Spoofing: Wenn Angreifer eine falsche Identität nutzen

Was Spoofing ist

Vertrauen ist die Währung der digitalen Kommunikation – und Spoofing ist der Versuch, es zu fälschen. Beim Spoofing gibt sich ein Angreifer als jemand aus, dem das Opfer vertraut: als bekannter Absender, als seriöser Dienst, als Kollege oder Vorgesetzter. Dazu manipuliert er die Kennungen, an denen wir Identität festmachen – die Absenderadresse einer E-Mail, die Nummer im Telefondisplay, technische Adressen im Netzwerk.

Der Begriff stammt vom englischen „to spoof” (täuschen, vortäuschen) und beschreibt kein einzelnes Angriffsverfahren, sondern ein Prinzip: die vorgetäuschte Identität als Türöffner.

Die wichtigsten Arten

Spoofing tritt in mehreren Varianten auf:

• E-Mail-Spoofing: Die Absenderadresse einer E-Mail wird gefälscht, sodass sie von einer vertrauenswürdigen Quelle zu stammen scheint. Die häufigste und für Unternehmen relevanteste Form.
• Caller-ID-Spoofing: Im Telefondisplay erscheint eine gefälschte Rufnummer – etwa die einer Behörde oder Bank.
• IP-Spoofing: Angreifer fälschen die Absender-IP-Adresse in Netzwerkpaketen, um Sicherheitsmechanismen zu umgehen oder Angriffe zu verschleiern.
• DNS-Spoofing: Nutzer werden trotz korrekter Eingabe auf eine gefälschte Website umgeleitet.

Schutz durch SPF, DKIM und DMARC

Gegen das für Unternehmen wichtigste E-Mail-Spoofing gibt es wirksame technische Antworten – drei Standards, die zusammenarbeiten:

• SPF legt fest, welche Server im Namen Ihrer Domain versenden dürfen.
• DKIM versieht ausgehende Mails mit einer digitalen Signatur, die ihre Echtheit belegt.
• DMARC verknüpft beides mit einer Regel, was mit nicht authentifizierten Mails geschehen soll – und liefert Berichte über Missbrauch.

Richtig eingerichtet, machen diese Standards es Angreifern schwer, im Namen Ihres Unternehmens gefälschte Mails zu versenden – und schützen so auch Ihre Kunden und Partner vor Missbrauch Ihrer Marke.

Technik und Mensch zusammen

Kein technischer Schutz ist lückenlos, und gegen Caller-ID-Spoofing am Telefon hilft ohnehin nur Aufmerksamkeit. Deshalb bleibt die Kombination entscheidend: saubere technische Absicherung der eigenen Domain plus geschulte Mitarbeitende, die eine vorgetäuschte Identität erkennen. Genau hier setzt eine Phishing-Simulation an, die den Umgang mit gefälschten Absendern trainiert. Weil Spoofing die Grundlage der meisten Phishing-Angriffe ist, gehört beides zusammen – als Teil einer durchdachten Sicherheit & Compliance, die Technik und Bewusstsein verbindet.