Warum neue Spear-Phishing-Wellen eigene Abwehrteams brauchen

Spear-Phishing ist kein gewöhnlicher Massen-Spam. Der Angriff richtet sich gegen eine bestimmte Person, Rolle oder Firma und nutzt passende Details: ein echtes Projekt, eine bekannte Führungskraft, eine Reise oder einen vertrauten Dienstleister. Generative KI kann diese Recherche und das Schreiben vieler Varianten beschleunigen.

Die kurze Antwort: Ein eigenes großes Security-Team braucht nicht jedes Unternehmen. Eine klar benannte Abwehrfunktion braucht jedoch jedes Unternehmen, in dem eine überzeugende Nachricht Geld, Konten oder sensible Daten bewegen kann. In kleinen Firmen kann sie aus drei Teilzeitrollen bestehen. Bei häufigen Angriffen, vielen privilegierten Konten oder hohen Zahlungsrisiken sollte daraus ein festes Team mit eigener Reaktionszeit werden.

Kurz gesagt

• Schulungen bleiben sinnvoll, sind aber nur eine Schutzschicht.
• Der wichtigste Hebel ist, Logins, Zahlungen, Änderungen von Bankdaten und Freigaben abzusichern.
• Ein „Abwehrteam“ ist zuerst eine eindeutige Zuständigkeit, kein neuer großer Organigramm-Kasten.
• Der beste Test lautet nicht „Erkennen alle die Mail?“, sondern „Kann eine einzige glaubwürdige Nachricht allein einen großen Schaden auslösen?“

Was sich durch KI wirklich ändert

Die Nachricht selbst ist nicht die wichtigste Neuerung. Entscheidend ist die Produktionsweise. Informationen aus Websites, sozialen Netzwerken, Stellenanzeigen und öffentlichen Terminen lassen sich schneller verbinden. Aus einem Angriff können viele leicht veränderte Nachrichten werden. Das erschwert Regeln, die nur auf schlechte Sprache, bekannte Anhänge oder identische Texte achten.

Microsoft beschreibt im Digital Defense Report 2025 KI-gestütztes Phishing als dreimal wirksamer als traditionelle Kampagnen. Das ist Anbietertelemetrie und kein Naturgesetz für jedes Unternehmen. Eine kleine Studie mit 101 Teilnehmenden liefert ein ähnliches Warnsignal: Vollautomatisch erzeugte, personalisierte Mails erreichten dort 54 Prozent Klickrate; allgemeine Phishing-Mails 12 Prozent. Das Experiment ist zu klein für eine allgemeine Erfolgsquote. Es zeigt dennoch, dass gute Formulierungen kein verlässliches Echtheitssignal mehr sind.

Der Anlass der Debatte ist auch ein Marktzeichen: AegisAI meldete am 23. Juli 2026 eine Series-A-Finanzierung über 36 Millionen US-Dollar. Das Unternehmen will eigene Sprachmodelle und Abwehragenten gegen KI-gestützte E-Mail-Angriffe einsetzen. Die Finanzierung belegt Nachfrage und Investoreninteresse, nicht automatisch Produktwirksamkeit. Ich halte diese Trennung für wichtig: Eine Finanzierungsrunde ist ein Signal, kein unabhängiger Sicherheitstest.

Spear-Phishing, BEC und normaler Phishing-Betrug

Normales Phishing wird meist breit gestreut. Spear-Phishing passt die Täuschung an ein Ziel an. Business Email Compromise, kurz BEC, beschreibt häufig den finanziellen Endzweck: Jemand gibt sich als Chef, Lieferant oder Geschäftspartner aus und will eine Zahlung oder Änderung von Kontodaten auslösen.

Der FBI-Bericht für 2025 nennt 24.768 BEC-Beschwerden und gemeldete Verluste von rund 3,05 Milliarden US-Dollar. Die Zahlen stammen aus dem IC3-Meldesystem und sind weder eine Deutschland-Statistik noch vollständig. Sie zeigen aber, warum Schutz nicht am Posteingang enden darf: Der Schaden entsteht oft erst im Zahlungs- oder Identitätsprozess.

Für einzelne Warnzeichen hilft die 4A-Routine zum Erkennen von Phishing-Mails. Ein technisches Beispiel für eine mehrstufige Kampagne zeigt die Analyse zum Azureveil-Spear-Phishing.

