Whaling – gezielte Phishing-Angriffe auf Führungskräfte

Whaling ist eine besonders zielgerichtete Form des Phishings, die Führungskräfte und andere Personen mit weitreichenden Entscheidungs- oder Zugriffsrechten treffen soll. Angreifer passen Nachrichten an die berufliche Rolle, Geschäftsbeziehungen und mögliche vertrauliche Aufgaben der Zielperson an. Häufig geht es um den Zugriff auf Geschäftskonten, sensible Dokumente oder die Freigabe von Zahlungen.

Der Ausdruck leitet sich vom englischen Wort für Walfang ab. Gemeint sind hier Personen, deren Konten oder Befugnisse für Angreifer wirtschaftlich besonders interessant erscheinen. Eine Nachricht an eine Geschäftsführerin ist nicht automatisch Whaling. Für die Einstufung muss erkennbar sein, dass eine Täuschung gezielt auf ihre Rolle und die zugehörigen Rechte ausgerichtet ist.

Warum werden Führungskräfte gezielt angesprochen?

Geschäftsleitungen, Vorstände und leitende Beschäftigte haben häufig Zugriff auf vertrauliche Unternehmensinformationen oder können besonders wirksame Entscheidungen freigeben. Auch Assistenz, Finanzleitung und externe Berater können in vertrauliche Abläufe eingebunden sein. Ein Angreifer kann versuchen, diese Zuständigkeiten durch eine persönlich zugeschnittene Nachricht auszunutzen.

Die Bundesnetzagentur warnt vor Fällen, in denen sich Täter über Messenger als Führungskräfte ausgeben und Beschäftigte unter Zeitdruck zur Zahlung bewegen wollen. Bei solchen Vorgängen wird eine Führungskraft imitiert. Whaling im engeren Sinn richtet sich dagegen unmittelbar an die Führungskraft als Empfänger. Beide Angriffsmuster können im selben Vorfall auftreten, sollten aber in der Untersuchung getrennt werden.

Die technische Form kann E-Mail, Messenger, Telefon oder eine nachgeahmte Anmeldeseite umfassen. Ein modernes Angriffsszenario benötigt nicht zwingend eine klassische Spam-Mail.

Welche Täuschungen kommen bei Whaling vor?

Angebliche Rechts- und Aufsichtsangelegenheiten

Eine Nachricht kann sich als Schreiben einer Kanzlei oder Behörde ausgeben und behaupten, ein vertrauliches Verfahren erfordere sofortige Einsicht in Dokumente. Der Link führt möglicherweise zu einem nachgeahmten Dokumentenportal. Eine echte dringliche Rechtsangelegenheit ist davon zu unterscheiden; die Herkunft sollte über einen bestätigten Kontakt geprüft werden.

Gefälschte Vorstandstermine und vertrauliche Unterlagen

Ein angeblicher Geschäftspartner verschickt eine Einladung zu einer kurzfristigen Besprechung oder ein Dokument zu einem laufenden Projekt. Der Empfänger soll sich über eine fremde Website anmelden. Eine solche Täuschung kann mit Spear-Phishing und Phishing verbunden sein.

Missbrauch von Cloud- und Mailzugängen

Wird eine Führungskraft zur Eingabe ihrer Zugangsdaten bewegt, kann ein Angreifer versuchen, deren E-Mail- und Cloudkonten zu übernehmen. Die tatsächlichen Befugnisse hängen von den Kontorollen und Sicherheitseinstellungen ab. Ein Loginversuch ist noch kein Nachweis einer vollendeten Kontoübernahme.

Gefälschte Zahlungsfreigaben

Eine Nachricht kann unter Berufung auf eine vertrauliche Übernahme, eine neue Lieferantenbeziehung oder eine dringliche Transaktion eine Überweisung veranlassen. Sie kann direkt an die Führungskraft gehen oder deren Identität gegenüber anderen Mitarbeitern nachahmen. Letzteres wird im geschäftlichen Umfeld häufig als CEO Fraud bezeichnet.

