Spoofing nutzt aus, dass grundlegende Internetprotokolle wie IP, SMTP und DNS eine Absenderprüfung ursprünglich nicht verpflichtend vorsahen, wodurch Angreifer IP-Adressen, E-Mail-Absender oder DNS-Einträge fälschen und Kommunikation scheinbar aus einer vertrauenswürdigen, bekannten Quelle erscheinen lassen.
Auf einen Blick
Je nach gefälschtem Merkmal unterscheidet man Varianten wie IP-, E-Mail-, DNS- oder Caller-ID-Spoofing.
Die ausführende Person wird im Fachjargon als Spoofer bezeichnet; der Begriff selbst beschreibt die Täuschungstechnik und keinen bestimmten Kanal.
Ein Rückruf unter einer bereits bekannten Telefonnummer bietet mehr Sicherheit als der Blick auf die angezeigte Adresse oder Rufnummer allein.
Was ist Spoofing?
Beim Spoofing werden Absender- oder Identitätsinformationen so manipuliert, dass eine Kommunikation scheinbar von einer anderen Quelle stammt. Bei SMTP ist eine solche Täuschung ohne zusätzliche Authentifizierungsmechanismen grundsätzlich möglich. Die Schwachstelle liegt dabei nicht im einzelnen Endgerät, sondern im fehlenden Nachweis der Herkunft auf Protokollebene selbst. Je nachdem, welches Merkmal manipuliert wird, unterscheidet man Varianten wie IP-Spoofing, E-Mail-Spoofing, DNS-Spoofing oder Caller-ID-Spoofing, die jeweils ein anderes Protokoll missbrauchen, aber demselben Grundprinzip einer vorgetäuschten Herkunft folgen. Spoofing tritt nicht als eigenständiges Ziel auf, sondern dient als Grundlage für einen nachgelagerten Angriff wie Phishing oder eine Man-in-the-Middle-Position im Datenverkehr.
Ein Zahlungsprozess bei einer Versicherung ist ein naheliegendes Ziel, sobald eine gefälschte interne Absenderadresse eine Anweisung zur Änderung von Bankverbindungen in einem Schadenfall glaubwürdiger erscheinen lässt. Bei Versicherern verstärkt DNS-Spoofing dieses Risiko zusätzlich, wenn Kunden beim Aufruf des Online-Portals unbemerkt auf eine nachgebaute Seite umgeleitet werden und dort Vertragsnummer sowie Zugangsdaten preisgeben. Eine telefonische Rückbestätigung über eine bereits bekannte, unabhängig recherchierte Nummer kann verhindern, dass eine gefälschte Anweisung unbemerkt bleibt.
Wie funktioniert Spoofing?
Spoofing setzt an der Stelle an, an der ein Protokoll eine Angabe übernimmt, ohne sie zu überprüfen: Der Angreifer trägt dort einen fremden Wert ein, und das empfangende System behandelt ihn wie einen echten. Bei E-Mail betrifft das die Absenderangabe, bei IP-Paketen die Quelladresse, bei DNS die Antwort auf eine Namensauflösung, bei Telefonie die übermittelte Rufnummer.
Die Wirkung entsteht erst danach, denn eine gefälschte Herkunft allein richtet keinen Schaden an. Sie senkt die erste Hürde für den eigentlichen Angriff: Eine Anweisung aus der eigenen Domain wird seltener hinterfragt, eine umgeleitete Namensauflösung führt zu einer nachgebauten Seite, eine bekannte Rufnummer im Display verschafft dem Anrufer Gehör. Prüfmechanismen greifen dabei nur, sofern die Gegenseite sie auswertet: SPF und DMARC wertet der empfangende Server aus; DKIM signiert die sendende Domain, geprüft wird die Signatur aber ebenfalls erst beim Empfänger. Auf der Empfängerseite bleibt deshalb eine Frage entscheidend: Welcher Kanal bestätigt die Identität, wenn die Angabe im Kanal selbst gefälscht sein kann? Diese Frage beantwortet kein Protokoll, sondern eine Rückbestätigung über einen zweiten Weg.
