Spear-Phishing und Business Email Compromise

Von Massen-Phishing zu gezielten Angriffen

Die meisten Menschen verstehen generisches Phishing – massenhaft versendete E-Mails, die vorgeben, von Netflix oder UPS zu kommen, in der Hoffnung, dass ein kleiner Prozentsatz der Empfänger darauf hereinfällt. Spear-Phishing ist eine völlig andere Bedrohung: Es ist gezielt, personalisiert und dramatisch wirksamer.

Anstatt ein weites Netz auszuwerfen, recherchiert ein Spear-Phisher ein bestimmtes Opfer oder eine Organisation und erstellt eine E-Mail, die scheinbar von einer vertrauenswürdigen Quelle stammt – einem Kollegen, einem Lieferanten oder einem leitenden Manager – mit Bezugnahme auf realen Kontext, der die E-Mail glaubwürdig macht. Die Erfolgsquoten für Spear-Phishing sind 3- bis 10-mal höher als bei generischen Kampagnen.

Business Email Compromise (BEC) ist eine spezifische und finanziell verheerende Form des Spear-Phishings, die auf Organisationen abzielt. Das Internet Crime Complaint Center (IC3) des FBI stuft BEC konsequent als eine der kostspieligsten Cyberkriminalitätskategorien ein, mit Milliarden an jährlichen Verlusten. BEC-Angriffe benötigen weder Malware noch technische Exploits – sie nutzen menschliches Vertrauen und Geschäftsprozesse aus.

Wie Angreifer Ziele recherchieren

Ein hochentwickelter Angreifer verbringt erhebliche Zeit mit Aufklärung, bevor er eine einzige E-Mail sendet. Quellen umfassen:

Open Source Intelligence (OSINT)

• LinkedIn: Offenbart Organisationsstruktur, Berichtsbeziehungen, Stellenbezeichnungen, verwendete Technologien (Stellenanzeigen erwähnen Tech-Stacks) und Mitarbeiternamen
• Unternehmenswebsites: Identifiziert Führungskräfte, Abteilungsleiter, Kontaktadressen und das Unternehmens-E-Mail-Format (vorname.nachname@firma.de)
• Social Media: Persönliche Details, aktuelle Ereignisse, besuchte Konferenzen, erwähnte Projekte – Kontext, der E-Mails glaubwürdig macht
• Pressemitteilungen und Finanzberichte: Enthüllt Fusionen, Übernahmen, wichtige Lieferanten und bevorstehende Deals
• Domain-WHOIS-Einträge: Kontaktinformationen, Registrar-Details
• Datenpannen-Datenbanken: Kompromittierte Anmeldedaten von Mitarbeitern, die möglicherweise noch gültig sind oder Passwortmuster aufzeigen

E-Mail-Adress-Harvesting

Sobald das E-Mail-Format des Unternehmens bekannt ist, können Angreifer Adressen für jeden Mitarbeiter generieren. Tools wie Hunter.io aggregieren öffentlich sichtbare E-Mail-Adressen aus dem gesamten Web, was dies trivial einfach macht.

Häufige BEC-Angriffsszenarien

CEO-Betrug

Der Angreifer gibt sich als CEO (oder ein anderer leitender Manager) aus und schreibt dem Finanzteam eine E-Mail mit der Bitte um eine dringende Überweisung. Die E-Mail erzeugt Druck:

„Ich bin in einer Vorstandssitzung und kann nicht telefonieren. Ich brauche Sie, bis 15 Uhr 47.000 Euro für eine vertrauliche Übernahme auf dieses Konto zu überweisen. Sprechen Sie mit niemandem darüber, bis dies abgeschlossen ist."

Die Dringlichkeit, Autorität, Bitte um Geheimhaltung und ein plausibler Geschäftskontext kombinieren sich, um normale Verifizierungsinstinkte zu umgehen.

Lieferantenrechnungsbetrug

Der Angreifer kompromittiert oder imitiert einen legitimen Lieferanten und sendet modifizierte Rechnungen mit geänderten Zahlungskontodetails. Das Unternehmen bezahlt eine echte Rechnung – aber auf das Konto des Angreifers.

Dieser Angriff folgt oft auf tatsächliche Überwachung eines kompromittierten E-Mail-Kontos, um die Geschäftsbeziehung und den Zeitpunkt echter Rechnungen zu verstehen.