Was „eigenes Abwehrteam“ in der Praxis bedeutet

Aus meiner Sicht ist „Team“ oft das falsche Reizwort. Kleine Unternehmen denken sofort an ein rund um die Uhr besetztes Security Operations Center. Gemeint ist zunächst eine kleine, feste Abwehrzelle mit vier Verantwortungen:

1. E-Mail und Domain: Filter, sichere Anhänge, DMARC, SPF und DKIM betreiben. Diese Verfahren erschweren gefälschte Absender aus der eigenen Domain, stoppen aber nicht jede ähnlich aussehende oder kompromittierte Absenderadresse.
2. Identität: Kritische Konten auf phishing-resistente Anmeldung umstellen, Rechte begrenzen und auffällige Sitzungen schnell sperren. NIST zählt manuell eingegebene Einmalcodes nicht als phishing-resistent, weil Angreifer sie weiterleiten können. WebAuthn beziehungsweise FIDO2 bindet die Anmeldung an den echten Dienst.
3. Geschäftsprozess: Neue Bankverbindungen, ungewöhnliche Zahlungen, geheime Daten und Änderungen von MFA-Verfahren über einen bereits bekannten zweiten Kanal bestätigen.
4. Reaktion: Meldungen annehmen, ähnliche Nachrichten suchen, Links oder Absender blockieren, Sitzungen beenden und Zahlungen sofort stoppen oder zurückrufen.

Eine Person darf mehrere Rollen übernehmen. Es muss aber vor dem Vorfall feststehen, wer entscheidet. Ein gemeinsames Postfach ohne zuständige Person ist kein Prozess.

Für die Methodenwahl hilft der Vergleich 2FA-App, SMS und Passkeys. Ein Klick kann trotzdem passieren. Darum gehört dazu ein kurzer Cyber-Notfallplan für kleine Teams.

Fünf Kontrollen, die mehr bringen als eine weitere Warnmail

1. Kritische Handlungen vom Posteingang trennen

Eine E-Mail darf eine Prüfung anstoßen, aber nicht allein eine Zahlung, Passwortfreigabe oder Änderung von Bankdaten autorisieren. Der zweite Kanal muss unabhängig sein: eine bekannte Telefonnummer aus dem Stammdatensatz, ein internes Freigabesystem oder ein persönliches Gespräch. Die Nummer aus der verdächtigen Nachricht zählt nicht.

2. Phishing-resistente Anmeldung zuerst für Hochrisikokonten

Beginnen Sie mit Administratoren, E-Mail-Konten, Finanzteam, Geschäftsführung und Helpdesk. FIDO2-Sicherheitsschlüssel oder sauber eingeführte Passkeys können verhindern, dass Anmeldedaten auf einer falschen Website nutzbar sind. SMS oder Einmalcodes sind besser als nur ein Passwort, lösen das Weiterleitungsproblem aber nicht vollständig.

3. Die eigene Domain gegen Missbrauch härten

SPF, DKIM und DMARC helfen Empfängern zu prüfen, ob Nachrichten im Namen Ihrer Domain berechtigt versendet wurden. Das BSI hat dafür mit TR-03182 prüfbare Anforderungen formuliert. Diese Kontrollen schützen Marke und Empfänger. Sie erkennen jedoch keine perfekte Täuschung von einer ähnlich geschriebenen Domain und keinen übernommenen Lieferanten-Account.

4. Melden leichter machen als antworten

Ein sichtbarer Meldeknopf, ein klarer Chat-Kanal oder eine kurze Meldeadresse senkt die Hürde. Das britische NCSC empfiehlt schnelle Rückmeldung und eine Kultur ohne Schuldzuweisung – auch wenn bereits geklickt wurde. Eine frühe Meldung kann andere Postfächer schützen und gestohlene Sitzungen rechtzeitig beenden.

5. Reaktionszeit statt nur Schulungsquote messen

Messen Sie Zeit bis zur ersten Meldung, Zeit bis zum organisationsweiten Suchen und Blockieren, Anteil kritischer Konten mit FIDO2 oder Passkeys, Anteil sensibler Zahlungsänderungen mit unabhängiger Bestätigung und Zeit bis zur Sperrung einer verdächtigen Sitzung.

Ich würde keine Rangliste einzelner E-Mail-Security-Produkte ohne eigene Testumgebung veröffentlichen. Sinnvoller ist ein kontrollierter Proof of Concept: dieselben anonymisierten Testfälle, dieselben Postfachregeln, dokumentierte Fehlalarme und eine klare Prüfung der verarbeiteten Daten.

Ein realistischer 30-Tage-Plan

Woche 1: Schadenpfade finden

Listen Sie die zehn Konten und fünf Abläufe auf, bei denen eine falsche Nachricht den größten Schaden auslösen könnte. Typisch sind Administratorzugänge, E-Mail, Buchhaltung, Lohnabrechnung, Lieferantenstammdaten und Passwort-Reset durch den Helpdesk. Legen Sie pro Pfad einen Owner und eine erreichbare Vertretung fest.

