Cyberkriminelle müssen heute keine plumpen Massenmails mehr verschicken. Stattdessen setzen sie zunehmend auf eine besonders perfide Methode: Spear Phishing. Dabei sind die Nachrichten so persönlich und detailreich, dass selbst vorsichtige Nutzer oder IT-Experten den Betrug oft nicht sofort erkennen.
Aktuelle Datenlecks zeigen, wie gefährlich diese Methode geworden ist.
Millionen gestohlene Kundendaten als Grundlage für Betrug
Ein aktuelles Beispiel liefert das Datenleck beim Online-Refurbished-Portal asgoodasnew. Nach Berichten wurden bis zu 1,8 Millionen Kundenkonten kompromittiert. Besonders problematisch: Die gestohlenen Daten enthalten nicht nur Namen und Adressen, sondern auch komplette Bestellhistorien.
Für Cyberkriminelle sind solche Informationen Gold wert. Sie wissen nun:
-
welches Gerät jemand gekauft hat
-
wann der Kauf stattfand
-
welche E-Mail-Adresse verwendet wurde
Damit lassen sich täuschend echte Nachrichten erstellen, die exakt auf das Opfer zugeschnitten sind.
Was Spear Phishing so gefährlich macht
Normales Phishing funktioniert nach dem Gießkannenprinzip: Millionen Menschen erhalten identische Mails mit generischen Anreden wie „Sehr geehrter Kunde“.
Beim Spear Phishing dagegen gehen die Täter gezielt vor:
-
persönliche Daten werden vorher gesammelt
-
Nachrichten wirken wie echte Kommunikation
-
reale Vorgänge werden aufgegriffen
Dadurch entsteht eine hohe Glaubwürdigkeit, die selbst erfahrene Nutzer täuschen kann.
Drei typische Spear-Phishing-Fallen
1. Die täuschend echte Support-Mail
Nach einem Datenleck könnten Kunden etwa eine E-Mail erhalten, die sich auf ein tatsächlich gekauftes Gerät bezieht. Der Absender wirkt authentisch, die Formulierungen passen zum Unternehmen.
Der Link führt jedoch nicht zum Support, sondern:
-
installiert Schadsoftware
-
oder verlangt Login- und Zahlungsdaten.
2. Betrug über Reiseportale
Auch Plattformen wie Booking.com wurden bereits für Spear-Phishing-Angriffe missbraucht.
In einem bekannten Fall erhielt ein Nutzer eine Nachricht im offiziellen Chat mit einem Hotel. Dort wurde behauptet, bei der Buchung fehlten Zahlungsdaten. Weil die Nachricht im echten Gesprächsverlauf erschien, wirkte sie glaubwürdig – tatsächlich hatten Kriminelle zuvor Hotel-Accounts kompromittiert.
3. Deepfake-Betrug in Unternehmen
Noch dramatischer ist ein Fall aus der Wirtschaft: Ein Finanzmitarbeiter überwies 25 Millionen Dollar, nachdem er scheinbar mit seinem Chef und dem Finanzvorstand per Video gesprochen hatte.
Die Täter nutzten:
-
öffentlich verfügbare Fotos
-
Videos aus sozialen Netzwerken
-
KI-generierte Deepfakes
So entstand ein täuschend echtes Videogespräch, das den Betrug glaubwürdig erscheinen ließ.
Woher die Täter die Daten bekommen
Cyberkriminelle greifen Daten aus verschiedenen Quellen ab:
-
gehackte Online-Shops
-
kompromittierte Reiseportale
-
gestohlene Nutzerkonten
-
Malware auf Unternehmensrechnern
Auch große Plattformen waren bereits betroffen. Beim Hack des Ticketverkaufsdienstes Ticketmaster wurden beispielsweise Daten von hunderten Millionen Nutzern entwendet.
Solche Informationen landen anschließend auf illegalen Marktplätzen im Internet und werden dort weiterverkauft.
Warum das Problem langfristig bleibt
Ein großes Risiko besteht darin, dass gestohlene Daten nicht verschwinden. Sie werden immer wieder von unterschiedlichen Tätergruppen verwendet.
Das bedeutet:
Selbst Jahre nach einem Datenleck können Nutzer noch Ziel von Spear-Phishing-Angriffen werden.
Wie sich Nutzer schützen können
Sicherheitsexperten raten zu einfachen, aber konsequenten Maßnahmen:
-
niemals auf Links in unerwarteten Nachrichten klicken
-
keine Zugangsdaten per Mail oder Chat eingeben
-
Unternehmen direkt über die offizielle Website kontaktieren
-
Zwei-Faktor-Authentifizierung aktivieren
Vor allem gilt: Auch persönliche Nachrichten können gefälscht sein.
Fazit
Spear Phishing zeigt, wie professionell Cyberkriminalität inzwischen organisiert ist. Dank gestohlener Daten, Social-Media-Informationen und künstlicher Intelligenz können Betrüger Nachrichten erstellen, die kaum noch von echten Mitteilungen zu unterscheiden sind.
Der wichtigste Schutz bleibt deshalb gesunde Skepsis – selbst dann, wenn eine Nachricht scheinbar perfekt zum eigenen Alltag passt.
