Spoofing: Bedeutung, Arten und Beispiele

Das Wichtigste in Kürze

• Der angezeigte Absender einer E-Mail, eines Anrufs oder einer SMS wird technisch nicht zuverlässig geprüft und lässt sich daher mit geringem Aufwand fälschen.
• Aussagekräftig ist nicht der Name, den das Mailprogramm anzeigt, sondern die vollständige Absenderadresse und insbesondere die Domain nach dem @-Zeichen.
• Selbst eine bekannte Rufnummer im Display ist kein verlässlicher Hinweis auf einen echten Anruf, denn auch Servicenummern von Banken werden für Betrugsanrufe missbraucht.
• Technische Verfahren wie SPF, DKIM und DMARC schützen nur vor dem Missbrauch der echten Domain, und das auch nur, wenn die Domain eine strenge DMARC-Regel festgelegt hat.

Was ist Spoofing?

Wie Spoofing im Alltag aussieht, zeigt eine Phishing-Mail, vor der die Plattform Onlinesicherheit im August 2025 warnte. Dem Absendernamen nach stammte sie von „FinanzOnline“. Verschickt wurde sie jedoch von der Adresse bmfteam.atw@skynet.be, die mit dem Finanzportal nichts zu tun hat. Unter Verweis auf angeblich neue Steuerregeln sollten die Empfängerinnen und Empfänger Angaben zu ihren Kryptowährungen machen.

Dass sich Absender so leicht fälschen lassen, hat technische Gründe. Als der E-Mail-Versand 1982 im Standard RFC 821 festgelegt wurde, waren keinerlei Schutzmaßnahmen gegen gefälschte Absender vorgesehen. Die Absenderangabe einer E-Mail ist deshalb bis heute mit dem Absender auf einem Briefkuvert vergleichbar. Er steht dort, weil ihn jemand hingeschrieben hat, und nicht, weil ihn jemand geprüft hat. Auch beim Telefon ist es laut der Regulierungsbehörde RTR relativ leicht möglich, bei Anrufen oder SMS eine falsche Nummer oder einen falschen Absendernamen anzuzeigen.

Welche Arten von Spoofing gibt es?

Spoofing ist über jeden Kanal möglich, der einen Absender anzeigt. Im Arbeitsalltag haben Beschäftigte vor allem mit diesen vier Formen zu tun.

Die Begriffe werden nicht einheitlich verwendet. Im engeren Sinn meint E-Mail-Spoofing, dass Kriminelle die echte Absenderadresse einer Organisation in eine Mail eintragen. Domain-Spoofing ist der weitere Begriff und umfasst jede Nachahmung einer Domain, also auch ähnlich aussehende Adressen und gefälschte Websites.

Was unterscheidet Spoofing von Phishing?

Spoofing beschreibt eine Technik, Phishing einen Angriff. Beim Spoofing wird der Absender gefälscht, mehr nicht. Phishing ist dagegen ein konkreter Betrugsversuch, bei dem Kriminelle Zugangsdaten, Zahlungen oder vertrauliche Informationen erbeuten wollen. Eine Phishing-Mail kann dafür einen gefälschten Absender nutzen, sie kann aber auch aus einem echten Postfach stammen, das Kriminelle zuvor übernommen haben. Umgekehrt ist nicht jedes Spoofing Phishing. Bei einem Anruf mit gefälschter Nummer wird zum Beispiel kein Link verschickt, die Täuschung findet im Gespräch statt.

Neben der klassischen Phishing-Mail haben sich eigene Begriffe für andere Wege etabliert: Vishing am Telefon, Smishing per SMS und Quishing, bei dem ein QR-Code auf die gefälschte Seite führt. Alle diese Formen gehören zum Social Engineering, bei dem Kriminelle gezielt menschliches Vertrauen ausnutzen, statt technische Sicherheitslücken anzugreifen. Wie Angreifende dabei einzelne Personen ins Visier nehmen, zeigt der Beitrag zu Spear-Phishing.

