Eine Massen-Phishing-Mail verrät sich meist selbst: ein Anschreiben, das an tausend Empfänger zugleich passt, eine Anrede ohne Namen, ein Anliegen, das zu keinem laufenden Vorgang passt. Spear-Phishing ist das Gegenteil davon. Die Mail kennt den echten Namen der Geschäftsführung, den tatsächlichen Lieferanten, das laufende Projekt — recherchiert aus LinkedIn, der eigenen Firmenwebsite oder dem Impressum. Genau das macht sie so schwer zu erkennen, und genau deshalb reicht Technik allein hier nicht aus.
Warum Technik hier an ihre Grenzen kommt
SPF, DKIM und DMARC verhindern zuverlässig, dass jemand die eigene Domain fälscht. Sie verhindern nicht, dass ein Anzeigename täuschend echt aussieht, dass ein bereits kompromittiertes, echtes Konto eines Lieferanten die Mail verschickt, oder dass der Text so präzise auf den echten Vorgang passt, dass niemand innehält. Ein Filter prüft die Mail. Er prüft nicht, ob die darin genannte, geänderte IBAN tatsächlich vom Lieferanten stammt.
Woher die Angreifer ihre Informationen haben
Wer bei Ihnen Rechnungen freigibt, wer gerade in Karenz ist, welches Projekt gerade läuft, welcher Lieferant beauftragt wurde — vieles davon steht öffentlich auf LinkedIn, der Firmenwebsite, in Ausschreibungsunterlagen oder Social-Media-Profilen einzelner Mitarbeitender. Diese Recherche vor dem eigentlichen Angriff ist der eigentliche Aufwand hinter Spear-Phishing, nicht die Technik danach.
Der Prozess, der tatsächlich schützt
Rückruf-Verifikation bei geänderten Bankdaten
Eine E-Mail mit neuer IBAN wird nie allein aufgrund der Mail akzeptiert — Rückruf über eine bekannte, selbst nachgeschlagene Nummer, nie über eine in der Mail genannte.
Vier-Augen-Prinzip ab einem festen Schwellenwert
Ab einer festgelegten Summe braucht jede Überweisung eine zweite, unabhängige Freigabe — unabhängig davon, wie dringend die Anfrage wirkt.
Ein fixer Ablauf für Lieferanten-Kontoänderungen
Bankdaten werden im Ursprungsvertrag festgehalten. Jede Änderung braucht schriftliche und telefonische Bestätigung über einen unabhängigen Kanal, bevor sie übernommen wird.
Eine niedrige Hürde fürs Melden
Wer eine verdächtige Mail meldet, auch wenn sie sich als harmlos herausstellt, muss dafür keine Rechtfertigung liefern. Eine Meldekultur ohne Bloßstellung ist die einzige Chance, einen Angriffsversuch zu bemerken, bevor er wirkt.
Reale Fälle aus Österreich
Kärnten, Dezember 2022
Ein Unternehmen verlor laut Watchlist Internet mehrere zehntausend Euro durch gefälschte Zahlungsanweisungen im Namen der Geschäftsführung.
Graz
Ein weiterer dokumentierter Fall mit rund 47.000 Euro Schaden, ebenfalls über eine gefälschte Anweisung der Geschäftsführung.
Österreichweit, ein Täter
In einem Gerichtsverfahren wurde einem einzelnen Täter ein Gesamtschaden von rund 56 Millionen Euro durch CEO-Betrug gegen mehrere österreichische Unternehmen zugeordnet.
Ein Spamfilter prüft die Mail. Kein Filter prüft, ob die geänderte IBAN tatsächlich vom Lieferanten stammt.
Auch beim Ein- und Austritt von Mitarbeitenden
Ein weiterer, oft übersehener Angriffspunkt: die erste Woche einer neuen Person im Unternehmen oder die letzten Tage einer ausscheidenden. Ein strukturierter Onboarding- und Offboarding-Ablauf — wer wen wie kontaktiert, welche Zugänge wann aktiv sind — nimmt Angreifern genau das Zeitfenster, in dem sich eine neue oder scheidende Identität am leichtesten vortäuschen lässt. Das ist derselbe organisatorische Baustein, der auch laufenden Betrieb ausmacht, siehe Manage.
Seit Oktober 2025 verlangt eine EU-Verordnung bei SEPA-Überweisungen eine automatische Abgleichprüfung von Empfängername und IBAN — eine sinnvolle technische Ergänzung, aber kein Ersatz für die Prozesskontrolle im eigenen Haus, da sie einen falschen, aber vom Empfänger selbst korrekt hinterlegten Namen nicht erkennt. Die Erkennung solcher Angriffsmuster ist Teil dessen, was Protect an Schutzschichten über Manage legt — der Prozess für Zahlungsänderungen selbst ist aber etwas, das in jedem Unternehmen unabhängig von der eingesetzten Software beschlossen werden muss. Wenn Sie nicht sicher sind, ob ein solcher Ablauf bei Ihnen bereits schriftlich festgehalten ist: Das ist eine gute Frage für ein kurzes Gespräch.