Stimm- und Videofälschungen

Ein Deepfake Scam kann vermeintliche Video- oder Sprachanweisungen einer bekannten Person erzeugen. Die Glaubwürdigkeit eines bekannten Gesichts darf eine unabhängige Freigabe nicht ersetzen. Eine technische Fälschung muss durch geeignete Belege festgestellt werden.

Angriffe über persönliche Konten

Führungskräfte verwenden möglicherweise private Geräte und Social-Media-Profile, die Informationen über berufliche Aktivitäten preisgeben. Nicht jede öffentliche Aussage oder private Kontaktaufnahme ist jedoch ein Angriff. Die konkrete Täuschung und mögliche betriebliche Betroffenheit müssen erkennbar sein.

Whaling, Spear-Phishing und CEO Fraud unterscheiden

Spear-Phishing bezeichnet die auf bestimmte Personen oder Organisationen zugeschnittene Täuschung. Whaling richtet sich an Personen mit besonders weitreichenden Rollen. Bei CEO Fraud wird häufig die Identität einer Führungskraft missbraucht, damit andere eine Zahlung oder Handlung ausführen.

Ein Angriff auf die Finanzvorständin kann Whaling sein, während eine falsche Messenger-Nachricht in ihrem Namen an die Buchhaltung vor allem als CEO-Fraud-Konstellation zu prüfen ist. Die Unterscheidung zeigt, welches Konto, welcher Kommunikationsweg und welche Person tatsächlich Ziel des Angriffs waren.

Ein fiktiver Fall bei einer Unternehmensübernahme

Der Geschäftsführer eines Technologieunternehmens erhält eine E-Mail, die angeblich von einer externen Kanzlei stammt. Sie verweist auf eine bereits öffentlich angekündigte Unternehmensübernahme und fordert zum Abruf vertraulicher Dokumente über ein neues Portal auf. Die Nachricht verwendet die Namen mehrerer tatsächlich beteiligter Personen.

Vor der Anmeldung ruft der Geschäftsführer die Kanzlei über die bisher bekannte Telefonnummer an. Dort ist weder das neue Portal noch die angegebene Frist bekannt. Die Nachricht wird zur Untersuchung gesichert. Die in der E-Mail genannten Personennamen beweisen nicht, dass vertrauliche Unterlagen entwendet wurden; sie könnten aus öffentlichen Quellen stammen.

Wären Anmeldedaten bereits eingegeben worden, müsste die IT die betroffenen Kontositzungen und möglichen Folgehandlungen gesondert prüfen.

Welche Anzeichen erfordern eine unabhängige Prüfung?

  • Absenderidentität: Die Nachricht behauptet einen vertraulichen Kontakt, verwendet aber eine nicht bestätigte Domain oder Nummer.
  • Ungewöhnliche Dringlichkeit: Eine Zahlung oder Datenfreigabe soll außerhalb der bestehenden Verfahren erfolgen.
  • Vertraulichkeitsdruck: Der Empfänger soll die Anweisung nicht mit den üblichen internen Ansprechpartnern prüfen.
  • Neue Plattform: Ein angeblich notwendiger Dokumentenabruf erfordert eine neue Anmeldung.
  • Reale Projektdaten: Echte Namen und Vorgänge werden zur Erzeugung von Glaubwürdigkeit verwendet.
  • Unabhängige Bestätigung: Der angebliche Absender kann die Anweisung über bekannte Kontaktwege nicht bestätigen.

Eine gut formulierte Nachricht ist kein Echtheitsnachweis. Zugleich darf ein ungewöhnlicher Kommunikationsweg eines echten Geschäftspartners nicht ohne weitere Prüfung als Betrugsversuch ausgegeben werden.

Wie untersucht man einen Whaling-Verdacht?