Wie läuft E-Mail-Spoofing ab?

Bei E-Mails gibt es drei Wege, einen fremden Absender vorzutäuschen. Beim E-Mail-Spoofing im engeren Sinn tragen Kriminelle die echte Adresse ein, etwa anna.berger@firma.com. Das gelingt, weil der technische E-Mail-Standard den sichtbaren Absender nicht von sich aus prüft. Ob eine solche Mail auffällt, hängt davon ab, wie gut die Domain firma.com geschützt ist. Fehlen die Schutzverfahren oder sind sie nur schwach eingestellt, erkennt der empfangende Server die Fälschung am Absender nicht zuverlässig.

Der zweite Weg ist eine Domain, die der echten zum Verwechseln ähnlich sieht. Das Bundeskriminalamt nennt solche leicht veränderten E-Mail-Adressen ausdrücklich als Warnsignal. Am einfachsten ist der dritte Weg, ein falscher Anzeigename (Display Name), denn welcher Name in der Mail-App erscheint, kann der Absender frei wählen. Das folgende Beispiel zeigt den zweiten Weg, weil er auch gegen gut geschützte Domains funktioniert.

1. Die Kriminellen wählen eine vertraute Person. Auf der Website Ihres Unternehmens steht, dass Anna Berger die Buchhaltung leitet. Ihren Namen verwenden die Kriminellen später als Anzeigenamen.
2. Sie registrieren eine ähnliche Domain. Statt firma.com nutzen sie firrna.com. In kleiner Schrift sehen die Buchstaben r und n nebeneinander fast aus wie ein m, sodass der Unterschied beim schnellen Lesen kaum auffällt.
3. Die Mail kommt in Ihrem Postfach an. Weil die Domain tatsächlich den Kriminellen gehört, können sie alle technischen Einträge korrekt einrichten. Laut Microsoft kann eine solche Mail dadurch sogar die technischen Echtheitsprüfungen bestehen. Anhand des Absenders hat der E-Mail-Filter dann keinen Grund, sie auszusortieren.
4. Am Handy sehen Sie nur den Namen. Die Mail-App zeigt „Anna Berger“ und den Betreff „Offene Rechnung, bitte heute“. Die vollständige Adresse sehen Sie erst, wenn Sie auf den Namen tippen. Laut WKO ist diese Prüfung in Smartphone-Apps oft schwer oder gar nicht möglich.
5. Die Mail verlangt eine Überweisung auf ein neues Konto. Angeblich hat der Lieferant die Bank gewechselt, und die Rechnung ist bereits überfällig. Wer mit einer Rückfrage antwortet, schreibt direkt an die Kriminellen, die den Kontowechsel bereitwillig bestätigen.

In diesem Beispiel hätte schon ein Tipp auf den Namen die fremde Domain gezeigt. Auch ein kurzer Anruf bei Anna Berger unter ihrer gespeicherten Durchwahl hätte die Täuschung aufgedeckt.

Warum ist Spoofing gefährlich?

Gefährlich wird Spoofing durch das, was die Täuschung auslöst. Wie hoch die Schäden sein können, zeigen Zahlen aus den USA. Beim Internet Crime Complaint Center des FBI gingen für das Jahr 2025 24.768 Beschwerden zu Business Email Compromise ein, also zu Betrug über gefälschte oder übernommene geschäftliche E-Mail-Konten. Die gemeldeten Verluste beliefen sich auf rund 3,05 Milliarden US-Dollar. Erfasst sind dabei nur Fälle, die dem FBI gemeldet wurden.

Für Österreich veröffentlicht die Oesterreichische Nationalbank Zahlen zum Betrug im Zahlungsverkehr. Demnach entstand 2025 ein Schaden von 115,4 Millionen Euro. Bei Überweisungen gingen 83 Prozent der Verluste darauf zurück, dass Betrügerinnen und Betrüger ihre Opfer gezielt täuschten, unter anderem mit gefälschten Anrufen.

