Spear-Phishing: warum Betrugsnachrichten so viel über dich wissen

Ergänzende Ressource zur Lektion „Phishing: erkennen und vorbeugen“ – Kurs Online-Datenschutz

Spear-Phishing ist eine Betrugsnachricht, oft eine E-Mail, die für eine einzelne Person geschrieben wird: Sie nennt deinen Namen, deinen Beruf, einen Kollegen oder ein aktuelles Ereignis und wirkt dadurch vertraut. Diese Ressource betrachtet Phishing von der Datenschutzseite. Woher stammen solche Details, wie findest du heraus, was über dich schon im Umlauf ist, und wie erschwerst du der nächsten Nachricht die Arbeit?

A. Warum das wichtig ist

Phishing, also Betrug, bei dem sich Kriminelle als vertrauenswürdige Absender ausgeben, wird meist so erklärt: Fälschungen von Nachrichten und Seiten erkennen. Das behandelt der Kurs Online-Sicherheit. Phishing ist aber auch eine Methode, persönliche Daten zu sammeln, etwa ein Passwort, eine Kontonummer oder die Antwort auf eine Sicherheitsfrage. Und erst persönliche Daten machen eine Nachricht glaubwürdig.

Hier kommt der Datenschutz ins Spiel. In diesem Kurs bedeutet er drei Fragen: Was ist über dich bekannt, wer weiß es, und was entscheidest du, andere wissen zu lassen? Eine persönlich zugeschnittene Nachricht beantwortet die ersten beiden, verfasst von jemandem, den du dir nicht ausgesucht hast. Zu sehen, wie sie entstanden ist, ist der erste Schritt, daran etwas zu ändern.

Dass dich eine Nachricht überzeugt, ist kein Fehler von dir. Solche Nachrichten sind darauf angelegt, alltäglich zu wirken. Sie zu bemerken ist eine Fähigkeit, die man aufbaut, keine Prüfung, die man besteht oder nicht besteht.

Was die Quellen sagen

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt auf seiner Seite zu Social Engineering (soziale Manipulation), dass Täterinnen und Täter menschliche Eigenschaften wie Hilfsbereitschaft, Vertrauen, Angst oder Respekt vor Autorität ausnutzen. Private und berufliche Netzwerke erleichtern es laut BSI, vorab Informationen über Beschäftigte zu sammeln und Vertrauen aufzubauen, etwa über gemeinsame Hobbys, Freunde oder Kollegen. Spear-Phishing nennt das BSI die gezieltere Variante: Nach vorheriger Recherche werden E-Mails auf kleine Gruppen oder einzelne Personen zugeschnitten.

Die Polizeiliche Kriminalprävention der Länder und des Bundes (ProPK) beschreibt es ähnlich. Angreifende nutzen demnach öffentlich zugängliche persönliche und berufliche Daten und passen ihre Betrugsszenarien an Vorlieben und Kontakte an. Die ProPK rät, bei unerwarteten oder drängenden Anfragen die Identität über einen unabhängigen Kanal zu prüfen, den man selbst kennt, und sich Zeit für die Entscheidung zu nehmen.

Datenlecks sind die zweite Quelle. Die Verbraucherzentrale schreibt, Kriminelle könnten mit erbeuteten Daten Post, E-Mails, SMS oder Anrufe besonders glaubwürdig gestalten. Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI), die Datenschutzaufsicht des Landes Hessen, rät nach einer Datenpanne zu besonderer Aufmerksamkeit bei Kontaktaufnahmen per E-Mail, Telefon oder Brief.

B. Die wichtigsten Begriffe

Fünf Ideen, die Phishing mit dem verbinden, was über dich bekannt ist.

Phishing als Datensammlung

Eine Nachricht, ein Anruf oder eine Webseite, die vorgibt, von jemandem zu stammen, dem du vertraust, um etwas von dir zu bekommen. Oft sind das Daten: ein Passwort, ein Einmalcode, Bankdaten.

Warum das für dich wichtig ist: Das verändert die Frage. Es geht nicht nur darum, ob etwas wirklich vom genannten Absender stammt, sondern auch darum, was du dafür herausgeben sollst.

Spear-Phishing

Eine Phishing-Nachricht, die für eine Person oder eine kleine Gruppe geschrieben wird und Details nutzt, die zu ihr passen: einen Namen, eine Funktion, einen Kollegen, eine Reise. Man spricht auch von gezieltem Phishing. Das englische „spear“ bedeutet „Speer“: Statt ein Netz auszuwerfen, zielt man auf eine bestimmte Beute.

