Was ist Spear Phishing? Erkennung und Schutz für KMU

Spear Phishing richtet sich gezielt gegen einzelne Personen. Die Angreifenden stimmen ihre Nachrichten auf Aufgaben, Kontakte oder laufende Vorgänge ab, damit eine Anfrage im Arbeitsalltag glaubwürdig wirkt. Das macht solche Nachrichten auch für KMU relevant. ENISA zählt Phishing einschließlich Vishing, Malspam und Malvertising zu den häufigsten beobachteten Wegen des Erstzugriffs: Rund 60 Prozent der ausgewerteten Fälle entfielen darauf. Die Daten beziehen sich auf den Zeitraum von Juli 2024 bis Juni 2025 und beschreiben ENISAs Datensatz, nicht das individuelle Risiko eines KMU (ENISA Threat Landscape 2025, 2025). Für Sie kommt es deshalb darauf an, verdächtige Anfragen im Alltag zu erkennen und Abläufe so festzulegen, dass eine einzelne Nachricht nicht allein über Zahlungen oder sensible Daten entscheidet.

Was ist Spear Phishing?

Spear Phishing ist eine personalisierte Form von Phishing, die sich gegen eine bestimmte Person oder eine konkrete Funktion im Unternehmen richtet. Der Kern ist nicht die breite Streuung, sondern die glaubwürdige Täuschung einer ausgewählten Person.

Kriminelle nutzen dafür Informationen von Websites, aus dem Firmenbuch, von LinkedIn, aus öffentlichen Ausschreibungen oder aus früheren Datenlecks. So können sie eine Nachricht an eine echte Situation anpassen, etwa an eine Rechnung, eine IBAN-Änderung, eine Bewerbung, einen Supportfall oder eine angebliche Anweisung der Geschäftsführung.

Für KMU ist das besonders heikel, weil viele Abläufe auf kurzen Wegen und persönlichem Vertrauen beruhen. Genau dieses Vertrauen wird ausgenutzt: Die Buchhaltung kennt die Geschäftsführung persönlich, die Assistenz die wichtigsten Lieferanten, die IT reagiert rasch auf Zugriffsprobleme. Sobald eine Nachricht zur tatsächlichen Rolle passt, fällt das natürliche Misstrauen oft weg.

Warum ist Spear Phishing für österreichische KMU relevant?

Eine KPMG-Erhebung zu Wiener Unternehmen nennt Phishing über E-Mail-Links bei 68 Prozent und Business E-Mail Compromise, einschließlich CEO-Fraud, bei 60 Prozent der befragten Unternehmen (WKO Wien/KPMG, 2025). Die Ergebnisse beschreiben die befragten Unternehmen in Wien und sind kein Wert für alle österreichischen KMU. Bei Business E-Mail Compromise geben sich Betrügende etwa als Geschäftskontakt aus oder übernehmen ein Geschäftskonto, um Zahlungen oder sensible Informationen zu erlangen. CEO-Fraud ist eine bekannte Variante, bei der eine angebliche Anweisung der Geschäftsführung zu einer Zahlung führen soll.

Spear Phishing betrifft daher nicht nur die IT, sondern auch Personen, die Zahlungen freigeben, mit sensiblen Daten arbeiten oder Kunden betreuen. Proofpoint wertete Kontoübernahmen bei seiner weltweiten Kundschaft aus. In diesem Datensatz wurde bei gezielten Angriffen in 66 Prozent der betroffenen Organisationen mindestens eine erfolgreiche Kontoübernahme beobachtet, bei nicht gezielten Angriffen in 29 Prozent (Proofpoint, 2026). Das sind Anteile von Organisationen, keine Erfolgsquoten einzelner Angriffe.

Wie erkennen Sie Spear Phishing im Alltag?

Rechtschreibfehler oder holprige Formulierungen verraten Spear Phishing nicht immer. Kriminelle können Sprache, Zeichensetzung und Branchenbezug anpassen. Achten Sie deshalb auch darauf, ob die Anfrage zum gewohnten Ablauf passt.