Welcher Schaden im Einzelfall entsteht, hängt davon ab, wozu die gefälschte Nachricht verleiten soll.

• Überweisungen an Kriminelle. Eine Rechnung mit geänderter Bankverbindung oder eine angebliche Anweisung der Geschäftsführung, bekannt als CEO-Fraud, führt dazu, dass Geld auf das Konto der Kriminellen fließt. Ob sich das Geld zurückholen lässt, ist ungewiss und hängt unter anderem davon ab, wie schnell der Vorfall bemerkt und gemeldet wird.
• Übernommene Firmenkonten. Die Mail führt auf eine nachgebaute Login-Seite. Wer dort sein Passwort eingibt, übergibt es den Kriminellen, die sich damit in das echte Konto einloggen. Je nach Berechtigungen des Kontos können sie dann auf vertrauliche Daten zugreifen, weitere Nachrichten verschicken oder in anderen Systemen tätig werden.
• Schadsoftware im Netzwerk. Einen Anhang, der scheinbar von einem bekannten Lieferanten stammt, öffnen Beschäftigte eher als die Datei eines Unbekannten. Enthält er Schadsoftware, kann diese Daten verschlüsseln oder den Kriminellen weiteren Zugriff auf das Netzwerk verschaffen.

Woran erkennen Sie Spoofing?

Eine gespoofte Nachricht sieht auf den ersten Blick aus wie eine echte. Hinweise auf eine Fälschung liefern unter anderem der tatsächliche Absender hinter dem angezeigten Namen und eine Bitte, die nicht zu den üblichen Abläufen passt.

1. Tippen Sie auf den Absendernamen. Erst dann zeigt die Mail-App die vollständige Adresse. Steht dort eine private oder fremde Adresse, obwohl der Name nach einer Kollegin, Ihrer Bank oder einer Behörde klingt, fragen Sie nach, bevor Sie reagieren.
2. Lesen Sie die Domain genau. Die Domain ist der Teil nach dem @ und zeigt, zu wem die Adresse gehört. In anna.berger@firrna.com stehen die Buchstaben r und n an der Stelle, an der in firma.com ein m steht. Achten Sie auch auf zusätzliche Bindestriche, Zusätze wie -rechnung oder eine andere Endung, etwa .net statt .com.
3. Prüfen Sie die Antwortadresse. Tippen Sie auf „Antworten“ und sehen Sie sich an, an wen Ihre Nachricht gehen würde. Weicht die Adresse vom angezeigten Absender ab, landet Ihre Antwort womöglich bei jemand ganz anderem.
4. Beachten Sie Hinweise Ihres Mailprogramms. Outlook kann zum Beispiel anzeigen, dass Sie von einer Adresse selten Nachrichten erhalten, oder Mails von außerhalb des Unternehmens als extern kennzeichnen. Ob diese Hinweise in Ihrem Unternehmen aktiviert sind, weiß die IT.
5. Verlassen Sie sich nicht auf die Nummer im Display. Im November 2025 warnte die Plattform Onlinesicherheit vor Betrugsanrufen, bei denen die echte Servicenummer der Erste Bank angezeigt wurde. Verlangt jemand am Telefon eine Zahlung, Zugangsdaten oder einen Fernzugriff auf Ihren Rechner, beenden Sie das Gespräch und rufen Sie über eine Nummer zurück, die Sie selbst gespeichert oder auf der offiziellen Website nachgesehen haben.
6. Öffnen Sie keine Links aus SMS, auch nicht im vertrauten Verlauf. Wie eine österreichische Bank warnt, kann eine gefälschte SMS im selben Verlauf erscheinen wie echte Nachrichten der Bank, weil das Smartphone Nachrichten nach dem Absendernamen sortiert. Rufen Sie die App oder Website Ihrer Bank stattdessen selbst auf.
7. Hinterfragen Sie die Bitte selbst. Eine neue Kontonummer, Zeitdruck, die Aufforderung zur Verschwiegenheit oder die Frage nach einem Passwort sind Anlass für eine Rückfrage, auch wenn der Absender echt wirkt. Fragen Sie dann telefonisch unter der bekannten Nummer oder persönlich nach.

