Whaling: Wie Cyberkriminelle gezielt Führungskräfte angreifen – und wie Sie Ihr Unternehmen schützen

Whaling (auch Whale-Phishing oder Whaling-Phishing) ist eine besonders gezielte Form des Phishings, bei der Cyberkriminelle hochrangige Führungskräfte wie Geschäftsführer, CEOs oder Finanzverantwortliche angreifen – oder deren Identität missbrauchen. Ziel ist es, mit gefälschten, glaubwürdigen Nachrichten hohe Geldüberweisungen auszulösen oder vertrauliche Daten zu erbeuten.

Ein einziger erfolgreicher Angriff kann ein Unternehmen Millionen kosten. Wie groß das Problem ist, zeigt eine Zahl des FBI: Zwischen Ende 2013 und Ende 2023 erfasste dessen Internet Crime Complaint Center (IC3) durch Business E-Mail Compromise – die Angriffsfamilie, zu der Whaling und CEO Fraud gehören – weltweite Schäden von über 55 Milliarden US-Dollar. Der österreichische Luftfahrtzulieferer FACC verlor Anfang 2016 rund 42 Millionen Euro, nachdem Mitarbeiter gefälschten Zahlungsanweisungen im Namen der Führungsebene gefolgt waren – Vorstandschef und Finanzchefin verloren daraufhin ihre Posten. Dieser Ratgeber erklärt, was Whaling ist, wie ein Angriff abläuft, woran Sie ihn erkennen und mit welchen Maßnahmen Sie Ihr Unternehmen schützen.

Was ist Whaling? Definition und Bedeutung

Whaling bezeichnet einen Cyberangriff, bei dem sich die Täter gezielt die wertvollsten „Fische“ im Unternehmen vornehmen: die Führungskräfte. Statt wie beim klassischen Phishing wahllos tausende Empfänger anzuschreiben, konzentrieren sich die Angreifer auf einzelne Schlüsselpersonen mit weitreichenden Befugnissen – und bereiten ihren Angriff entsprechend sorgfältig vor.

Im Kern ist Whaling eine Spielart des Social Engineering: Die Kriminellen manipulieren nicht die Technik, sondern den Menschen. Sie nutzen Autorität, Vertrauen und Zeitdruck aus, um ihre Opfer zu einer Handlung zu bewegen, die sie normalerweise hinterfragen würden – etwa eine kurzfristige Überweisung freizugeben oder sensible Unterlagen herauszugeben.

Whaling einfach erklärt

Was Whaling in der Praxis bedeutet, zeigt ein typisches Szenario: Stellen Sie sich vor, eine Mitarbeiterin der Finanzabteilung erhält eine E-Mail, die scheinbar direkt vom Geschäftsführer stammt. Der Ton ist vertraut, die Signatur stimmt, und es geht um eine dringende, vertrauliche Transaktion für eine angebliche Firmenübernahme. Genau so funktioniert Whaling: Der Angreifer gibt sich als vertrauenswürdige Autoritätsperson aus und verlässt sich darauf, dass eine Anweisung „von ganz oben“ nicht in Frage gestellt wird.

Woher kommt der Begriff Whaling?

Der Name spielt mit dem Bild aus der Phishing-Welt. Während beim Phishing kleine „Fische“ – also beliebige Nutzer – geangelt werden, zielt Whaling auf die „großen Wale“: das Top-Management. „Whales“ steht also im übertragenen Sinn für die besonders lohnenden, hochrangigen Ziele. Mit dem historischen Walfang hat der Begriff nichts zu tun – gemeint ist ausschließlich der gezielte Cyberangriff auf Entscheider.

Whaling vs. Phishing vs. Spear-Phishing – die Unterschiede

Phishing, Spear-Phishing und Whaling gehören zur selben Angriffsfamilie, unterscheiden sich aber deutlich in Zielgenauigkeit und Aufwand. Whaling ist dabei die am stärksten personalisierte und potenziell teuerste Variante.

Beim einfachen Phishing setzen Kriminelle auf Masse und hoffen, dass ein kleiner Prozentsatz der Empfänger anbeißt. Spear-Phishing ist bereits deutlich gezielter und richtet sich an ausgewählte Personen. Whaling wiederum ist die Königsdisziplin des Spear-Phishings: maximal recherchiert, maximal personalisiert und ausschließlich auf die Entscheidungsträger gerichtet, die große Geldbeträge bewegen oder freigeben können.

Warum Whaling die gefährlichste Phishing-Form ist

Zwei Faktoren machen Whaling so gefährlich. Erstens die Glaubwürdigkeit: Die Angreifer investieren viel Zeit in die Informationssammlung und formulieren Nachrichten, die kaum von echter interner Kommunikation zu unterscheiden sind. Zweitens die Hebelwirkung: Wer eine Führungskraft täuscht oder in deren Namen agiert, kann Prozesse aushebeln, die normalerweise mehrere Kontrollinstanzen durchlaufen. Ein einziges kompromittiertes Postfach oder eine überzeugend gefälschte Mail genügt, um sechsstellige oder gar siebenstellige Beträge zu bewegen.

