Spear-Phishing und Massen-Phishing: wo liegt der Unterschied?
Phishing ist nicht gleich Phishing. Manche Angriffe werden breit gestreut, in der Hoffnung, irgendwen zu erwischen; andere zielen sorgfältig auf eine einzige Person. Wer den Unterschied kennt, erkennt beide — und weiß, wann besondere Vorsicht angebracht ist.
Massen-Phishing: das weite Netz
Massen-Phishing ist das Prinzip Gießkanne. Angreifer schicken dieselbe Nachricht an Tausende, teils Millionen Menschen gleichzeitig. Sie wissen nicht, wer Sie sind; sie hoffen schlicht, dass ein kleiner Anteil der Empfänger anbeißt.
Weil diese Nachrichten generisch sind, ähneln sie sich oft:
- Unpersönliche Anreden wie „Sehr geehrter Kunde“ oder „Lieber Kontoinhaber“.
- Bekannte Marken — Banken, Paketdienste, Streamingdienste —, gewählt, weil viele Menschen sie nutzen.
- Breite Aufhänger — ein angeblich erwartetes Paket, ein Konto, das „bestätigt“ werden muss, oder eine unerwartete Rechnung.
Massen-Phishing lebt von der schieren Menge. Selbst wenn nur eine von tausend Personen reagiert, lohnt sich der Fang für die Angreifer.
Spear-Phishing: der gezielte Stich
Spear-Phishing ist das Gegenteil. Statt ein weites Netz auszuwerfen, zielt der Angreifer auf eine bestimmte Person oder eine kleine Gruppe — und macht vorher seine Hausaufgaben.
Bevor überhaupt etwas verschickt wird, sammelt er Details über Sie: Ihren Namen, Ihre Funktion, an wen Sie berichten, Projekte, an denen Sie arbeiten, sogar Ihre jüngsten Beiträge in sozialen Netzwerken. Daraus baut er eine Nachricht, die persönlich und glaubwürdig wirkt.
Eine Spear-Phishing-Mail nennt vielleicht Ihre Vorgesetzte beim Namen, verweist auf ein echtes Projekt und trifft genau dann ein, wenn Sie eine solche Anfrage ohnehin erwarten.
Weil sie maßgeschneidert ist, überzeugt Spear-Phishing weit mehr — und ist entsprechend gefährlicher. Die verräterischen Merkmale des Massen-Phishings (generische Anrede, offensichtliche Fehler) fehlen meist.
Ein kurzer Vergleich
| Massen-Phishing | Spear-Phishing | |
|---|---|---|
| Ziel | Irgendwer und jeder | Eine bestimmte Person oder ein Team |
| Aufwand | Gering, in Masse versendet | Hoch, recherchiert und maßgeschneidert |
| Persönliche Details | Generisch | Echter Name, Rolle, Kontext |
| Erkennbarkeit | Oft leichter | Bewusst schwer |
Wo „Whaling“ und CEO-Betrug hineinpassen
Sie hören vielleicht auch die Begriffe Whaling und CEO-Betrug. Das sind Formen des Spear-Phishings gegen besonders lohnende Ziele — Führungskräfte oder Menschen, die Zahlungen freigeben können. Ein häufiges Beispiel: eine Mail, die scheinbar von Ihrer Geschäftsführung kommt und dringend um eine Überweisung oder den Kauf von Gutscheinkarten bittet. Sie ist maßgeschneidert, nutzt Autorität und setzt darauf, dass Sie die Chefin nicht infrage stellen wollen.
Wie Sie sich gegen beides schützen
Die guten Gewohnheiten sind dieselben, ob der Angriff breit oder gezielt ist:
- Langsamer werden, wenn Druck aufgebaut wird. Dringlichkeit plus eine Bitte um Geld oder Informationen ist das stärkste Warnsignal überhaupt.
- Ungewöhnliche Anfragen unabhängig prüfen. Verlangt Ihre Führungskraft oder ein Lieferant etwas Ungewohntes, bestätigen Sie es telefonisch oder persönlich — über Kontaktdaten, denen Sie ohnehin vertrauen.
- Achten Sie darauf, was Sie öffentlich teilen. Je weniger persönliche Details online zu finden sind, desto schwerer ist es, Sie überzeugend anzugreifen.
- „Der Chef hat gefragt“ mit gesunder Skepsis behandeln. Eine echte Führungskraft ist lieber nachgeprüft worden, als dass in ihrem Namen ein Betrug gelingt.
Die entscheidende Einsicht: Dass eine Nachricht persönlich und konkret ist, macht sie nicht sicher. Beim Spear-Phishing ist genau diese persönliche Note die Falle. Wenn eine Bitte wichtig und zeitkritisch wirkt, ist das der Moment zum Nachprüfen — nicht zum Beeilen.
Wie GottaPhish hilft
Spear-Phishing ist gerade deshalb gefährlich, weil es persönlich und konkret ist und damit sowohl an generischen Filtern als auch am Bauchgefühl vorbeirutscht — und genau dort setzen GottaPhish und unser Expertenteam an. Unsere Simulationen reichen von breiten Phishing-Kampagnen bis zu realistischen Spear-Phishing-Szenarien, zugeschnitten auf Rollen wie Finanzen oder Geschäftsleitung, unterlegt mit praxisnaher Awareness-Schulung und klaren Dashboards, die zeigen, welche Teams am stärksten gefährdet sind. Unser Support- und Expertenteam arbeitet direkt mit Ihnen an diesen gezielten Szenarien, am Aufsetzen der Kampagnen und an der Deutung der Ergebnisse — damit Ihre Leute solche Angriffe gefahrlos erleben, bevor sie den echten begegnen.