In einer koordinierten Aktion haben internationale Strafverfolgungsbehörden zwei bedeutende Infrastrukturen für Cyberkriminalität zerschlagen. Das Bundeskriminalamt (BKA) und das FBI gingen gegen die Plattformen „Kratos“ und „Tycoon2FA“ vor.
Phishing-as-a-Service für jedermann
Der Dienst „Kratos“ funktionierte als sogenanntes Phishing-as-a-Service-Angebot. Kriminelle konnten ohne tiefgehende technische Kenntnisse monatlich rund 15.000 Phishing-Kampagnen starten. Rund 1.800 Nutzer nutzten die Plattform, die seit 2024 Erlöse von über 300.000 Euro erzielte.
Der mutmaßliche Hauptadministrator wurde in Indonesien festgenommen. Die Ermittler machten mehr als 200 Server unschädlich.
96.000 gefälschte Banking-Apps
Parallel dazu gelang ein Erfolg gegen das Netzwerk „Tycoon2FA“. Diese Infrastruktur generierte über 96.000 gefälschte Banking-Apps. Die Opfer finden sich weltweit in über 30 Ländern, mit Schwerpunkten in Europa sowie Nord- und Südamerika.
In Pakistan wurden zwei Hauptmitglieder und weitere Beteiligte festgenommen. Die Sicherheitsbehörden warnen jedoch: Der Schadcode könnte weiterhin im Umlauf sein, da ehemalige Nutzer noch Zugriff darauf haben.
Mobile Bedrohungen explodieren
Die Notwendigkeit dieser Schläge unterstreichen aktuelle Daten des Sicherheitsunternehmens Kaspersky. Im ersten Quartal 2026 blockierte die Software rund 2,67 Millionen Angriffe durch mobile Schadsoftware. Die Forscher identifizierten über 300.000 verschiedene schädliche Programme.
Angesichts von Millionen Angriffen auf Mobilgeräte riskieren Nutzer ohne gezielte Vorsorge den Verlust sensibler Bankdaten. Dieser kostenlose Ratgeber zeigt Ihnen 5 einfache Schritte, mit denen Ihr Android-Smartphone sofort sicherer vor Hackern und Malware wird. 5 Schutzmaßnahmen jetzt entdecken
Besonders dramatisch: Die Zahl der Android-Banking-Trojaner stieg im Vergleich zum Vorjahreszeitraum um 56 Prozent. Auch die Verdachtsmeldungen bei Neobanken verzeichneten einen massiven Zuwachs – von rund 34.000 auf über 108.000 Fälle im vergangenen Jahr.
KI-generierte Stimmen als neue Waffe
Die Angriffsmethoden werden immer raffinierter. Aktuelle Kampagnen nutzen KI-generierte Sprachsynthese, um sich als vertrauenswürdige Personen auszugeben. In einem dokumentierten Fall griffen Täter gezielt Anwaltskanzleien an – mit manipulierten Systemwerkzeugen, die gültige digitale Signaturen trugen.
Die Schadprogramme prüfen zunächst, ob Sicherheitslösungen wie Microsoft Defender oder Kaspersky aktiv sind. Bei Entdeckung brechen sie den Vorgang ab. Bleibt die Infektion unbemerkt, verschafft sich die Software weitreichende Berechtigungen, fertigt Screenshots an und überträgt Daten verschlüsselt an die Angreifer.
Wer haftet bei Betrug?
Angesichts der Professionalität der Angreifer rücken Haftungsfragen in den Fokus. Ein Urteil des Bundesgerichtshofs aus dem Sommer 2025 macht klar: Geben Bankkunden trotz Warnhinweisen sensible Daten wie TAN-Nummern am Telefon weiter, kann ihnen grobe Fahrlässigkeit vorgeworfen werden. Der Erstattungsanspruch gegenüber der Bank entfällt dann.
Allein in Deutschland werden pro Quartal rund 4,7 Millionen Online-Konten gehackt, was oft zu hohen finanziellen Schäden führt. Erfahren Sie in diesem Gratis-Report, wie Sie die neue Passkey-Technologie bei Amazon, WhatsApp und Co. nutzen, um Passwörter sicher zu ersetzen. Kostenlosen Passkey-Ratgeber herunterladen
Fehlt hingegen eine starke Kundenauthentifizierung seitens der Bank, haftet diese in der Regel.
Passkeys als neuer Standard
GMX und WEB.DE führen für ihre rund 38 Millionen Nutzer ab Juli 2026 sogenannte Passkeys ein. Microsoft plant, Passkeys zum Standard für Unternehmenskonten zu machen und die SMS-Authentifizierung bis Anfang 2027 abzuschaffen.
Experten raten, auf Mobilgeräten biometrische Sicherheitsmerkmale konsequent zu nutzen. Bei Verlust des Geräts sollten Nutzer umgehend Schutzmaßnahmen über die Herstellersysteme einleiten.