Woche 2: Einzelschritt-Angriffe brechen

Führen Sie unabhängige Bestätigung für Bankdaten, ungewöhnliche Zahlungen und Änderungen an Authentisierungsmethoden ein. Aktivieren Sie für wichtige Konten FIDO2 oder Passkeys, soweit Dienste dies sauber unterstützen. Prüfen Sie Wiederherstellung und Ersatzschlüssel, damit Sicherheit nicht zur Aussperrung führt.

Woche 3: Sichtbarkeit und Meldeweg bauen

Richten Sie einen leicht erreichbaren Meldeweg ein. Definieren Sie, wer innerhalb der Geschäftszeiten übernimmt und wie außerhalb dieser Zeiten eskaliert wird. Prüfen Sie DMARC-Berichte, Mail-Weiterleitungen, neue Postfachregeln, riskante Logins und OAuth-Freigaben. Dokumentieren Sie nur Signale, die tatsächlich jemand bearbeitet.

Woche 4: Mit echtem Geschäftsprozess üben

Testen Sie nicht nur, ob jemand auf einen Link klickt. Spielen Sie eine Änderung der Lieferantenbankdaten oder einen Helpdesk-Reset durch. Prüfen Sie, ob die unabhängige Bestätigung greift, die Meldung ankommt, ähnliche Nachrichten gefunden werden und das Team eine Sitzung sperren kann. Halten Sie drei Verbesserungen mit Owner und Termin fest.

Was nach einem Klick sofort passieren sollte

1. Nicht weiter mit der Nachricht interagieren und über den festgelegten Kanal melden.
2. IT oder Security prüft, ob Anmeldedaten, Einmalcodes, Dateien oder Zahlungen betroffen sind.
3. Bei möglichem Kontozugriff: Sitzungen widerrufen, Authentisierung zurücksetzen, Weiterleitungen und App-Freigaben prüfen.
4. Bei möglicher Zahlung: Bank und Empfänger über bekannte Kontaktdaten sofort anrufen; danach Beweise sichern und zuständige Stellen informieren.
5. Organisationsweit nach gleicher Domain, gleichem Link, Anhang und ähnlicher Betreffzeile suchen und anschließend gezielt blockieren.

Häufige Fragen

Reicht ein moderner E-Mail-Filter?

Nein. Eine Nachricht kann über ein kompromittiertes echtes Konto, einen anderen Kanal oder eine neue Variante kommen. Außerdem kann der Schaden durch einen schwachen Zahlungs- oder Loginprozess entstehen. Filter, Identität, Geschäftsprozess und Reaktion müssen zusammenarbeiten.

Braucht ein kleines Unternehmen wirklich ein eigenes Team?

Nicht zwingend als neue Abteilung. Es braucht mindestens benannte Verantwortliche aus IT, Geschäftsführung oder Finance und einen externen Eskalationskontakt. Wenn Warnsignale regelmäßig liegen bleiben oder kritische Systeme rund um die Uhr erreichbar sind, wird feste interne oder vertragliche Abdeckung sinnvoll.

Sind Mitarbeitende das schwächste Glied?

Diese Formulierung ist bequem, aber unfair. Menschen arbeiten unter Zeitdruck und mit unvollständigen Informationen. Gute Sicherheit erwartet Fehler und verhindert, dass ein Fehler allein zur Überweisung oder Kontoübernahme führt. Schulung soll helfen, nicht Schuld verteilen.

Wann lohnt sich zusätzliche KI-Abwehr?

Wenn viele ähnliche, aber nicht identische Nachrichten bestehende Filter passieren und das Team sie nicht schnell genug prüfen kann. Verlangen Sie im Test nachvollziehbare Ergebnisse, Fehlalarmquoten für Ihre Umgebung, klare Datenverarbeitung und menschliche Kontrolle. „KI gegen KI“ allein ist kein Kaufgrund.

Fazit: Zuständigkeit vor Werkzeug

Neue Spear-Phishing-Wellen brauchen nicht automatisch ein großes SOC. Sie brauchen eine eigene, messbare Abwehrfunktion. Die Reihenfolge lautet: kritische Handlungen absichern, phishing-resistente Anmeldung einführen, Domain und Postfächer härten, Meldungen schnell bearbeiten und den Ablauf üben. Erst danach lässt sich seriös entscheiden, ob zusätzliches Personal oder ein neues Werkzeug nötig ist.

Der Kern ist einfach: Eine überzeugende Nachricht darf niemals allein genug sein, um einen großen Schaden auszulösen.