Phishing, Spear-Phishing und Whaling

E-Mail bleibt der häufigste anfängliche Zugriffsvektor bei Cyberangriffen. Phishing nutzt die menschliche Psychologie – indem Dringlichkeit, Autorität oder Angst erzeugt wird –, um Empfänger dazu zu bringen, auf schädliche Links zu klicken, infizierte Anhänge zu öffnen oder Zugangsdaten preiszugeben. Anders als technische Schwachstellen, die sich durch Patches beheben lassen, kann sich die Anfälligkeit von Menschen für sozialen Druck nicht durch ein Softwareupdate beseitigen lassen. Kandidaten für Security+ müssen das gesamte Spektrum von Phishing-Angriffen verstehen – von Massenkampagnen gegen Millionen zufällig ausgewählter Empfänger bis hin zu hochgradig zielgerichteten Nachrichten für eine bestimmte Person.

Massen-Phishing (oder Bulk-Phishing) versendet dieselbe schädliche E-Mail gleichzeitig an Tausende oder Millionen von Adressen und setzt darauf, durch die schiere Anzahl der Ziele eine geringe Erfolgsquote zu erzielen. Häufige Köder sind gefälschte Bankbenachrichtigungen, Paketankündigungen, Warnungen vor dem Ablauf eines Passworts und Angebote für Steuererstattungen. Die E-Mails sind allgemein gehalten – der Angreifer kennt die Empfänger nicht persönlich. Trotz geringer technischer Raffinesse führen Massen-Phishing-Kampagnen weltweit zu enorm vielen Opfern und sind für die Mehrheit der Fälle von Zugangsdiebstahl verantwortlich.

Spear-Phishing ist eine zielgerichtete Form des Phishings, bei der der Angreifer die Nachricht auf eine bestimmte Person oder eine kleine Gruppe zuschneidet. Angreifer recherchieren ihre Ziele auf LinkedIn, in sozialen Medien, auf Unternehmenswebsites und in Datenbanken mit Informationen aus Datenpannen, um überzeugende Nachrichten zu verfassen, die sich auf echte Namen, Berufsbezeichnungen, Projekte oder Kollegen beziehen. Eine Spear-Phishing-E-Mail könnte scheinbar vom Vorgesetzten des Ziels stammen und eine dringende Genehmigung für eine Überweisung verlangen oder von der Personalabteilung mit einem Anhang zur Aktualisierung von Leistungen kommen. Die Personalisierung erhöht die Erfolgsquote im Vergleich zu allgemeinem Phishing erheblich.

Whaling ist Spear-Phishing, das sich gezielt gegen besonders wertvolle Personen richtet – CEOs, CFOs, Vorstandsmitglieder und andere Führungskräfte der C-Suite. Diese Ziele sind befugt, große Finanztransaktionen zu genehmigen, auf vertrauliche Daten zuzugreifen und Sicherheitsrichtlinien außer Kraft zu setzen. Bei einem erfolgreichen Whaling-Angriff könnte ein CFO dazu gebracht werden, eine Überweisung in Höhe mehrerer Millionen Dollar auf ein vom Angreifer kontrolliertes Konto zu genehmigen – ein als Business Email Compromise (BEC) bekanntes Vorgehen. Das FBI schätzte die durch BEC verursachten Verluste auf mehr als 3 Milliarden Dollar jährlich. Führungskräfte werden außerdem wegen ihres Zugriffs auf geistiges Eigentum, Informationen zu Fusionen und Übernahmen sowie strategische Pläne angegriffen.

Angler-Phishing richtet sich gegen Benutzer auf Social-Media-Plattformen. Angreifer erstellen gefälschte Kundenservicekonten bekannter Marken und antworten auf Benutzer, die Beschwerden veröffentlichen, um sie auf gefälschte Anmeldeseiten zu locken. Beim Clone-Phishing wird eine legitime E-Mail – etwa eine aktuelle Rechnung oder ein Newsletter – dupliziert, wobei Links oder Anhänge durch schädliche Versionen ersetzt werden. Anschließend wird sie von einer gefälschten Adresse erneut versendet und als korrigierte Version ausgegeben. Clone-Phishing ist besonders effektiv, weil der Empfänger das Format und den Absender der E-Mail wiedererkennt und dadurch deutlich weniger misstrauisch ist.

Pharming leitet Opfer auf schädliche Websites um, ohne dass sie auf einen Phishing-Link klicken müssen. Dies wird typischerweise durch DNS-Cache-Poisoning erreicht, bei dem falsche DNS-Einträge in einen Resolver eingeschleust werden, sodass die legitime Domain auf den Server eines Angreifers verweist, oder durch eine Änderung der lokalen Hosts-Datei des Opfers. Anders als Phishing, bei dem das Opfer aktiv werden muss, funktioniert Pharming auch dann, wenn der Benutzer die korrekte URL direkt in den Browser eingibt. DNSSEC und die Validierung von HTTPS-Zertifikaten sind die wichtigsten technischen Schutzmaßnahmen.