Die Originalnachricht, Kontaktdaten und verlinkten Ziele sollten gesichert werden. Anschließend wird dokumentiert, ob die Zielperson eine Anmeldung durchgeführt, eine Datei ausgeführt oder eine Zahlung autorisiert hat. Die technische Prüfung umfasst gegebenenfalls Kontoaktivitäten, Sitzungen und vorhandene Zugriffsprotokolle.

Bei einem tatsächlich übernommenen Führungskräftekonto muss der Umfang der Berechtigungen kontrolliert werden. Wurden aus diesem Konto weitere Nachrichten verschickt, können Geschäftspartner und Mitarbeiter betroffen sein. Eine solche Folge ist gesondert zu belegen.

Auch die öffentliche Kommunikation sollte sich auf bestätigte Tatsachen beschränken. Die Bekanntheit der betroffenen Person rechtfertigt keine ungesicherte Täterbehauptung.

Welche Schutzmaßnahmen sind für Führungskräfte sinnvoll?

Klare Freigaben für Zahlungen und Änderungen sensibler Geschäftsdaten wirken unabhängig von der sprachlichen Qualität einer Täuschungsnachricht. Eine unabhängige Bestätigung über einen vorher festgelegten Kanal bleibt auch dann nötig, wenn ein Videoanruf oder eine Sprachnachricht glaubwürdig erscheint.

  • Privilegierte Konten mit geeigneter, möglichst phishingresistenter Authentisierung schützen.
  • Bankverbindungsänderungen und ungewöhnliche Transaktionen unabhängig bestätigen.
  • Vertrauliche Dokumentenportale und ihre offiziellen Domains dokumentieren.
  • Assistenz und Finanzabteilung in bestehende Bestätigungswege einbeziehen.
  • Bei Kontoauffälligkeiten aktive Sitzungen und Berechtigungen überprüfen.
  • Nachgeahmte öffentliche Profile und Domains bei konkreten Vorfällen erfassen.

Welche rechtlichen Fragen entstehen?

Bei nachweislich erschlichenen Zahlungen kann je nach Sachverhalt § 263 StGB einschlägig sein. Der unberechtigte Zugriff auf besonders geschützte Daten kann § 202a StGB betreffen. Eine erhaltene betrügerische Nachricht allein führt nicht zu einer solchen vollständigen strafrechtlichen Bewertung.

Werden personenbezogene Informationen durch einen bestätigten Vorfall verletzt, müssen die Anforderungen der DSGVO gesondert geprüft werden. Die öffentliche Position einer Führungskraft ändert nichts daran, dass private und geschäftliche Daten unterschiedlichen Schutzregeln unterliegen können.

Häufige Fragen zu Whaling

Ist Whaling immer ein Angriff auf Geschäftsführer?

Nein. Auch andere Personen mit weitreichenden Befugnissen oder vertraulichen Informationen können Ziel sein.

Ist eine falsche Nachricht im Namen des CEO automatisch Whaling?

Nicht im engen Sinn. Bei einer Nachricht an andere Mitarbeiter ist häufig CEO Fraud die passendere Einordnung.

Schützen Videoanrufe zuverlässig vor solchen Täuschungen?

Nein. Die Identität und Berechtigung sollten bei sensiblen Anweisungen unabhängig bestätigt werden.

Wo können betroffene Unternehmen Hilfe erhalten?

Bei gezielten Angriffen auf Führungskräfte sollten die betreffenden Nachrichten, Profile und möglichen Kontozugriffe gesichert werden. BRANDPROTECTIONNOW begleitet exponierte Personen und Unternehmen bei der Untersuchung von Identitätsnachahmungen, der Dokumentation öffentlicher Reputationsfolgen und der Abstimmung technischer Sicherungsmaßnahmen mit spezialisierten Partnern. Informationen bietet BRANDPROTECTIONNOW zum digitalen Personenschutz.

Fachquellen