Spoofing vs. Phishing
| Merkmal | Spoofing | Phishing |
|---|---|---|
| Was passiert | eine Herkunftsangabe wird gefälscht | ein Empfänger wird zu einer Handlung bewegt |
| Ebene | Protokoll und Übertragung | Inhalt und Psychologie |
| Steht für sich | nein, es ist die Grundlage für den nächsten Schritt | ja, es ist der Angriff selbst |
| Abwehr | technisch: Absenderprüfung, DNS-Absicherung, Rückruf | organisatorisch: Prüfroutine, zweiter Kanal, Schulung |
Woran erkenne ich Spoofing?
| Signal | Was sich prüfen lässt |
|---|---|
| Bekannter Absender, ungewohnter Inhalt | Nachrichtenkopf ansehen: Ergebnis der Absenderprüfung und tatsächlicher Sendeserver |
| Antwortadresse weicht von der Absenderadresse ab | Feld „Antwort an“ vor dem Antworten aufklappen |
| Bekannte Rufnummer, aber unbekanntes Anliegen | Auflegen und über die selbst gewählte Nummer zurückrufen |
| Vertraute Seite verlangt plötzlich erneute Anmeldung | Adresse manuell eintippen oder Lesezeichen nutzen statt dem Link zu folgen |
| Zertifikatswarnung im Browser | Warnung nicht wegklicken; eine umgeleitete Auflösung zeigt sich zuerst hier |
Schutz im Ernstfall
Vorbeugen
- SPF, DKIM und eine DMARC-Richtlinie mit Abweisung im Fehlerfall für die eigene Domain einrichten
- In internen Abläufen die angezeigte Rufnummer nicht als Identitätsnachweis werten, da sie gefälscht sein kann
- DNS-Anfragen über den intern betriebenen, DNSSEC-aktivierten Resolver auflösen lassen
Was tun im Ernstfall
- Bank informieren, Überweisung stoppen lassen, danach intern melden
- Vollständigen Nachrichtenkopf oder Anrufliste sichern, um den tatsächlichen Weg nachzuvollziehen
- Bei gefälschten Absendern aus der eigenen Domain die veröffentlichten Absenderrichtlinien und deren Durchsetzung prüfen; bei umgeleiteter Namensauflösung den Netzbetreiber informieren
- Betroffene Kunden über den offiziellen Kanal informieren, wenn eine gefälschte Nachricht im Namen des Unternehmens kursiert
Beispiele aus der Praxis
- Bei einem gezielten Phishing-Angriff wird die Absenderadresse einer E-Mail so gefälscht, dass sie der Domain des eigenen Unternehmens entspricht, um Mitarbeiter zur Eingabe von Zugangsdaten zu verleiten.
- Angreifer nutzen DNS-Spoofing, um Anfragen an eine legitime Banking-Website auf einen gefälschten Server umzuleiten und dort Anmeldedaten abzugreifen.
- Bei einem DDoS-Angriff mit Amplification-Technik werden UDP-Anfragen mit gefälschter Quell-IP-Adresse des Opfers an offene Resolver gesendet, sodass die verstärkten Antworten das Zielsystem überlasten.
- Bei Vishing-Anrufen setzen Angreifer Caller-ID-Spoofing ein, um die Rufnummer einer Versicherung anzuzeigen und Kunden so zur Bestätigung einer angeblich geänderten Bankverbindung für die nächste Auszahlung zu bewegen.
- Angreifer manipulieren DNS-Einträge, sodass Kunden einer Versicherung beim Aufruf des Online-Kundenportals unbemerkt auf eine nachgebaute Seite gelangen und dort Vertragsnummer sowie Zugangsdaten preisgeben, bevor sie unauffällig auf die echte Seite weitergeleitet werden.
Die Varianten im Detail (24)
File-Extension-Spoofing File-Extension-Spoofing ist das Verschleiern des wahren Dateityps durch eine täuschend gestaltete Dateiendung.
Der Dateiname wird so gewählt, dass eine ausführbare Datei wie ein harmloses Dokument oder Bild wirkt, etwa durch doppelte Endungen oder Sonderzeichen, die die Anzeige verändern. Das Opfer öffnet die Datei im Glauben, sie sei ungefährlich.
Gefälschte Weiterleitung Gefälschte Weiterleitung bezeichnet eine Umleitung, die Nutzer unbemerkt auf eine Seite des Angreifers führt.
Ein scheinbar legitimer Link, ein manipulierter Redirect oder ein veränderter Namensauflösungseintrag sorgt dafür, dass der Aufruf einer bekannten Adresse tatsächlich bei einer fremden Seite endet. Die Umleitung ist für Betroffene meist nicht erkennbar.
GPS-Spoofing GPS-Spoofing ist das Senden gefälschter Satellitensignale, damit ein Empfänger eine falsche Position oder Zeit annimmt.
Der Angreifer überlagert oder ersetzt die schwachen echten Navigationssignale durch eigene, scheinbar gültige Signale. Das Zielgerät berechnet daraus eine falsche Position oder Uhrzeit, ohne dass es eine Störung meldet.