Warum das für dich wichtig ist: Eine Nachricht, die etwas Zutreffendes über dich erwähnt, wirkt vertrauenswürdig. Wenn du weißt, dass zutreffende Details gefunden werden oder durch ein Leck bekannt sein können, unterscheidest du leichter zwischen „Diese Nachricht kennt mich“ und „Diese Nachricht kommt von jemandem, den ich kenne“.

Was über dich auffindbar ist

Alles, was Fremde über dich herausfinden können, ohne dich zu fragen: was du öffentlich postest, was andere über dich veröffentlichen, Profile mit Arbeitgeber und Berufsbezeichnung, Verzeichnisse mit Telefonnummer, Adresse oder E-Mail-Adresse.

Warum das für dich wichtig ist: Das ist das Rohmaterial für Spear-Phishing und der Teil, den du am ehesten beeinflussen kannst. Einzeln wirken die Details harmlos, zusammen ergeben sie eine Geschichte.

Datenlecks

Ein Datenleck, auch Datenpanne genannt, liegt vor, wenn Daten, die ein Unternehmen oder eine Organisation gespeichert hat, offengelegt oder gestohlen werden. Rückgängig machen lässt es sich nicht. Mit einem Leak-Checker (einem Prüfdienst für bekannte Datenlecks) kannst du aber nachsehen, ob deine Adresse auftaucht, und betroffene Passwörter ändern, auch auf anderen Diensten mit gleichen oder ähnlichen Passwörtern, wie die Verbraucherzentrale rät.

Wer von einem Leck betroffen ist, kann laut HBDI außerdem nach Art. 15 DSGVO Auskunft von der verantwortlichen Stelle verlangen.

Warum das für dich wichtig ist: So öffnet ein altes Leck weniger Türen.

Wenn du schon geklickt hast

Das kommt vor, und man kann ruhig damit umgehen. Entscheidend ist, was du preisgegeben hast.

• Passwort eingegeben: Ändere es, auch bei anderen Diensten, auf denen du es nutzt. Die Verbraucherzentrale empfiehlt, vorher das Gerät per Virenscan zu prüfen und die weiteren Schritte von einem anderen Gerät aus zu erledigen. Ist ein E-Mail-Konto betroffen, richte dafür zuerst ein sicheres Passwort ein und kontrolliere Weiterleitungen und Filter.
• Bank- oder Kartendaten: Melde dich bei deiner Bank, bei unberechtigten Abbuchungen sofort. Dieser Kurs empfiehlt außerdem, Kontostand und Kontobewegungen eine Zeit lang regelmäßig anzusehen.
• Anzeige: Laut BSI nehmen die Landespolizeien Anzeigen über ihre Onlinewachen oder bei einer Polizeidienststelle entgegen.
• Melden und Hilfe: Neue Phishing-Mails kannst du dem Phishing-Radar der Verbraucherzentralen melden, unerwünschte Phishing-Nachrichten per SMS oder Messenger der Bundesnetzagentur. Bei Fragen zur IT-Sicherheit hilft das BSI-Service-Center unter 0800 274 1000.

Warum das für dich wichtig ist: Eine klare Reihenfolge macht aus einem beunruhigenden Moment eine kurze Liste. Und Melden hilft auch anderen.

C. Ein konkretes Beispiel: Nina und die Einladung als Rednerin

Nina ist 35, arbeitet in Hamburg im Marketing und geht täglich mit Kundendaten um. An einem Montag kommt eine E-Mail, die scheinbar vom Veranstalter einer Branchenkonferenz stammt.

Sie nennt Ninas vollständigen Namen und ihre Funktion, erinnert an den Vortrag, den sie dort im vergangenen Frühjahr gehalten hat, erwähnt den Kollegen, mit dem sie gesprochen hatte, und lädt sie erneut ein. Um ihren „Platz zu bestätigen“, soll sie sich mit ihrer dienstlichen E-Mail-Adresse und ihrem Passwort in einem Rednerportal anmelden und die Folien vom Vorjahr hochladen.

Die Angaben stimmten, und deshalb wirkte nichts verdächtig.

Stutzig machte sie die Bitte, sich über einen Link anzumelden. Sie suchte die Kontaktdaten des Veranstalters auf der Seite der Konferenz heraus und fragte nach. Eine solche Einladung hatte es nicht gegeben.

