasselbe Muster im Konzern: Angegriffen wurde nicht die Zentrale, sondern die Tochtergesellschaft mit der schwächeren Kontrolle.

In Kürze

Spear Phishing ist kein besonders gut gemachtes Phishing, sondern eine andere Aufgabenstellung für die Abwehr. Der Angriff wird so gebaut, dass die Merkmale fehlen, auf die geschulte Beschäftigte achten sollen, und wo er mit Stimme und Bild arbeitet, versagt die menschliche Wahrnehmung nachweislich. Die Fälle Leoni und Arup zeigen dasselbe Muster in acht Jahren Abstand: kein Einbruch, keine Sicherheitslücke, ein Prozess ohne verbindliche Gegenprobe. Daraus folgen zwei Konsequenzen. Erstens braucht jede Anweisung zu Zahlung, Bankverbindung oder Zugang eine Rückfrage über einen Kanal, den der Empfänger selbst wählt, und Zeitdruck darf diese Regel nie aufheben. Zweitens erzeugt die Vorbereitung eines gezielten Angriffs Signale in Ihren eigenen Systemen, bevor die erste Nachricht ankommt. Beides zusammen ersetzt eine Hoffnung, die sich nicht halten lässt, nämlich dass im entscheidenden Moment jemand genau hinsieht.

Quellen

• FBI Internet Crime Complaint Center, Annual Report 2025: ic3.gov (abgerufen am 26. August 2026)
• Verizon, 2026 Data Breach Investigations Report: verizon.com (abgerufen am 26. August 2026)
• BKA, Bundeslagebild Cybercrime 2025: bka.de (abgerufen am 26. August 2026)
• BSI, Social Engineering und CEO Fraud: bsi.bund.de (abgerufen am 26. August 2026)
• Microsoft, Digital Defense Report 2025: microsoft.com (abgerufen am 26. August 2026)
• iProov, Deepfake Blindspot, Februar 2025: iproov.com (abgerufen am 26. August 2026)
• World Economic Forum, Lessons learned from a 25m deepfake attack (Fall Arup): weforum.org (abgerufen am 26. August 2026)
• Agarwal und Vasek, Examining newly registered phishing domains at scale, Journal of Cybersecurity 2026: academic.oup.com (abgerufen am 26. August 2026)
• Bitkom, Wirtschaftsschutz 2025: bitkom.org (abgerufen am 26. August 2026)