GPS-Spoofing in Telematik-Tarifen GPS-Spoofing in Telematik-Tarifen ist die Manipulation von Positionsdaten verhaltensbasierter Versicherungstarife.
Telematik-Tarife bewerten das Fahrverhalten anhand erfasster Standort- und Bewegungsdaten. Werden diese Daten durch gefälschte Positionssignale verändert, entstehen verzerrte Risikoprofile, was den Bereich des Versicherungsbetrugs berührt.
GUI-Spoofing GUI-Spoofing ist das Nachbilden einer grafischen Benutzeroberfläche, um Eingaben oder Entscheidungen zu manipulieren.
Angreifer gestalten Fenster, Dialoge oder Schaltflächen so, dass sie wie echte Systemelemente aussehen. Nutzer geben dann Zugangsdaten ein oder bestätigen Aktionen, die in Wahrheit von der Fälschung ausgewertet werden.
Identitäts-Spoofing Identitäts-Spoofing ist das Auftreten unter der Identität einer vertrauten Person, Organisation oder Instanz.
Merkmale wie Name, Absenderanzeige oder Profilangaben werden übernommen, damit Empfänger den Angreifer für eine bekannte Stelle halten. Der Begriff ist weiter gefasst als einzelne technische Verfahren und umfasst auch nichttechnische Täuschung.
Inhalts-Spoofing Inhalts-Spoofing ist das Einschleusen gefälschter Inhalte in eine ansonsten echte Webseite.
Die Seite zeigt manipulierte Texte oder Meldungen an, die scheinbar vom Betreiber stammen. Besucher halten die eingeschleusten Angaben für glaubwürdig, weil sie im Rahmen der vertrauten Adresse erscheinen.
Layer-2-Spoofing Layer-2-Spoofing fälscht Hardware-Adressen, sodass sich Angreifer im lokalen Netz als anderes Gerät ausgeben.
Dazu zählen etwa gefälschte Hardware-Adressen, mit denen sich Angreifer als anderes Gerät im lokalen Netz ausgeben. Switches und Hosts ordnen den Datenverkehr dann dem falschen Teilnehmer zu.
Link-Spoofing Link-Spoofing ist das Gestalten eines Links, dessen angezeigtes Ziel vom tatsächlichen Ziel abweicht.
Sichtbarer Linktext und hinterlegte Adresse stimmen nicht überein, sodass eine vertrauenswürdige Adresse angezeigt, aber eine schädliche Seite aufgerufen wird. Der Trick nutzt aus, dass das tatsächliche Ziel oft erst beim Überfahren sichtbar wird.
Location-Spoofing Location-Spoofing ist das Vortäuschen eines Standorts gegenüber Apps, Diensten oder Webseiten.
Standortangaben werden durch Software, manipulierte Systemeinstellungen oder Umleitung des Datenverkehrs verändert. Dienste, die Inhalte, Zugriffe oder Prüfungen an den Ort knüpfen, erhalten dadurch falsche Angaben.
Logo-Spoofing Logo-Spoofing ist das Verwenden gefälschter oder nachgebildeter Markenlogos, um Echtheit vorzutäuschen.
Nachrichten oder Webseiten übernehmen das Erscheinungsbild einer bekannten Organisation, damit sie vertrauenswürdig wirken. Das Logo dient dabei als visuelles Echtheitssignal, das Empfänger selten hinterfragen.
Nachrichten-Spoofing Nachrichten-Spoofing ist das Fälschen von Absenderangaben bei E-Mails, SMS oder Chatnachrichten.
Die Absenderanzeige wird so verändert, dass die Nachricht scheinbar von einer bekannten Person oder Stelle stammt. Es bildet die Grundlage vieler Phishing-Kampagnen und betrifft verschiedene Kommunikationskanäle.
NDP-Spoofing NDP-Spoofing sendet gefälschte Ankündigungen des Neighbor Discovery Protocol, um sich als Router auszugeben.
Angreifer senden gefälschte Ankündigungen, um sich als Router oder anderes Gerät im lokalen Netz auszugeben. Der Verkehr der Opfer läuft dann über das Angreifersystem und kann mitgelesen oder verändert werden.
NetBIOS-Spoofing NetBIOS-Spoofing ist das Beantworten von Namensanfragen im NetBIOS-Dienst mit gefälschten Antworten.
