Sicherheitsbehörden schlagen Alarm: Eine hochentwickelte Spionagekampagne zielt auf Unternehmen und Regierungen in Europa und den USA ab. Die Angreifer nutzen eine kritische Sicherheitslücke in Microsoft Outlook – und ihre Methode ist besonders tückisch.
OWAReaper: Das unsichtbare Spionage-Werkzeug
Am 22. Juli 2026 begann eine koordinierte Angriffswelle, die einen Tag später von internationalen Cybersicherheitsbehörden öffentlich gemacht wurde. Im Zentrum steht die Hackergruppe TA488, auch bekannt als „Laundry Bear“ oder „Void Blizzard“. Die Angreifer nutzen eine als CVE-2026-42897 registrierte Sicherheitslücke in Microsofts Outlook Web Access (OWA). Dabei handelt es sich um eine sogenannte Cross-Site-Scripting-Schwachstelle (XSS), die im Lesebereich von Outlook lauert.
Das Besondere: Schon das bloße Vorschauen oder Öffnen einer präparierten E-Mail genügt, um den Schadcode auszuführen. Sicherheitsexperten sprechen von einem „Half-Click-Exploit“ – ein Klick reicht, um das System zu kompromittieren.
Das Hauptwerkzeug der Angreifer ist ein JavaScript-basierter Browser-Trojaner namens OWAReaper. Dieses Schadprogramm nutzt browsereigene Speicherfunktionen wie localStorage und IndexedDB, um sich dauerhaft im System festzusetzen. Besonders perfide: Die Hacker manipulieren die Ordnerberechtigungen auf dem Server, sodass der „Default“-Benutzer vollen Zugriff erhält. Selbst wenn das Opfer das Passwort ändert oder das System komplett neu aufsetzt, bleibt der Zugang bestehen.
Gezielte Angriffe auf Schlüsselindustrien
Die aktuelle Kampagne richtet sich gezielt gegen hochsensible Bereiche. Im Fokus stehen:
- Regierungsbehörden in den USA und Europa
- Telekommunikationsunternehmen
- Finanzdienstleister
- Hotellerie und Luftfahrtindustrie
Die Angreifer gehen dabei äußerst raffiniert vor. Ihre Kommandozentrale kommuniziert über GitHub-Commits oder getarnte E-Mails. Gestohlene Daten verlassen das Netzwerk durch HTTPS- oder DNS-Tunneling – Methoden, die sich im normalen Datenverkehr verstecken und von herkömmlichen Sicherheitssystemen kaum erkannt werden.
Wissen Sie, wo Outlook Ihre Daten wirklich speichert – und wie Sie sie vor solchen Angriffen effektiv schützen? Ein kostenloser Experten-Ratgeber enthüllt die wichtigsten Sicherheitseinstellungen und Registry-Tricks, die kaum ein Nutzer kennt. Wichtige Outlook-Sicherheits-Tipps jetzt kostenlos sichern
Microsoft-Ökosystem unter Beschuss
Der OWA-Angriff ist kein Einzelfall. Bereits am 14. Juli 2026 hatte die US-Cybersicherheitsbehörde CISA eine kritische SharePoint-Sicherheitslücke (CVE-2026-58644) in ihre Liste bekannter Schwachstellen aufgenommen. Diese Zero-Day-Lücke betrifft mehrere SharePoint-Versionen, darunter die Subscription Edition sowie ältere Versionen von 2016 und 2019.
Parallel dazu lief eine großangelegte Phishing-Kampagne: Von Ende Juni bis Mitte Juli 2026 wurden über 120 Organisationen attackiert. Die Angreifer nutzten legitime OAuth-Verfahren und Microsoft-Teams-Benachrichtigungen, um Sitzungstoken zu stehlen. Fast 98 Prozent dieser Angriffe konzentrierten sich auf Nordamerika, besonders auf Industrie, Rechtswesen und Gesundheitssektor.
Operation Olympus Blade: Erfolg gegen Phishing-as-a-Service
Die Sicherheitsbehörden schlugen im Juli 2026 zurück: Mit der Operation Olympus Blade zerschlugen sie die Phishing-as-a-Service-Plattform Kratos. Über 200 Server wurden abgeschaltet, ein Hauptentwickler festgenommen. Vor seiner Zerschlagung hatte Kratos mehr als 1.800 Abonnenten und ermöglichte rund 15.000 Phishing-Kampagnen pro Monat – durch Umgehung der Zwei-Faktor-Authentifizierung mittels Token-Diebstahl.
Ob Token-Diebstahl oder CEO-Fraud – die psychologischen Tricks der Hacker werden immer raffinierter und gefährlicher für deutsche Unternehmen. Erfahren Sie in diesem kostenlosen Report, wie Sie diese Methoden entlarven und Ihre Firma in 4 Schritten absichern. Gratis Anti-Phishing-Paket für Unternehmen anfordern
Historische Muster: Vom Zimbra-Angriff zu Outlook
Die aktuellen Methoden von TA488 folgen einem bekannten Muster. Bereits zwischen Juli 2025 und Februar 2026 führte die Gruppe eine einjährige Spionagekampagne durch – damals mit einer ähnlichen XSS-Sicherheitslücke in der Zimbra Classic UI. Ziel waren NATO-Mitglieder, die Ukraine sowie Regierungs- und Verteidigungsorganisationen in Afrika und der Gemeinschaft Unabhängiger Staaten.
Obwohl Zimbra am 7. und 20. Juli 2026 Sicherheitsupdates veröffentlichte, warnen Experten: Webmail bleibt das bevorzugte Ziel staatlich gesteuerter Angreifer. Der Wechsel von Zimbra zu Outlook zeigt, dass Hackergruppen zunehmend auf Browser-Trojaner setzen, die herkömmliche Endgeräte-Sicherheit umgehen – indem sie sich vollständig innerhalb der Weboberfläche verstecken.