Eine der wichtigsten Fähigkeiten beim Erkennen von Phishing ist die Analyse von URLs, um Spoofing-Techniken zu identifizieren. Angreifer verwenden mehrere Methoden: Typosquatting (paypa1.com, g00gle.com), Subdomain-Tricks (paypal.com.attacker.com – die tatsächliche Domain ist attacker.com), URL-Shortener, die das eigentliche Ziel verbergen, und Homograph-Angriffe mit Unicode-Zeichen, die wie ASCII-Zeichen aussehen (xn--pple-43d.com verwendet ein kyrillisches „а“, um apple.com zu imitieren). Sicherheitsexperten sollten vor dem Klicken immer den Mauszeiger über Links bewegen und URL-Analysetools verwenden, um verkürzte URLs sicher aufzulösen.

Um Benutzer darin zu schulen, Phishing zu erkennen, müssen konkrete Warnsignale vermittelt werden. Prüfen Sie: die Absenderadresse (stimmt der Anzeigename mit der tatsächlichen E-Mail-Domain überein?), die E-Mail-Header (unterscheidet sich Return-Path oder Reply-To von der From-Adresse?), eine Sprache der Dringlichkeit oder Drohung, die zu schnellem Handeln drängt, unaufgeforderte Anhänge oder unerwartete Anfragen zum Zurücksetzen eines Passworts sowie Links, die nicht zum angegebenen Ziel passen. Bereits ein einziges Warnsignal sollte Misstrauen wecken; mehrere Warnsignale zusammen deuten stark auf Phishing hin. Unternehmen sollten einen klaren Prozess zum Melden verdächtiger E-Mails festlegen.

Viele Phishing-Kampagnen leiten Opfer auf gefälschte Anmeldeseiten, die legitimen Websites täuschend ähnlich sehen. Angreifer kopieren das HTML/CSS echter Websites und hosten es auf ähnlich aussehenden Domains oder kompromittierten Websites. Moderne Tools wie evilginx2 und Modlishka fungieren als Reverse-Proxys, leiten das Opfer an die echte Website weiter und fangen dabei Sitzungstokens in Echtzeit ab – wodurch sogar MFA umgangen werden kann. Benutzer sollten auf das Vorhängeschloss-Symbol (HTTPS) achten, aber bedenken, dass HTTPS lediglich bestätigt, dass die Verbindung verschlüsselt ist, nicht dass die Website legitim ist. Certificate-Transparency-Protokolle machen Phishing-Websites sichtbar, die ähnlich aussehende Domains verwenden.

Schädliche Anhänge bringen Malware direkt auf das Endgerät des Opfers. Zu den gängigen Formaten gehören makrofähige Office-Dokumente (.docm, .xlsm), die beim Aktivieren von Makros VBA-Skripte ausführen, PDF-Dateien mit eingebettetem JavaScript oder Links, ISO-/IMG-Datenträgerabbilder (die zum Umgehen des Windows-Schutzes durch Mark of the Web verwendet werden) sowie komprimierte Archive (.zip, .rar), die ausführbare Dateien mit irreführenden Dateiendungen enthalten. Unternehmen sollten Office-Makros standardmäßig über Group Policy deaktivieren und E-Mail-Gateways so konfigurieren, dass Dateitypen mit hohem Risiko blockiert werden.

Der Schutz von Führungskräften vor Whaling-Angriffen erfordert eine Kombination aus technischen Maßnahmen und Prozesskontrollen. Technisch sollten Sie DMARC erzwingen, um gefälschte E-Mails abzulehnen, die angeblich von der Domäne des Unternehmens stammen, das E-Mail-Gateway so konfigurieren, dass externe E-Mails mit Hinweisen versehen werden, und Führungskräfte für phishingresistente MFA (FIDO2) registrieren. Auf Prozessebene sollten Sie bandexterne Verifizierungsverfahren einrichten (rufen Sie die anfragende Person direkt unter einer bekannten Telefonnummer an), bevor Sie Überweisungen genehmigen oder sensible Daten weitergeben – unabhängig davon, wie dringend die E-Mail klingt. Schulen Sie Führungskräfte gezielt zu Whaling-Szenarien, da allgemeine Schulungen zum Sicherheitsbewusstsein die oberste Führungsebene häufig nicht erreichen.

Testen Sie Ihr Verständnis der CompTIA-Security+-Konzepte (SY0-701) aus dieser Lektion.

In dieser Lektion haben Sie gelernt: massenhaftes Phishing setzt auf eine große Anzahl von Nachrichten, um einen kleinen Prozentsatz zufällig ausgewählter Empfänger zu erreichen, Spear-Phishing ist gezielt und personalisiert und nutzt OSINT-Recherchen, um überzeugende Nachrichten für bestimmte Personen zu erstellen, und Whaling zielt auf Führungskräfte mit Entscheidungsbefugnis über Finanzen und sensible Daten ab – geschützt durch DMARC, phishingresistente MFA und bandexterne Verifizierungsverfahren. Als Nächstes befassen wir uns mit sprach- und SMS-basierten Angriffen durch Vishing, Smishing und Pretexting.