Fragt ein Rechner im lokalen Netz nach einem Namen, antwortet der Angreifer als angeblich zuständiges System. Das Opfer verbindet sich daraufhin mit dem falschen Host und kann dabei Anmeldedaten preisgeben.
Netzwerk-Spoofing Netzwerk-Spoofing ist der Oberbegriff für das Fälschen von Adressen und Kennungen in Netzwerken.
Dazu gehören gefälschte IP-, MAC- und Namensangaben, mit denen sich ein Angreifer als anderes System ausgibt. Ziel ist, Zugriffsregeln zu umgehen, Datenverkehr umzuleiten oder Kommunikation unbemerkt mitzulesen.
Prozess-Spoofing Prozess-Spoofing ist das Ausgeben eines schädlichen Prozesses als vertrauenswürdige Anwendung.
Schadcode übernimmt Name, Pfad oder Eigenschaften eines legitimen Programms, damit Überwachung und Berechtigungsprüfungen ihn als unauffällig einstufen. So lassen sich erhöhte Rechte oder Zugriffe erlangen.
Quelladresse-Fälschung Quelladresse-Fälschung ist das Verändern der Absenderadresse eines Datenpakets oder einer Nachricht.
Der Angreifer trägt anstelle der echten Quelle eine fremde Adresse ein, sodass Empfänger und Filter den Ursprung falsch zuordnen. Antworten gehen an die gefälschte Adresse statt an den Urheber.
RFID-Spoofing RFID-Spoofing ist das Nachahmen eines RFID-Transponders, um sich als berechtigter Ausweis auszugeben.
Ein Gerät sendet die ausgelesenen Kennungen eines echten Transponders aus, sodass Lesegeräte es für diesen halten. Zutrittssysteme oder Bezahlverfahren auf Funkbasis erkennen die Fälschung dann nicht.
URL-Spoofing URL-Spoofing ist das Darstellen einer Webadresse, die wie die einer vertrauenswürdigen Seite aussieht.
Durch ähnliche Schreibweisen, zusätzliche Bestandteile oder Darstellungstricks wirkt die Adresszeile echt, obwohl sie zu einer fremden Seite führt. Betroffene prüfen die Adresse meist nur flüchtig.
Verschleierter Link Verschleierter Link ist ein Link, dessen wahres Ziel durch Gestaltung oder Kodierung verdeckt wird.
Das Ziel wird hinter Kurzformen, Umleitungen, Sonderzeichen oder Linktext versteckt, sodass es nicht ohne Weiteres erkennbar ist. Er dient dazu, Prüfungen durch Nutzer und Filter zu umgehen.
Visual Spoofing Visual Spoofing ist das Täuschen über optisch ähnliche Zeichen oder Darstellungen, um Echtheit vorzutäuschen.
Ähnlich aussehende Buchstaben, Schriftzeichen oder Layouts lassen Adressen, Namen oder Oberflächen wie das Original erscheinen. Die Fälschung wirkt auf Betrachter echt, obwohl sich die zugrunde liegenden Zeichen unterscheiden.
VLAN-Spoofing VLAN-Spoofing ist das Einschleusen von Datenverkehr in ein fremdes virtuelles Netzwerksegment.
Der Angreifer manipuliert Kennzeichnungen oder Switch-Aushandlungen, damit seine Pakete in einem anderen Segment ankommen. So wird die Trennung der Netzbereiche umgangen und geschützte Systeme werden erreichbar.
Website-Spoofing Website-Spoofing ist das Nachbilden einer echten Webseite, um Besucher zu täuschen.
Die Kopie gleicht Aufbau, Gestaltung und oft auch Adresse dem Original, sodass Besucher Eingaben oder Zahlungen auf der gefälschten Seite vornehmen. Sie ist Grundlage vieler Phishing-Angriffe.
Yandex-Bot-Spoofing Yandex-Bot-Spoofing ist das Vortäuschen des Yandex-Crawlers durch gefälschte Kennungen im Anfragekopf.
Schädliche Zugriffe geben sich als legitimer Suchmaschinen-Crawler aus, um Sperren, Ratenbegrenzungen oder Filter zu umgehen. Betreiber erkennen die Fälschung erst durch Abgleich mit der tatsächlichen Herkunft der Anfragen.
Häufiger Irrtum
Mythos „Wenn im Display der richtige Name oder die richtige Nummer steht, ist der Absender echt.“
Richtig Angezeigter Name, Absenderadresse und Rufnummer sind Angaben, die mitgeschickt werden. Sie belegen keine Identität. Belastbar ist erst eine Rückbestätigung über einen Kanal, den der Empfänger selbst gewählt hat.
