Täuscht selbst Experten: Deshalb ist "Spear Phishing" so gefährlich
Autor: Lea Mitulla
Deutschland, Montag, 16. März 2026
Es gibt eine Phishing-Methode, die selbst erfahrene Tech-Profis hinters Licht führen kann. Die Masche setzt auf gezielte Nachrichten mit persönlichen Informationen der Opfer.
Phishing-Mails gehören inzwischen schon zu unserem Alltag. Meistens handelt es sich dabei um Massennachrichten mit allgemeinen Formulierungen, die leicht zu durchschauen sind. Es gibt aber auch eine Variante von Phishing, die selbst Experten täuschen kann: Spear Phishing.
Spear Phishing läuft, wie der Name vermuten lässt, deutlich gezielter ab. Cyberkriminelle nutzen dafür teils gestohlene Informationen, um personalisierte Phishing-Mails zu erstellen. Statt unpersönlicher Anreden wie "Sehr geehrter Kunde", können die Opfer direkt angesprochen werden. Der Inhalt der Mail kann sich zum Beispiel auf ein kürzlich gekauftes Produkt oder eine gebuchte Reise beziehen. Die Phishing-Mails lassen sich damit kaum von echten Nachrichten eines Unternehmens unterscheiden.
Spear Phishing: So führen dich Betrüger mit Details aus deinem Leben hinters Licht
Spear Phishing funktioniert so gut, weil es Details aus dem echten Leben der Opfer einbindet. Der Anlass für die Nachricht erscheint dadurch plausibel. Die Informationen beschaffen sich die Betrüger nicht nur illegal aus Datenlecks, sondern auch aus öffentlich zugänglichen Quellen wie sozialen Netzwerken. Es entsteht der Eindruck: Das kann nur das echte Unternehmen oder die echte Person über mich wissen, ich kann der Nachricht also vertrauen.
Ein aktuelles Beispiel ist der Hack des Online-Shops "asgoodasnew.de": Kriminelle konnten Namen, Adressen, Passwörter und ganze Bestellverläufe der Kunden abgreifen. Im nächsten Schritt können sie eine personalisierte E-Mail zu einem Gerät erstellen, das der Kunde gekauft hat, oder zu Problemen bei einer bestimmten Bestellung oder Zahlung. Das Design der Nachricht bis hin zur Absendeadresse kann aussehen, wie das des echten Unternehmens. Zudem wäre ein Link enthalten, der beim Klick jedoch Schadsoftware herunterlädt oder zu einer gefälschten Webseite führt, die weitere persönliche Daten abfragt.
Spear Phishing kann aber auch über E-Mails hinausgehen. Der Bayerische Rundfunk berichtet über drei Beispiele, in denen die Masche in anderen Situationen zum Einsatz kam:
- Spear Phishing über Chatsysteme
Auf LinkedIn schilderte Marketing-Experte Robert Woodford, wie er über das Nachrichtensystem von Booking.com zum Betrugsopfer wurde. Er schrieb über die offizielle Webseite der Plattform mit einem Hotel über seine Buchung, ein "normaler Austausch". Später erhielt er eine Nachricht, die nach "fehlenden Details" und einer Vorauszahlung fragte. "Ich habe meine Kreditkarte seit der Buchung gewechselt - es schien daher einleuchtend", so Woodford. Die Nachricht erschien im selben Chatverlauf wie die legitimen Nachrichten des Hotels und auch der Zahlungslink machte einen offiziellen Eindruck. Woodford bemerkte den Betrug erst, als er schon gezahlt hatte und den falschen Namen des Zahlungsempfängers entdeckte. - Spear Phishing auf WhatsApp
Ein weiterer Booking-Nutzer berichtet auf X (ehemals Twitter), dass er nach seiner Hotelbuchung über WhatsApp kontaktiert wurde. Die Person, die sich als Mitarbeiter des Hotels ausgab, hätte seine Buchungsdetails gekannt und ihn gebeten, seine Kreditkarte über einen Link zu "verifizieren". - Spear-Phishing-Attacken auf Unternehmen
Der wohl bekannteste Einsatz von Spear Phishing traf den Ingenieurskonzern "Arup". Ein Finanzmitarbeiter überwies Kriminellen nach einem vermeintlichen Videoanruf mit seinem Chef und dem Finanzvorstand der Firma rund 23 Millionen Euro - tatsächlich handelte es sich um KI-generierte Deepfakes seiner Vorgesetzten. Die Angreifer hatten über soziale Netzwerke Bilder und Videos gesammelt, um die Kollegen und ihre Verhaltensweisen genau nachzuahmen.
Wieso fallen so viele auf Spear Phishing herein?
Die Fallbeispiele zeigen, wie wertvoll persönliche Daten für Kriminelle sind. Egal auf welchem Weg deine Informationen im Netz landen, sollte dir klar sein, dass sie nicht einfach wieder verschwinden. Große Datensätze mit Nutzernamen, E-Mail-Adressen und Passwörtern werden immer wieder zum Verkauf angeboten und für verschiedene Betrugsmaschen verwendet. Zum Schutz solltest du dich weiterhin an die altbekannte Regel halten: Keine Links anklicken und keine sensiblen Daten weitergeben, auch wenn eine Nachricht auf den ersten Blick vertrauenswürdig scheint.