Was sich änderte, als Nina die Details zurückverfolgte

Nina war nicht alarmiert, nur neugierig. Am Abend machte sie die Übung unten und ging die Angaben einzeln durch:

• Name, Funktion und Arbeitgeber standen in ihrem öffentlichen Berufsprofil.
• Vortrag und Kollege kamen in einem öffentlichen Beitrag vor, mit einem Foto von beiden auf der Bühne.
• Die dienstliche E-Mail-Adresse von Nina folgte demselben Muster wie die Adressen der Kolleginnen und Kollegen, die öffentlich aufgelistet waren.
• Ein Leak-Check zeigte ihre E-Mail-Adresse in zwei Vorfällen bei längst vergessenen Diensten. Bei einem war ein Passwort offengelegt worden.

Sie traf drei Entscheidungen. Das Passwort nutzte sie noch auf zwei Konten, also änderte sie es dort und aktivierte für ihr wichtigstes E-Mail-Konto die Zwei-Faktor-Authentifizierung (2FA), bei der zusätzlich zum Passwort ein zweiter Faktor nötig ist. Den Konferenzbeitrag beschränkte sie auf ihre Kontakte. Und die gefälschte Nachricht leitete sie an die IT-Abteilung ihres Unternehmens weiter, damit Kolleginnen und Kollegen gewarnt sind.

Das Berufsprofil ließ sie öffentlich, weil ihre Arbeit es verlangt. Auch das war eine Entscheidung, jetzt getroffen im Wissen darum, wofür es sich nutzen lässt.

D. Jetzt bist du dran: sieh, was Kriminelle über dich finden könnten (20 Minuten)

Vier kurze Schritte. Das ist kein Test, wie vorsichtig du bist. Die Schritte zeigen dir, was über dich auffindbar ist, damit du entscheiden kannst, was du damit machst.

Schritt 1 – Prüfe deine E-Mail-Adresse auf bekannte Datenlecks (5 Minuten)

• Die Verbraucherzentrale verweist auf zwei Prüfdienste, die Angaben mit Daten bereits bekannt gewordener Vorfälle abgleichen: den Leak-Checker der Universität Bonn und den Identity Leak Checker des Hasso-Plattner-Instituts (HPI). Beim HPI gibst du dafür deine E-Mail-Adresse ein. Lies vorher die Datenschutzhinweise des Dienstes, denn ob du ihn nutzt, entscheidest du.
• Gib dort kein Passwort ein.
• Notiere jeden Treffer und was er offenlegt: E-Mail-Adressen, Passwörter, Telefonnummern. Kein Treffer ist eine nützliche Information, aber keine Garantie, weil die Dienste nur bekannte Vorfälle abgleichen. Ein Treffer sagt nichts über deine Gewohnheiten, denn Lecks passieren bei Unternehmen.

Schritt 2 – Sieh dich von außen an (6 Minuten)

• Suche nach deinem vollständigen Namen zusammen mit deinem Wohnort, deinem Arbeitgeber oder deinem Beruf.
• Öffne deine wichtigsten Profile, ohne angemeldet zu sein oder in einem privaten Fenster, um ungefähr zu sehen, was Fremde sehen.
• Liste die Details auf, die jemand nutzen könnte: Arbeitgeber, Berufsbezeichnung, Kollegen, Namen von Angehörigen, Reisedaten, deine E-Mail-Adresse oder ihr Muster.

Schritt 3 – Schreibe die Nachricht, die man dir schicken könnte (4 Minuten)

• Nimm drei Details aus deiner Liste und stell dir eine kurze, glaubwürdige Nachricht vor, die daraus gebaut ist.
• Notiere, wozu sie dich auffordern würde: dich anzumelden, zu bezahlen, ein Dokument zu schicken oder eine Angabe zu bestätigen.
• Auf diese Nachricht lohnt es sich vorbereitet zu sein. Wenn du sie einmal durchgespielt hast, fällt es oft leichter innezuhalten.

Schritt 4 – Nimm eine oder zwei Änderungen vor (5 Minuten)

• Hat ein Leck ein Passwort offengelegt, das du noch nutzt, ändere es überall, wo du es verwendest.
• Wähle ein Detail aus Schritt 2, das nicht öffentlich sein muss, und beschränke, wer es sehen kann. Das BSI rät, genau zu prüfen, welche persönlichen Informationen man in sozialen Netzwerken preisgibt, und keine vertraulichen Informationen über Arbeitgeber oder Arbeit zu teilen.

