Eine internationale Polizeiaktion hat eine der größten Phishing-Plattformen der Welt zerschlagen. Die als „Operation Olympus Blade“ bekannte Aktion richtete sich gegen die Kratos Phishing-as-a-Service (PhaaS)-Plattform, die es Cyberkriminellen ermöglichte, automatisierte Angriffe im großen Stil durchzuführen.
Beteiligt waren das Bundeskriminalamt (BKA), das US-amerikanische FBI sowie die indonesischen Behörden. In Indonesien nahmen die Ermittler einen mutmaßlichen Entwickler fest. Mehr als 200 Server, die die illegale Infrastruktur hosteten, wurden beschlagnahmt und vom Netz genommen.
15.000 Phishing-Kampagnen pro Monat
Die Plattform Kratos war ein regelrechter „Supermarkt für Cyberkriminelle“, wie Ermittler es beschreiben. Rund 1.800 Kunden oder Partner nutzten die Dienste, um monatlich schätzungsweise 15.000 Phishing-Kampagnen zu starten. Das erklärten BKA-Vertreter Carsten Meywirth und Benjamin Krause von der Zentralstelle zur Bekämpfung der Internetkriminalität (ZIT).
Doch Vorsicht: Experten warnen, dass die Gefahr nicht vollständig gebannt sei. Bestehende Kunden könnten noch Kopien des schädlichen Codes besitzen und ihn für neue Angriffe nutzen.
Hochtechnologie: So funktionierte der Angriff
Kratos war speziell auf Microsoft 365-Konten zugeschnitten. Besonders perfide: Die Plattform umging selbst die mehrstufige Authentifizierung (MFA), die eigentlich als sicherer Schutzschild gilt.
Zwei Methoden kamen zum Einsatz:
– Ein PHP-basierter Credential Harvester, der Zugangsdaten abgriff
– Ein Node.js Reverse Proxy, auch als „Adversary-in-the-Middle“ (AiTM)-Angriff bekannt
Phishing-Angriffe wie diese zeigen, wie leicht selbst Sicherheitsvorkehrungen wie die Mehrfaktor-Authentifizierung durch psychologische Tricks und Technik umgangen werden können. Ein kostenloser Leitfaden hilft Unternehmen nun dabei, diese Manipulationstaktiken zu entlarven und sich wirksam zu schützen. In 4 Schritten zum sicheren Unternehmen: So stoppen Sie Phishing-Angriffe
Diese Technik erlaubte es den Angreifern, nicht nur Benutzernamen und Passwörter zu stehlen, sondern auch Session-Cookies. Damit hatten sie direkten Zugriff auf die geschützten Konten – ohne dass eine erneute Authentifizierung nötig war.
Microsoft verfolgte die Aktivitäten unter dem Namen „SneakyLog“. Das Unternehmen identifizierte, dass die Plattform häufig legitime Cloud-Dienste wie SharePoint, OneDrive, Canva, Tilda und Microsoft Forms nutzte, um nicht aufzufallen. Zudem verwendete Kratos Cloudflare Turnpike, um den schädlichen Datenverkehr zu verbergen.
Bereits im Februar 2026 beobachteten Forscher eine konkrete Kampagne: Kratos wurde genutzt, um Steuer-E-Mails mit QR-Codes an rund 100 Organisationen in den USA zu versenden.
Weltweite Opfer und finanzielle Dimension
Seit 2024 soll der Betreiber von Kratos mehr als 300.000 Euro mit dem Dienst verdient haben. Die Reichweite war global: Die Ermittler identifizierten mindestens 850 bestätigte Opfer in 35 Ländern. Einige Berichte deuten darauf hin, dass die Gesamtzahl der Betroffenen in die Hunderttausende gehen könnte.
Angesichts von Millionen gehackter Konten pro Quartal warnen Experten davor, dass herkömmliche Passwörter allein kein ausreichender Schutz mehr gegen moderne Cyber-Kriminalität sind. Erfahren Sie in diesem kostenlosen Report, wie die neue Passkey-Technologie Ihre Konten bei Amazon, Microsoft und Co. endlich hacker-sicher macht. Sicher und passwortlos: Jetzt kostenlosen Passkey-Ratgeber sichern
Die Phishing-Kits von Kratos ahmten die echten Microsoft-Anmeldeseiten mit hoher Präzision nach. Die gestohlenen Daten wurden in der Regel über Telegram-Bots abtransportiert – so konnten die Kunden der Plattform schnell auf die erbeuteten Zugangsdaten und Session-Daten zugreifen.
Die Ermittlungen laufen. Die Staatsanwaltschaft prüft nun Anklagen nach dem deutschen Strafgesetzbuch. Die beschlagnahmten Server werden derzeit forensisch ausgewertet.
