Klon-Phishing

Diese Begriffe werden oft gemeinsam verwendet, und ein einzelner Vorfall kann alle drei vereinen. Spear-Phishing ist eine auf eine Person oder Organisation zugeschnittene Nachricht, die Klonen nutzen kann. Business Email Compromise (BEC) tarnt sich als Führungskraft oder Lieferant, um Zahlungen umzuleiten, oft ganz ohne Link. Massen-Phishing verschickt generische Nachrichten an viele Empfänger ohne Personalisierung.

Klon-Phishing ist der engste dieser Begriffe: Der Angreifer nutzt eine echte Nachricht, um Zugangsdaten zu stehlen, Malware zu verbreiten oder Betrug zu begehen. Gelingt die Nachricht, ist die Folge oft eine Datenschutzverletzung, die mit gestohlenen Zugangsdaten statt mit einer gestohlenen Datei beginnt.

Der Angriff beginnt mit einer echten Nachricht aus einem kompromittierten Postfach, einem abgegriffenen Thread oder demselben Newsletter, den das Ziel erhält. Sie wird fast exakt nachgebildet, mit Absendername, Betreff, Wortlaut und Bildern, und als Antwort innerhalb der ursprünglichen Konversation verschickt.

Die einzige wesentliche Änderung betrifft die Nutzlast, und dort zahlt sich der Angriff aus. Die Kopie wird oft als Update dargestellt, etwa als korrigierte Rechnung oder als erneutes Senden einer Datei, die angeblich nicht geöffnet werden konnte. Die gestohlenen Zugangsdaten führen dann zu Datenabfluss, der Phase, die Kontrollen noch sehen können.

1. 1

   Echte Nachricht beschaffen

   Der Angreifer kopiert eine echte E-Mail aus einem kompromittierten Postfach oder einem abgegriffenen Thread.

2. 2

   Nahezu exakt nachbilden

   Absender, Betreff, Wortlaut und Bilder werden übernommen, die Antwort bleibt in der ursprünglichen Konversation.

3. 3

   Nutzlast austauschen

   Link oder Anhang führen zu einer schädlichen Seite oder Datei, alles andere bleibt gleich.

4. 4

   Grund zum Handeln geben

   Eine korrigierte Rechnung oder ein erneut gesendeter Anhang, der angeblich nicht öffnet, gibt dem Empfänger einen Grund zu klicken.

Eine geklonte Nachricht ist darauf ausgelegt, einen flüchtigen Blick zu überstehen, daher sind die verräterischen Details klein. Die Tabelle bewertet jedes Anzeichen danach, wie schwer es zu fälschen ist:

Die Technik funktioniert, weil sie Kontext stiehlt, statt ihn zu erfinden. Schulungen lehren, unerwarteten Nachrichten zu misstrauen. Ein Klon wirkt aber erwartet: Der Empfänger hat das Original bereits gesehen und ihm vermutlich vertraut. Das kopierte Layout, der Absendername und der Thread-Verlauf übernehmen die Überzeugungsarbeit.

Sie erschwert auch die technische Abwehr. Mailfilter finden im Klon vieles, das legitim wirkt, etwa eine echte Marke, echten Text und eine echte Konversation, daher ist der bösartige Unterschied klein. Nach einem erfolgreichen Klick greift der Angreifer auf sensible Daten zu, die über den erlangten Zugang erreichbar sind.

Keine einzelne Kontrolle stoppt Klon-Phishing. Wirksame Programme kombinieren unabhängige Schichten, und jede deckt eine andere Phase des Angriffs ab:

Anexet bewertet weder Absender noch URLs, fängt aber E-Mails auf überwachten Endpunkten ab. Über das E-Mail-Abfangen sieht der Administrator Nachrichtentext und Anhänge, und genau dort fällt eine ausgetauschte Datei auf. Abgefangene Nachrichten lassen sich danach in der Untersuchungskonsole durchsuchen, um zu sehen, was das Unternehmen verlassen hat.

Beginnen Sie bei den Daten, deren Abfluss den größten Schaden anrichten würde, und dann bei den Mailkanälen, die sie transportieren. Eine geklonte Nachricht muss nur einmal vertraut wirken, deshalb zählen vor allem die Kontrollen, die sehen, was danach abfließt, und es stoppen können.

Verbinden Sie Mail-Sicherheit, MFA und Schulungen mit der Überwachung der Endpunkt-Kanäle, damit ein Vorfall nachvollziehbar wird und früh eingedämmt werden kann.

Weiterlesen: Phishing — die wichtigsten Trends 2025; Social Engineering vs. DLP-Systeme: So schützen Sie Ihr Unternehmen vor Datenabfluss.