Wie läuft ein Whaling-Angriff ab?

Ein professioneller Whaling-Angriff ist selten spontan. Dahinter stehen häufig organisierte Hacker, die planvoll vorgehen: Der Ablauf folgt meist einem mehrstufigen Muster, das von gründlicher Recherche bis zur eigentlichen Manipulation reicht.

Whaling und CEO Fraud – wo ist der Zusammenhang?

Wer sich mit Whaling beschäftigt, stößt unweigerlich auf den Begriff CEO Fraud. Beide hängen eng zusammen – gemeint ist im Kern dieselbe Betrugsmasche, nur aus einer anderen Perspektive beschrieben.

Was ist CEO Fraud (CEO-Betrug)?

CEO Fraud (auf Deutsch CEO-Betrug oder „Chef-Masche“) bezeichnet einen Angriff, bei dem sich Kriminelle als Geschäftsführer oder Vorstand ausgeben, um Mitarbeiter zu einer Überweisung zu verleiten. Der gefälschte „Chef“ weist per Mail eine dringende, vertrauliche Zahlung an – meist an die Finanzabteilung. Der Schaden geht in vielen dokumentierten Fällen in die Millionen.

CEO Fraud als bekannteste Ausprägung des Whalings

Der Zusammenhang lässt sich so zusammenfassen: Whaling beschreibt die Angriffsmethode (gezieltes Phishing auf hochrangige Führungskräfte), CEO Fraud beschreibt das bekannteste Szenario dieser Methode (der vorgetäuschte Chef, der eine Überweisung anordnet). Jeder CEO-Fraud-Fall ist damit ein Whaling-Angriff, aber Whaling umfasst darüber hinaus auch Angriffe, bei denen nicht Geld, sondern Daten das Ziel sind. Weil CEO Fraud ein eigenständig hohes Suchinteresse hat, konzentriert sich dieser Ratgeber auf Whaling als Gesamtphänomen – samt Abgrenzung zu Phishing und den Fällen, in denen Daten statt Geld das Ziel sind. Die ausführlichen Fallanalysen und den kompletten Schutz-Fahrplan für die Zahlungsfreigabe finden Sie in unserem Ratgeber CEO Fraud erkennen und verhindern.

Whaling-Beispiele: Bekannte Fälle und typische Szenarien

Whaling ist keine theoretische Gefahr. Mehrere spektakuläre Fälle zeigen, wie hoch der Schaden ausfallen kann – und dass selbst große, gut aufgestellte Konzerne betroffen sind. Die ersten drei sind klassische CEO-Fraud-Fälle, die wir im CEO-Fraud-Ratgeber vertiefen; für das Verständnis von Whaling ist vor allem der vierte lehrreich, weil es dort nicht um Geld, sondern um Daten ging.

Dokumentierte Fälle

FACC (2016): Beim österreichischen Luftfahrtzulieferer FACC überwiesen Mitarbeiter nach gefälschten Anweisungen im Namen der Führungsebene rund 42 Millionen Euro an die Täter. Der Vorstandsvorsitzende und die Finanzchefin wurden in der Folge entlassen.

Leoni (2016): Der Nürnberger Kabelhersteller Leoni verlor rund 40 Millionen Euro, nachdem eine Finanzverantwortliche einer Auslandstochter gefälschte Zahlungsanweisungen erhalten hatte, die scheinbar von deutschen Führungskräften stammten.

Mattel (2015): Beim Spielzeugkonzern Mattel überwies eine Finanzmanagerin nach einer gefälschten Mail des neuen CEO drei Millionen US-Dollar nach China. Nur weil dort am Folgetag ein Bankfeiertag galt, blieb genug Zeit, das Geld mithilfe der Behörden zurückzuholen.

Snapchat (2016): Dass es nicht immer um Geld geht, zeigt der Fall Snapchat. Ein Mitarbeiter gab nach einer gefälschten Mail im Namen des CEO Gehaltsdaten aktueller und ehemaliger Beschäftigter heraus – ein Datenschutzvorfall statt eines Finanzschadens.

Typische Maschen

Über diese prominenten Fälle hinaus folgen die meisten Angriffe wiederkehrenden Mustern: die dringende „Chef-Überweisung“ für ein geheimes Projekt, die täuschend echte Rechnung eines vermeintlichen Lieferanten mit geänderter Bankverbindung oder die Anfrage nach vertraulichen Personal- und Steuerdaten. Allen gemeinsam ist der Versuch, mit Autorität und Zeitdruck die üblichen Kontrollen zu überspringen.

Woran erkennen Sie einen Whaling-Angriff? (Warnsignale)

So professionell Whaling-Mails auch wirken – sie enthalten fast immer Warnsignale. Wer diese kennt, kann einen Angriff stoppen, bevor Schaden entsteht.

