BKA, FBI und indonesische Behörden haben die Phishing-Plattform „Kratos“ zerschlagen. Der mutmaßliche Entwickler wurde in Indonesien festgenommen. Die Operation „Olympus Blade“ traf einen der größten Anbieter von Phishing-as-a-Service (PaaS) weltweit.
Wie Kratos funktionierte
Die Plattform ermöglichte es rund 1.800 Kunden, monatlich etwa 15.000 Phishing-Kampagnen durchzuführen. Die Angriffe richteten sich gegen Nutzer in über 30 Ländern. Seit 2024 erzielten die Betreiber Einnahmen von über 300.000 Euro – durch monatliche Gebühren für den Zugang zum Kratos-Toolkit.
Die Software setzte auf moderne Adversary-in-the-Middle-Techniken (AiTM). Damit stahl sie nicht nur Zugangsdaten für Microsoft-365-Konten, sondern auch Session-Cookies. Die Angreifer umgingen so die Multi-Faktor-Authentifizierung (MFA) und gelangten direkt an Dienste wie Outlook, OneDrive und Teams. Mehr als 200 Server wurden im Zuge der Operation beschlagnahmt.
Angriffe auf Authentifizierung nehmen massiv zu
Der Fall Kratos ist kein Einzelfall. Sicherheitsanalysten melden einen dramatischen Anstieg von Angriffen auf Authentifizierungs-Schnittstellen. Eine aktuelle Kampagne missbraucht den Microsoft OAuth 2.0 Device Authorization Grant. Die Täter tarnten präparierte PDFs als Kommunikation von Anwaltskanzleien – und lockten Opfer so auf gefälschte Anmeldeseiten.
Noch alarmierender: Password-Spraying-Angriffe haben sich in der ersten Jahreshälfte 2026 um das 155-Fache gesteigert. Eine Kampagne zielte auf die Azure-CLI-Schnittstelle ab und verzeichnete innerhalb von zwei Wochen rund 81 Millionen Anmeldeversuche. Die Angreifer nutzten ein veraltetes Protokoll (ROPC Grant), um Sicherheitsabfragen zu umgehen.
Da Cyberkriminelle immer raffiniertere Methoden wie das Aushebeln der Multi-Faktor-Authentifizierung nutzen, müssen Unternehmen ihre Abwehrstrategien dringend anpassen. Dieser kostenlose Leitfaden zeigt in vier Schritten, wie Sie Phishing-Angriffe effektiv stoppen und Ihre Belegschaft sensibilisieren. In 4 Schritten zum sicheren Unternehmen: So stoppen Sie Phishing-Angriffe bevor sie entstehen
Passkeys als Antwort auf KI-Phishing
Die Bedrohung wächst: KI-gestütztes Phishing erreicht Klickraten von über 50 Prozent. Große IT-Dienstleister reagieren mit dem Umstieg auf passwortlose Verfahren. Microsoft kündigte an, Passkeys ab September 2026 zum Standard für Entra ID zu machen. Die Authentifizierung per SMS oder Sprachruf stellt der Konzern bis Anfang 2027 komplett ein.
Auch deutsche Anbieter ziehen nach: GMX und WEB.DE haben für ihre rund 38 Millionen Nutzer den Login per Passkey eingeführt. Die Methode nutzt biometrische Merkmale wie Fingerabdruck oder Gesichtserkennung. Da keine geheimen Zugangsdaten übertragen werden, gilt sie als weitgehend resistent gegen klassische Phishing-Angriffe.
Aktuelle Phishing-Wellen treffen Bankkunden
Trotz aller technischen Fortschritte bleiben herkömmliche Phishing-Wellen eine akute Gefahr. Derzeit kursieren betrügerische Nachrichten im Namen der Volksbanken, Sparkasse, Commerzbank und easybank. Die Täter nutzen Vorwände wie eine notwendige Verifizierung für „SecureGo Plus“, angebliche PSD2-Anforderungen oder chipTAN-Updates. Auch das Bundeszentralamt für Steuern wird als Absender missbraucht – mit künstlichem Zeitdruck sollen Kunden ihre Bankdaten preisgeben.
Angesichts von Millionen gehackter Konten pro Quartal in Deutschland wird die Abkehr von klassischen Passwörtern immer wichtiger. Erfahren Sie in diesem kostenlosen Report, wie Sie Passkeys bei Diensten wie Amazon oder WhatsApp einrichten und sich so dauerhaft vor Datenklau schützen. Was steckt hinter Passkeys – der Technologie, die Passwörter für immer ablösen soll?
Juristen erinnern an die Rechte der Betroffenen: Bei nicht autorisierten Zahlungen sind Banken gemäß § 675u BGB grundsätzlich zur Erstattung verpflichtet. Ausnahme: Dem Kunden kann grobe Fahrlässigkeit nachgewiesen werden. Ein Urteil des Bundesgerichtshofs vom Sommer 2025 unterstreicht zudem: Fehlt die starke Kundenauthentifizierung (SCA), haftet in der Regel das Kreditinstitut.
Experten raten angesichts der zunehmenden Komplexität der Angriffe zur konsequenten Nutzung von 2FA-Verfahren. Unternehmen sollten nicht benötigte Authentifizierungsprotokolle in ihren Netzwerken deaktivieren. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt zudem vor dem Einsatz autonomer KI-Systeme bei Angriffen.