Achten Sie auf neue Bankdaten in laufenden Rechnungen, eine ungewöhnliche Geheimhaltungsbitte ("Bitte niemanden einbinden, der Deal ist vertraulich"), unerwartete MFA-Anfragen, Links zu Login-Seiten, die zur Eingabe von Zugangsdaten auffordern, sowie Druck durch knappe Fristen. Auch eine korrekte Absenderadresse ist kein Beweis für Echtheit, denn bei einem bereits übernommenen Konto stimmt die Adresse zwar, aber nicht die Absicht hinter der Nachricht. Im Zweifel hilft ein einziger Schritt: kurz innehalten und die Anfrage über einen bekannten zweiten Kanal prüfen.

Wie schützen Sie sich vor Spear Phishing?

Ein E-Mail-Filter kann verdächtige Nachrichten abfangen und bildet damit eine wichtige Verteidigungslinie. Angreifende versuchen jedoch, Filterregeln zu umgehen oder nutzen bereits kompromittierte Konten, deren Nachrichten zunächst echt wirken. Deshalb sollte der Schutz auch dann greifen, wenn eine Nachricht den Posteingang erreicht. Die folgende Liste gibt einen Überblick über zusätzliche Schutzmaßnahmen.

• Phishing-resistente Mehr-Faktor-Authentifizierung: Sichern Sie E-Mail-, VPN- und Administrationskonten mit Passkeys oder Hardware-Sicherheitsschlüsseln ab.
• Vier-Augen-Prinzip bei Geld und Daten: Lassen Sie neue Bankverbindungen, eilige Zahlungen und ungewöhnliche Dokumentenanforderungen von einer zweiten Person prüfen. Bestätigen Sie Änderungen über eine bereits bekannte Telefonnummer des Geschäftskontakts, nicht über die Nummer in der verdächtigen Nachricht.
• DMARC, SPF und DKIM aktivieren: Diese E-Mail-Authentifizierungsverfahren erschweren die Fälschung Ihrer eigenen Absenderadresse.
• Posteingangsregeln überwachen: Prüfen Sie regelmäßig neue Weiterleitungen und Anmeldemethoden. Unerwartete Änderungen können auf ein übernommenes Konto hindeuten.
• Kontinuierliche Awareness-Übungen: Üben Sie mit kurzen, wiederkehrenden Phishing-Simulationen, wie Mitarbeitende verdächtige Nachrichten erkennen und melden können. Legen Sie dafür eine zuständige Ansprechperson oder Meldestelle fest.
• Eilige Anweisungen überprüfen: Bestätigen Sie ungewöhnliche Anrufe oder Sprachnachrichten durch einen Rückruf über eine bereits bekannte Telefonnummer. Ein vereinbartes Codewort kann die Prüfung ergänzen.

Häufige Fragen zu Spear Phishing

Ist Spear Phishing dasselbe wie CEO-Fraud?

Nein. CEO-Fraud ist eine mögliche Ausprägung von Spear Phishing. Dabei geben sich Kriminelle als Führungskraft aus und drängen zu einer Überweisung oder Datenfreigabe. Gezielte Phishing-Nachrichten können auch Lieferantenbetrug oder gefälschte IT-Anfragen vorbereiten.

Reicht ein Spamfilter gegen Spear Phishing?

Ein Filter ist eine wichtige Verteidigungslinie und kann viele verdächtige Nachrichten abfangen. Angreifende suchen jedoch nach Wegen, solche Kontrollen zu umgehen, und missbrauchen mitunter echte, übernommene Konten. Ergänzen Sie den Filter daher durch Mehr-Faktor-Authentifizierung und klare Zahlungsfreigaben. Bei einer geänderten Bankverbindung sollte eine zuständige Person die Änderung über eine bereits bekannte Telefonnummer des Lieferanten bestätigen, bevor die Zahlung freigegeben wird.

Wer ist im KMU besonders gefährdet?

Gefährdet sind alle Personen, die mit Geld, sensiblen Daten oder Kundenbeziehungen arbeiten, also typischerweise Geschäftsführung, Buchhaltung, Assistenz, IT und Vertrieb. Je nach Angriffsmuster sind auch Einkauf und Personalabteilung betroffen, etwa bei gefälschten Bewerbungen mit Schadcode im Anhang.

Wie sensibilisiert man Mitarbeitende für Spear Phishing?

Sensibilisierung entsteht nicht durch eine einmalige Schulung, sondern durch wiederholte Auseinandersetzung mit aktuellen Angriffsmustern. Realistische Simulationen aus dem eigenen Arbeitsalltag, verbunden mit einer kurzen Nachbesprechung, schärfen das Erkennungsgefühl nachhaltiger als ein jährliches Seminar.