In der Praxis

In den Phishing-Simulationen von ClickWise steigt die Schwierigkeit mit dem Lernfortschritt jeder Person, von Mails mit verdächtigen Absendern bis zu Mails, die scheinbar von bekannten Absendern stammen. Wie die Stufen aufgebaut sind, zeigt die Seite zur Phishing-Simulation.

Was leisten SPF, DKIM und DMARC?

Eine E-Mail funktioniert ähnlich wie ein Brief. Auf dem Umschlag (Envelope) steht eine Absenderadresse, die nur die Mailserver für die Zustellung nutzen. Im Briefkopf (Header) steht die Absenderadresse, die Sie in Ihrer Mail-App sehen. Die beiden Angaben können sich unterscheiden, und beim Versand prüft niemand, ob sie zusammenpassen.

Drei Verfahren schützen die echte Domain eines Unternehmens. Einrichten kann sie die IT oder der E-Mail-Anbieter.

• SPF ist eine öffentliche Liste der Server, die für eine Domain Mails verschicken dürfen.
• DKIM ist eine digitale Unterschrift, eine Art Siegel, das nur die echte Domain an ihren Mails anbringen kann.
• DMARC prüft, ob der Absender im Briefkopf zu diesen beiden Angaben passt, und legt fest, was mit Mails passiert, die durchfallen, etwa ob sie gelöscht werden.

Seit Februar 2024 verlangt Google von Absendern, die täglich mehr als 5.000 E-Mails an Gmail-Konten schicken, alle drei Verfahren einzusetzen. Die DMARC-Regel darf dabei allerdings „none“ lauten. Mit dieser Einstellung äußert die Domain laut Standard keine Präferenz, wie mit nicht bestandenen Prüfungen umzugehen ist, und verlangt damit auch nicht, gefälschte Mails abzuweisen.

Was erkennen diese Verfahren nicht?

Selbst eine streng geschützte Domain hilft nur gegen Mails, die genau diese Domain missbrauchen. Der aktuelle DMARC-Standard hält ausdrücklich fest, dass er weder ähnlich aussehende Domains noch gefälschte Anzeigenamen abdeckt. Eine Mail von firrna.com besteht die Prüfungen deshalb problemlos, denn die Domain gehört tatsächlich den Kriminellen, und auch Microsoft weist darauf hin. Ebenso wenig erkennen die Verfahren eine Mail, die aus einem echten, aber zuvor übernommenen Postfach kommt.

Gegen diese Fälle hilft nur, dass Beschäftigte die Absenderadresse selbst lesen und ungewöhnliche Bitten über einen bekannten Weg prüfen.

Wie schützen sich Unternehmen?

Da die Technik falsche Anzeigenamen und ähnliche Domains nicht zuverlässig abfängt, brauchen Beschäftigte klare und einfache Regeln, um ungewöhnliche Anfragen zu prüfen. Das Bundeskriminalamt empfiehlt etwa ein Vier-Augen-Prinzip bei Zahlungen, bei dem eine zweite Person jede Überweisung freigibt. Ändert ein Lieferant angeblich seine Bankverbindung, sollte die Änderung grundsätzlich über eine bereits hinterlegte Telefonnummer bestätigt werden und nie über Kontaktdaten aus der verdächtigen Mail selbst.

Genauso wichtig ist, dass die richtigen Handgriffe zur Gewohnheit werden: den Absendernamen antippen, die Domain lesen und bei Anrufen, in denen es um Geld oder Zugangsdaten geht, über die bekannte Nummer zurückrufen. Regelmäßige Übungen mit realistischen Nachrichten helfen dabei. Außerdem sollte es eine feste Meldeadresse oder Ansprechperson für verdächtige Mails geben, damit die IT andere Beschäftigte rechtzeitig warnen kann.