• Erscheinen Telefonnummer, Privatadresse oder E-Mail-Adresse in den Google-Suchergebnissen, kannst du über „Suchergebnisse über dich“ beantragen, dass Google das Ergebnis entfernt. Laut Google-Hilfe bleibt die Information auf der Quellseite bestehen; dafür wendest du dich an die Betreiber der Seite.

Das Ziel ist nicht, zu verschwinden. Es geht darum zu wissen, was Fremde über dich finden können, und zu entscheiden, welcher Teil sichtbar bleibt.

Schon im Kurs Online-Sicherheit behandelt

Phishing erkennen, auch wenn es überzeugend gemacht ist
Dort geht es um die Sicherheitsseite: nachgebaute Seiten, täuschend ähnliche Adressen, in Echtzeit abgefangene Codes und die Gewohnheit, Lesezeichen zu nutzen. Diese Ressource betrachtet dagegen die persönlichen Angaben, die eine Nachricht überzeugend machen.

E. Videos, Artikel und weitere Quellen

Zuerst deutsche Behörden und Beratungsstellen, dann die Werkzeuge aus der Übung.

Behörden und Beratungsstellen

BSI — Social Engineering
Wie Täter menschliche Eigenschaften ausnutzen, warum soziale Netzwerke als Informationsquelle dienen und was Spear-Phishing ist.
https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Cyber-Sicherheitslage/Methoden-der-Cyber-Kriminalitaet/Social-Engineering/social-engineering_node.html

BSI — Passwortdiebstahl durch Phishing
Grundlagen zu Phishing und Hinweise, wo du Betrug meldest und Hilfe findest.
https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Cyber-Sicherheitslage/Methoden-der-Cyber-Kriminalitaet/Spam-Phishing-Co/Passwortdiebstahl-durch-Phishing/passwortdiebstahl-durch-phishing_node.html

Polizeiliche Kriminalprävention — Wie Betrüger menschliche Schwächen ausnutzen
Wie Angreifende öffentlich zugängliche Angaben nutzen und wie du Anfragen über einen unabhängigen Kanal prüfst.
https://www.polizei-beratung.de/aktuelles/detailansicht/wie-betrueger-menschliche-schwaechen-ausnutzen/

Verbraucherzentrale — Datenlecks: Prüfen Sie schnell und kostenlos Ihre Ansprüche
Warum Betrug nach einem Leck glaubwürdiger wirkt, welche Prüfdienste es gibt und was du danach tun kannst.
https://www.verbraucherzentrale.de/wissen/digitale-welt/datenschutz/datenlecks-pruefen-sie-schnell-und-kostenlos-ihre-ansprueche-89850

Verbraucherzentrale — Erste Hilfe bei gehackten Online-Konten
Schritte nach einer Kontoübernahme: Passwort, Bank, Anzeige und Warnung der Kontakte.
https://www.verbraucherzentrale.de/wissen/digitale-welt/phishingradar/erste-hilfe-bei-gehackten-onlinekonten-63228

HBDI — Informationen für Betroffene von Datenschutzverletzungen
Was Betroffene nach einer Datenpanne tun können, einschließlich Auskunftsrecht und Aufmerksamkeit bei Kontaktaufnahmen.
https://datenschutz.hessen.de/service/informationen-fuer-betroffene-von-datenschutzverletzungen-nach-art-33-34-ds-gvo

Werkzeuge und Dokumentation der Anbieter

Hasso-Plattner-Institut — HPI Identity Leak Checker
Ein Prüfdienst, bei dem du mit deiner E-Mail-Adresse nachsiehst, ob Identitätsdaten bereits im Internet veröffentlicht wurden.
https://hpi.de/meinel/security-eng/security-analytics/threat-intelligence/hpi-identity-leak-checker.html

Google Suche-Hilfe — Persönliche Kontaktdaten in den Google-Suchergebnissen finden und entfernen
Wie du über „Suchergebnisse über dich“ die Entfernung von Telefonnummer, Privatadresse oder E-Mail-Adresse aus den Suchergebnissen beantragst.
https://support.google.com/websearch/answer/12719076?hl=de

Links im Oktober 2026 geprüft. Ändert sich eine Adresse, hilft oft die Suche nach dem Titel auf der Website der Stelle.

F. Das Framework Cyber Welfare: Kompetenzen, Bewusstsein, Sicheres Verhalten

Diese Ressource stützt sich auf die Säule Bewusstsein auf der Stufe FL2 Einsteiger. Es geht um digitales Bewusstsein: zu verstehen, wie das, was über dich bekannt ist, genutzt werden kann, und zu entscheiden, was auffindbar bleibt.

