Spear-Phishing ist gezieltes Phishing: Statt Massenmails erhalten ausgewählte Personen maßgeschneiderte Nachrichten, aufgebaut auf echter Recherche — Rollen, Projekte, Schreibstil, aktuelle Vorgänge. Business Email Compromise (BEC), hierzulande als CEO-Fraud bekannt, ist die auf Geld gerichtete Spitze davon: Täter geben sich als Geschäftsführung, Lieferant oder Anwalt aus und veranlassen Überweisungen oder Datenherausgaben.
BEC kommt häufig ganz ohne Schadsoftware aus — die Waffe ist Glaubwürdigkeit. Genau deshalb laufen diese Angriffe an klassischen Virenfiltern vorbei und gehören zu den teuersten Betrugsformen überhaupt.
Wie laufen BEC-Angriffe ab?
Am Anfang steht Aufklärung: Organigramme, Zeichnungsberechtigungen, Urlaubszeiten, laufende Projekte — vieles davon öffentlich. Dann folgt die Ansprache: eine täuschend ähnliche Absenderdomain, ein kompromittiertes echtes Postfach oder schlicht Antwortdruck („vertraulich, eilt, nur Sie"). Immer öfter verstärken KI-generierte Texte und Deepfake-Stimmen die Täuschung.
Die gefährlichste Variante nutzt echte, übernommene Postfächer: Täter lesen wochenlang mit, klinken sich in laufende Rechnungsvorgänge ein und ändern im richtigen Moment nur die Bankverbindung.
Was wirklich schützt
- Prozesse vor Technik: Vier-Augen-Prinzip und Rückruf über bekannte Nummern bei Zahlungs- und Stammdatenänderungen — ausnahmslos.
- E-Mail-Authentifizierung (SPF, DKIM, DMARC) gegen gefälschte Absenderdomains.
- Phishing-resistente Anmeldung (Passkeys), damit Postfächer gar nicht erst übernommen werden.
- Geschulte Skepsis: Dringlichkeit plus Vertraulichkeit plus Zahlungsänderung ist das Muster.