Spear-Phishing — Zielgerichtete Phishing-Angriffe

Spear-Phishing ist eine zielgerichtete Form des Phishings, bei der Angreifer Anschreiben mit persönlichen Daten oder Rolleninformationen personalisieren, um eine einzelne Person oder kleine Gruppe zu täuschen. Im Gegensatz zu Massen-Phishing werden Ziele vorab recherchiert und Inhalte auf die Opfer abgestimmt. Spear-Phishing ist eine häufige Einstiegsmethode für Sicherheitsvorfälle und Datenverstöße.

Aktualisiert am: 25.08.2026

Merkmale von Spear-Phishing

Personalisierung mit Namen, Titel oder internen Details
Ahnung von vertrauten Kontakten oder Geschäftspartnern
Erzeugen von Druck oder Dringlichkeit (etwa sofort anklicken)
Legitim wirkende Links, die auf Malware oder Fake-Portale führen
Vorabrecherche des Opfers in sozialen Medien oder Unternehmenswebseiten

Spear-Phishing vs. Phishing und Whaling

Massen-Phishing sendet die gleiche Nachricht an Tausende. Spear-Phishing richtet sich gezielt gegen einzelne Rollen. Whaling ist eine Sonderform, die Geschäftsführer oder wichtige Entscheider angreift. Spear-Phishing ist wirksamer als Massen-Phishing, weil die Erfolgsquote durch Personalisierung höher ist. Deshalb ist es ein bevorzugter Angriffspfad für gezielte Kampagnen und gezielt koordinierte Angriffe.

Spear-Phishing in der Praxis

Spear-Phishing-Kampagnen dauern oft Wochen oder Monate. Ein Angreifer recherchiert zunächst sein Opfer: LinkedIn-Profile, Stellenanzeigen, Pressemitteilungen. Dann werden E-Mails unter dem Namen eines vertrauten Geschäftspartners oder des CFO versendet, die zum Klick auf einen Link drängen. Der Link führt zu einer gefälschten Login-Seite oder auf eine Website mit Malware. Gut personalisierte Nachrichten erreichen deutlich höhere Klickraten als Massen-Phishing.

Wo das im Mandat vorkommt

Ich führe regelmäßige Phishing-Simulationen durch, um Ihre Mitarbeiter zu schulen und Risiken zu erkennen. Das ist Teil der IT-Sicherheitsberatung.

Häufige Frage

Wie kann ich mich vor Spear-Phishing schützen?

Schulung ist zentral: Mitarbeiter sollten lernen, verdächtige E-Mails zu erkennen. Zusätzlich helfen technische Maßnahmen wie E-Mail-Filter, die verdächtige Links blockieren, und MFA, das unbefugten Zugriff erschwert. Aber die beste Verteidigung ist eine aufgeklärte Belegschaft.