Gehaltsumleitung

Angreifer geben sich als Mitarbeiter aus und schicken der HR- oder Gehaltsabteilung eine E-Mail mit der Bitte um eine Änderung ihrer Direktüberweisung. Im nächsten Gehaltszahlungszyklus geht das Gehalt des Mitarbeiters auf das Konto des Angreifers.

Kontoübernahme

Anstatt eine E-Mail zu fälschen, verwendet der Angreifer gestohlene Anmeldedaten, um ein echtes E-Mail-Konto zu übernehmen – was ihm perfekte Imitation, Zugang zur E-Mail-Historie für Kontext und die Möglichkeit gibt, echte Kommunikation abzufangen und zu modifizieren.

Warum diese Angriffe gelingen

• Autoritätsverzerrung: Anfragen von Führungskräften werden anders verarbeitet – Menschen zögern, sie zu hinterfragen oder zu verifizieren
• Dringlichkeit und Zeitdruck: Dringende Anfragen umgehen sorgfältiges Denken
• Vertrautheit: E-Mails beziehen sich auf echte Kollegen, Projekte und Lieferanten und bestehen den Bauchcheck
• Organisatorische Silos: Die Finanzabteilung hat möglicherweise keinen direkten Zugang, um rechtzeitig mit dem CEO zu verifizieren
• Umgehung technischer Kontrollen: BEC verwendet legitime E-Mails, Social Engineering und keine Malware – die meisten technischen Abwehrmaßnahmen sind dafür blind

Technische Abwehrmaßnahmen für Organisationen

E-Mail-Authentifizierungsprotokolle

• SPF (Sender Policy Framework): Gibt an, welche Mailserver berechtigt sind, E-Mails für eine Domain zu senden. Verhindert einige Arten von Spoofing.
• DKIM (DomainKeys Identified Mail): Fügt ausgehenden E-Mails eine kryptografische Signatur hinzu und beweist, dass sie während der Übertragung nicht manipuliert wurden.
• DMARC (Domain-based Message Authentication, Reporting, and Conformance): Weist empfangende Mailserver an, was mit E-Mails zu tun ist, die SPF- oder DKIM-Prüfungen nicht bestehen – ablehnen, unter Quarantäne stellen oder überwachen. Eine DMARC-Richtlinie auf reject gesetzt verhindert direktes Domain-Spoofing.

Diese drei Protokolle, ordnungsgemäß konfiguriert, verhindern, dass Angreifer Ihre genaue Domain fälschen – aber sie verhindern keine Look-alike-Domains (z. B. firma-ag.de vs. firmaag.de).

Mehrpersonen-Genehmigung für Überweisungen

Verlangen Sie eine doppelte Autorisierung für Überweisungen über einem Schwellenwert. Kein einzelner Mitarbeiter sollte in der Lage sein, eine erhebliche Überweisung allein auf Basis einer E-Mail zu veranlassen.

Out-of-Band-Verifizierung

Legen Sie eine Richtlinie fest: Für jede Änderung der Zahlungsrichtung oder ungewöhnliche Überweisungsanfragen bestätigen Sie, indem Sie den Antragsteller unter einer bekannten, vorher festgelegten Telefonnummer anrufen – niemals unter einer Nummer, die in der verdächtigen E-Mail angegeben wird.

Schulung zur Sicherheitsbewusstsein

Regelmäßige, realistische Phishing-Simulationen schulen Mitarbeiter darin, verdächtige E-Mails zu erkennen und zu melden. Schulungen sollten BEC-Szenarien speziell abdecken, nicht nur generisches Phishing.

Was zu tun ist, wenn Sie einen BEC-Angriff vermuten

1. Führen Sie die angeforderte Aktion nicht durch – pausieren Sie, auch wenn Druck ausgeübt wird, schnell zu handeln
2. Verifizieren Sie über einen separaten Kanal: Rufen Sie den Antragsteller direkt unter einer Nummer aus Ihren Kontakten an, nicht aus der E-Mail
3. Melden Sie es sofort Ihrem Sicherheitsteam oder Ihrer IT-Abteilung
4. Wenn eine Überweisung getätigt wurde: Kontaktieren Sie sofort Ihre Bank – Überweisungen können manchmal innerhalb von Stunden durch den Betrugspräventionsprozess der Bank rückgängig gemacht werden
5. Bewahren Sie alle Beweise auf: Löschen oder verändern Sie die verdächtige E-Mail nicht",