Spoofing (englisch für „fälschen“ oder „täuschen“) bezeichnet in der IT-Sicherheit die Fälschung von Identitäten oder Absenderadressen: Ein Angreifer gibt sich als jemand anderes aus – als ein anderes Gerät im Netzwerk, eine vertrauenswürdige Website oder einen bekannten Absender – um Zugang zu erlangen, Daten abzufangen oder Schadsoftware zu verbreiten.
Die wichtigsten Spoofing-Arten
- IP-Spoofing: Der Angreifer sendet Pakete mit gefälschter Quell-IP-Adresse. So lassen sich Zugriffskontrollen umgehen oder DDoS-Angriffe verschleiern, bei denen die wahre Quelle der Flut nicht erkennbar ist.
- ARP-Spoofing: Im lokalen Netzwerk beantwortet der Angreifer ARP-Anfragen mit gefälschten Antworten und lenkt den Datenverkehr zwischen zwei Geräten über sich selbst – die Basis für Man-in-the-Middle-Angriffe. Das ARP-Protokoll ist dafür anfällig, weil es keine Authentifizierung kennt.
- DNS-Spoofing: Gefälschte DNS-Antworten leiten Nutzer auf betrügerische Websites um, obwohl sie die richtige Adresse eintippen.
- E-Mail-Spoofing: Die Absenderadresse einer Mail wird gefälscht, sodass sie von einer vertrauenswürdigen Person oder Firma zu stammen scheint. Das ist ein zentraler Baustein von Phishing-Angriffen.
- Caller-ID-Spoofing: Auch Telefonnummern lassen sich fälschen – Betrüger geben sich am Telefon als Bank oder Behörde aus.
Warum Spoofing so gefährlich ist
Spoofing allein schadet oft nicht – es ist die Vorbereitung für andere Angriffe. Ein per ARP-Spoofing aufgebauter Man-in-the-Middle-Angriff kann genutzt werden, um Exploits einzuschleusen oder Zugangsdaten abzufangen. Und Phishing-Mails mit gespoofter Absenderadresse verteilen Backdoors und andere Schadsoftware. Angreifer kombinieren Spoofing außerdem mit Exploit-Angriffen, um die Herkunft ihrer Angriffe zu verschleiern.
Schutzmaßnahmen
- Verschlüsselung mit TLS: Zertifikate bestätigen die Identität des Servers, gefälschte Zwischenstationen fallen auf.
- DNSSEC signiert DNS-Antworten und macht DNS-Spoofing deutlich schwerer.
- SPF, DKIM und DMARC prüfen bei E-Mails, ob die Absenderadresse zur echten Quelle passt.
- Im LAN helfen ARP-Inspektion, VLANs und NAT gegen Adressfälschung; IDS/IPS erkennen verdächtige Muster.