Was tun, wenn es passiert ist?

Wenn Sie bereits geantwortet, auf einen Link geklickt oder eine Zahlung ausgelöst haben, informieren Sie sofort die IT und schildern Sie möglichst genau, was passiert ist. Wurde Geld überwiesen, muss die zuständige Person unverzüglich die Hausbank kontaktieren, damit ein Zahlungsstopp oder ein Rückruf der Zahlung veranlasst werden kann. Haben Sie auf einer gefälschten Seite Ihr Passwort eingegeben, ändern Sie es sofort. Löschen Sie die verdächtige Nachricht nicht, sondern leiten Sie sie an die IT weiter, damit der Vorfall untersucht werden kann.

Pflichten und Meldewege in Österreich

In Österreich gelten seit 2024 Regeln gegen gefälschte Rufnummern. Kommt ein Anruf aus dem Ausland, zeigt aber eine österreichische Nummer an, müssen die Netzbetreiber diese Nummer nach § 5a der Kommunikationsparameter-, Entgelt- und Mehrwertdiensteverordnung unterdrücken, sofern sie ihre Echtheit nicht sicherstellen können. Die Vorgabe galt für Handynummern spätestens ab 1. September 2024 und für alle übrigen Nummern ab 31. Dezember 2024. Laut RTR sank die Zahl der Beschwerden über missbrauchte eigene Rufnummern daraufhin von durchschnittlich rund 1.400 pro Monat auf 69 im Dezember 2024. Spoofing mit ausländischen Nummern ist aber weiterhin möglich, und der Fall der Erste Bank zeigt, dass auch eine österreichische Nummer im Display kein sicherer Beweis ist.

Ab 1. Oktober 2026 kommt eine Regel für SMS hinzu, bei denen statt einer Rufnummer ein Name als Absender erscheint, etwa der Name einer Bank oder der Post. Solche Absendernamen müssen dann in einem öffentlichen Verzeichnis der RTR eingetragen sein. SMS mit nicht eingetragenem Namen werden verworfen. Können die Netzbetreiber nicht sicherstellen, dass eine SMS tatsächlich im Auftrag des eingetragenen Inhabers verschickt wurde, ersetzen sie den Absendernamen durch „Unbekannt“. SMS, die eine gewöhnliche Telefonnummer als Absender zeigen, erfasst diese Regel nicht.

Im Unternehmen sollte jeder Verdacht zuerst an die IT gehen. Gefälschte Anrufe und SMS können Sie zusätzlich der Meldestelle Rufnummernmissbrauch der RTR melden, bei der 2025 insgesamt 31.888 Beschwerden eingingen, davon 10.205 zu betrügerischen SMS. Betrügerische E-Mails, Websites und Online-Shops nimmt die Watchlist Internet entgegen, die über aktuelle Betrugsmaschen im Internet informiert. Ist bereits ein Schaden entstanden, erstatten Sie Anzeige bei der nächsten Polizeidienststelle.

Fazit: Der Absender allein beweist nichts

Spoofing funktioniert, weil E-Mail, Telefon und SMS den angezeigten Absender nicht zuverlässig prüfen und wir Nachrichten von bekannten Namen schneller vertrauen. Technische Verfahren wie DMARC und die neuen österreichischen Regeln für Anrufe und SMS schließen einen Teil dieser Lücke. Falsche Anzeigenamen und ähnlich aussehende Domains erkennen am Ende aber nur Menschen, die genau hinsehen.

Prüfen Sie deshalb vor jeder ungewöhnlichen Handlung die vollständige Absenderadresse. Klären Sie Bitten um Zahlungen, Passwörter oder vertrauliche Daten über eine Nummer, die Sie selbst gespeichert haben, auch wenn im Display die richtige Nummer erscheint. Und melden Sie verdächtige Nachrichten der IT, selbst wenn Sie nicht darauf hereingefallen sind.