Typische Red Flags in Whaling-E-Mails

• Ungewöhnliche Dringlichkeit: Eine Zahlung oder Auskunft muss angeblich sofort und ohne Rückfrage erfolgen.
• Betonte Vertraulichkeit: Das Opfer soll mit niemandem über den Vorgang sprechen – ein bewusstes Umgehen des Vier-Augen-Prinzips.
• Abweichende Absenderadresse: Die E-Mail stammt von einer minimal veränderten Domain oder einer externen Adresse.
• Umgehung normaler Prozesse: Es wird ausdrücklich darum gebeten, den üblichen Freigabeweg auszulassen.
• Ungewöhnliche Bankverbindung: Zahlungen sollen auf ein neues oder ausländisches Konto gehen.
• Stil- und Sprachbrüche: Formulierungen oder Anrede weichen leicht vom gewohnten Ton der Führungskraft ab.

Schutz vor Whaling: Maßnahmen für Unternehmen

Wirksamer Schutz vor Whaling entsteht aus dem Zusammenspiel von Technik, Organisation und geschulten Mitarbeitern – als Teil einer ganzheitlichen IT-Sicherheit. Keine einzelne Maßnahme genügt für sich allein.

Technische Schutzmaßnahmen

Auf technischer Ebene reduzieren E-Mail-Authentifizierungsverfahren wie SPF, DKIM und DMARC das Risiko gefälschter Absender erheblich. Eine automatische Kennzeichnung externer E-Mails hilft, vorgetäuschte interne Nachrichten zu entlarven. Starke Authentifizierung (Multi-Faktor-Authentifizierung) schützt die Postfächer der Führungskräfte davor, kompromittiert zu werden. Ergänzend sorgen moderner Endpoint-Schutz und Anti-Malware-Lösungen dafür, dass ein Angriff nicht auf weitere Systeme übergreift – etwa, wenn Whaling nur der Türöffner für nachgelagerte Ransomware sein soll.

Organisatorische Maßnahmen

Mindestens ebenso wichtig sind klare Sicherheitsrichtlinien. Für alle relevanten Transaktionen sollte ein verbindliches Vier-Augen-Prinzip gelten: Große Geldüberweisungen werden erst nach unabhängiger Zweitfreigabe ausgeführt – ohne Ausnahme, auch nicht auf Zuruf „des Chefs“. Feste Freigabeprozesse, definierte Wertgrenzen und ein verpflichtender Rückruf bei ungewöhnlichen Zahlungsanweisungen nehmen den Angreifern ihren wichtigsten Hebel: den Zeitdruck.

Awareness und Sicherheitsschulungen

Die letzte und entscheidende Verteidigungslinie sind die Mitarbeiter selbst. Regelmäßige Sicherheitsschulungen und realistische Phishing-Simulationen sensibilisieren gerade die besonders exponierten Bereiche – Finanzabteilung, Assistenzen und das Management. Wer weiß, dass auch eine scheinbar vom CEO stammende Mail eine Fälschung sein kann, hinterfragt Anweisungen souverän, statt vorschnell zu handeln. Awareness verwandelt potenzielle Opfer in ein aktives Frühwarnsystem gegen Internetkriminalität.

Ist Whaling illegal? Rechtliche Einordnung und Vorgehen im Schadensfall

Whaling ist eindeutig strafbar. Für die Opfer stellt sich vor allem die Frage, wie sie im Ernstfall richtig reagieren.

Strafrechtliche Konsequenzen von Whaling und CEO Fraud

In Deutschland erfüllen Whaling und CEO Fraud mehrere Straftatbestände – insbesondere Betrug und Computerbetrug (§ 263, § 263a StGB) sowie je nach Vorgehen das Fälschen beweiserheblicher Daten und das Ausspähen von Daten. Da die Täter fast immer aus dem Ausland und in organisierten Strukturen agieren, ist die Strafverfolgung anspruchsvoll. Genau deshalb liegt der Schwerpunkt für Unternehmen auf Prävention – die Aufklärung eines vollzogenen Angriffs gelingt nur selten vollständig.

Meldung an Behörden und Sofortmaßnahmen

Kommt es doch zu einem Vorfall, zählt jede Minute. Als Erstes sollte die Bank kontaktiert werden, um die Überweisung möglichst noch zu stoppen oder zurückzuholen. Parallel gilt es, alle Beweise zu sichern (E-Mails, Header, Logdateien) und Anzeige bei der Polizei zu erstatten – die Zentralen Ansprechstellen Cybercrime (ZAC) der Landeskriminalämter sind hier die richtigen Anlaufstellen. Weiterführende Präventionshinweise bieten das Bundeskriminalamt (BKA) und das Bundesamt für Sicherheit in der Informationstechnik (BSI).

Den passenden IT-Dienstleister für Ihre Security finden

Sie möchten E-Mail-Security, Security-Awareness-Trainings oder ein belastbares Incident-Response-Konzept aufsetzen? Über IT-Dock finden Sie geprüfte IT-Dienstleister und Security-Spezialisten, die zu Ihrer Ausgangslage passen – zum IT-Concierge-Service.