Sicherheitsbehörden schlagen Alarm: Kriminelle nutzen zunehmend manipulative Methoden, um an Apple-IDs zu gelangen. Besonders betroffen sind Minderjährige.
Erpressung über Gaming-Chats
Das russische Innenministerium und die Medienaufsicht Roskomnadzor warnen vor einer perfiden Betrugsmasche, die in Gaming-Chats ihren Anfang nimmt. Täter kontaktieren dort Kinder und Jugendliche und überreden sie durch geschickte Gesprächsführung, sich von ihrer eigenen Apple-ID abzumelden. Stattdessen sollen die Opfer die Zugangsdaten der Angreifer auf ihren Geräten eingeben.
Sobald die fremde Apple-ID aktiviert ist, sperren die Täter das iPhone oder iPad per Fernverwaltung vollständig. Anschließend fordern sie Lösegeld für die Freigabe. Die Behörden raten Eltern zur Aktivierung der Zwei-Faktor-Authentifizierung (2FA) und zur Einrichtung von Bildschirmzeit-Beschränkungen. Betroffene Familien sollen Vorfälle umgehend zur Anzeige bringen und Beweise per Bildschirmfoto sichern. Gemeldete Fälle gibt es zuletzt aus der Region Woronesch und dem Oblast Rjasan.
Phishing als Hauptbedrohung
Die Gefahr beschränkt sich nicht auf einzelne Nutzergruppen. Cisco Talos analysierte das zweite Quartal 2026 und fand heraus: Phishing verursacht inzwischen über 50 Prozent aller registrierten Sicherheitsvorfälle. Im ersten Quartal lag der Anteil noch bei rund einem Drittel.
Besonders alarmierend ist die Geschwindigkeit der Angriffe. Bei Vishing-Kampagnen (Voice Phishing) über Plattformen wie Microsoft Teams installierten Angreifer innerhalb von weniger als 17 Stunden nach dem Erstkontakt Ransomware in Unternehmensnetzwerken. In 65 Prozent der untersuchten Incident-Response-Fälle missbrauchten Angreifer zudem Authentifizierungsdaten.
Um sich wirksam gegen Phishing und den Missbrauch von Zugangsdaten zu schützen, ist ein grundlegendes Verständnis der verwendeten Fachbegriffe unerlässlich. Dieses Gratis-Lexikon erklärt die 53 wichtigsten iPhone-Begriffe in einfachen Worten – inklusive Aussprachehilfen. Die 53 wichtigsten Apple-Begriffe jetzt kostenlos verstehen
Hardware-Lücke ohne Patch
Neben Social Engineering bleibt eine technische Schwachstelle bestehen, die sich nicht beheben lässt. Die als „usbliter8“ bekannte Lücke betrifft den SecureROM und den USB-Controller von Apple-Geräten mit A12- und A13-Chips. Betroffen sind ältere Modelle wie das iPhone XR, die iPhone-11-Serie sowie diverse iPads und Apple Watches. Da der Fehler in der Hardware-Logik verankert ist, helfen auch die jüngsten Updates auf iOS 26.6 oder macOS Tahoe 26.6 nicht. Diese schlossen Ende Juli zwar 194 andere Schwachstellen, bieten aber keinen Schutz gegen Angriffe mit physischem Zugriff auf das Gerät.
Massenphänomen Device-Code-Phishing
Parallel entwickelt sich Device-Code-Phishing zum Massenphänomen. Angreifer missbrauchen die OAuth-2.0-Geräteautorisierung, um Zugriffstoken zu stehlen und die Multi-Faktor-Authentifizierung (MFA) zu umgehen. Branchenberichte von Push Security und Barracuda zeigen die Dimension: Innerhalb von vier Wochen registrierten Experten rund sieben Millionen solcher Angriffe. 99 Prozent richten sich gegen Microsoft-Umgebungen, doch auch GitHub und AWS geraten zunehmend ins Visier.
Viele Sicherheitslücken entstehen durch falsche Einstellungen nach einer Systemaktualisierung, was Kriminellen den Zugriff auf sensible Daten erleichtert. Ein Apple-Experte erklärt in diesem kostenlosen Ratgeber, wie Sie Ihr Gerät nach einem Update mit wenigen Klicks wirklich schützen. Kostenlosen Ratgeber für sichere iOS-Updates herunterladen
Prävention: Was jetzt hilft
Angesichts der Professionalisierung der Angreifer, die auf Plattformen mit über 80 spezialisierten APIs zur MFA-Umgehung zurückgreifen, mahnen Institutionen wie das LKA Schleswig-Holstein und der Weisse Ring zur erhöhten Wachsamkeit. Neben der konsequenten Nutzung unterschiedlicher, starker Passwörter empfehlen Experten den Einsatz von FIDO2-Sicherheitsschlüsseln, die gegen klassisches Phishing als resistenter gelten.
Nutzer sollten unaufgeforderte Zahlungsbestätigungen oder Warnmeldungen misstrauisch prüfen. Aktuelle Kampagnen täuschen etwa PayPal-Transaktionen über 900 Euro vor, um Empfänger zum Klicken auf schädliche Links zu verleiten. Bei Identitätsdiebstahl gilt: Konten sofort sperren, Passwörter von einem sauberen Gerät aus ändern und den Vorfall polizeilich melden.