Kompetenzen

• Die eigene E-Mail-Adresse mit einem Leak-Checker auf bekannte Datenlecks prüfen.
• Die eigenen Profile ungefähr so ansehen, wie Fremde sie sehen.
• Die kurze Liste der Schritte nach einem Klick ruhig abarbeiten.

Bewusstsein

• Erkennen, dass eine Nachricht mit zutreffenden Details über dich zusammengesetzt wurde und nicht von einer vertrauten Person stammen muss.
• Wissen, woher solche Details kommen: aus öffentlichen Beiträgen und aus früheren Datenlecks.
• Phishing als Datensammlung verstehen, die die nächste Nachricht speisen kann.

Sicheres Verhalten

• Unerwartete Anfragen über einen Kanal prüfen, den du selbst herausgesucht hast, nicht über den in der Nachricht.
• Ein offengelegtes Passwort überall ändern, wo du es verwendet hast.
• Nur das öffentlich lassen, was du einen Grund hast zu zeigen.

G. Fragen zum Nachdenken

• Welche drei Details über dich würden eine Betrugsnachricht am überzeugendsten machen, und wo könnten Fremde sie finden?
• Teilt sich ein altes Konto, das du nicht mehr nutzt, ein Passwort mit etwas Wichtigem?
• Wenn eine Nachricht etwas Zutreffendes über dich weiß, was prüfst du als Erstes?

H. Was du jetzt tun kannst

Die Empfehlungen (R) aus der Cyber-Welfare-Datenbank, die hier am besten passen.

1. Bevor du auf eine Nachricht reagierst

• R16 – E-Mails, die sich als Bank ausgeben: den Weg zur Bank wählen Sie selbst: Verlangt eine Nachricht persönliche oder Bankdaten, melde dich bei der Organisation über Kontaktdaten, die du schon hast.
• R17 – Anhänge unbekannter Herkunft: erst wissen, wer sie schickt und warum: Das gilt auch dann, wenn die Nachricht deinen Namen nennt.
• R23 – Nur bekannten Personen in sozialen Netzwerken folgen: Ihr Kreis entscheidet, wer Sie sieht: So sehen Fremde nicht die Details, die du mit deinen Kontakten teilst.

Minimaler Aufwand: Wenn eine Nachricht etwas Zutreffendes über dich weiß und dich zum Handeln auffordert, prüfe sie das nächste Mal über einen Kanal, den du selbst herausgesucht hast.

2. Erbeutete Daten weniger nützlich machen

• R4 – Konten mit einem zweiten Faktor schützen: der Schutz, der hält, wenn das Passwort nachgibt: Beginne mit deinem wichtigsten E-Mail-Konto, damit ein bei einem Leck offengelegtes Passwort allein nicht ausreicht.
• R29 – Nachrichten in Ihrem Namen: was zu tun ist, wenn ein Kontakt Sie warnt: Wurde ein Konto übernommen, bitte deine Kontakte, aktuelle Nachrichten von dort mit Vorsicht zu behandeln. Die Verbraucherzentrale rät ebenfalls, Kontakte zu warnen.

Minimaler Aufwand: Prüfe deine E-Mail-Adresse mit einem Leak-Checker und ändere offengelegte Passwörter, die du noch nutzt.

Kurz gesagt

• Spear-Phishing nutzt zutreffende Details über dich, um vertraut zu wirken: Die Vertrautheit wurde zusammengebaut, nicht verdient.
• Diese Details können aus dem stammen, was online auffindbar ist, und aus früheren Datenlecks.
• Eine E-Mail-Adresse lässt sich auf bekannte Lecks prüfen, Profile lassen sich aus der Sicht von Fremden ansehen, und du entscheidest, was öffentlich bleibt.
• Wenn du geklickt hast, richte dich danach, was du preisgegeben hast: Bank informieren, eingegebene Passwörter ändern, Vorfall melden.

Verwandte Ressourcen in diesem Kurs

• Spam-Anrufe: woher sie deine Nummer haben und was dagegen hilft
• Betrug mit geklonter Stimme: wie Deepfakes aus Videos entstehen
• Familien-Codewort gegen KI-Betrug: einrichten und anwenden
• Privatsphäre-Einstellungen sozialer Netzwerke: 10-Minuten-Check

Entdecken Sie weitere ergänzende Ressourcen aus den Kursen des Programms „Schützen Sie Ihre digitale Privatsphäre“.