Das Bundeskriminalamt (BKA) und internationale Partner haben mehrere große Phishing-Plattformen lahmgelegt. Die Netzwerke hatten weltweit Millionen Smartphone-Nutzer attackiert. Besonders im Fokus: KI-gestützte Angriffe, die selbst Sicherheitsabfragen umgehen können.
„Kratos“ und „Tycoon2FA“ vom Netz genommen
Die Plattform „Kratos“ bot Kriminellen ein Rundum-Sorglos-Paket. Gegen Bezahlung konnten sie täuschend echte Microsoft-Anmeldeseiten mieten – ein klassisches „Phishing-as-a-Service“-Modell. Der mutmaßliche Entwickler sitzt in Indonesien in Haft.
Seit 2024 soll der Dienst rund 300.000 Euro eingebracht haben. Etwa 1.800 Nutzer führten monatlich 15.000 Angriffskampagnen durch. Die Ermittler stellten über 200 Server sicher. Die Zahl der Opfer aus mehr als 30 Ländern geht in die Hunderttausende.
Parallel dazu schlugen Sicherheitskräfte in Pakistan zu. Zwölf Mitglieder einer Bande wurden festgenommen, die seit 2019 aktiv war. Ihre Bilanz: über 96.000 Phishing-Apps, die vor allem Banking-Daten in Europa, Amerika und Zentralasien abgriffen. Vier Verdächtige werden per Interpol-Steckbrief gesucht.
Explosionsartiger Anstieg mobiler Angriffe
Warum dieser Schlag so wichtig ist, zeigt die aktuelle Bedrohungslage. Eine Kaspersky-Studie vom März belegt: 58 Prozent der Befragten nutzen das Smartphone als primären Internetzugang. Bei den 18- bis 28-Jährigen sind es sogar 67 Prozent.
Diese Konzentration lockt Kriminelle an. Allein im ersten Quartal 2026 blockierten Sicherheitssysteme 2,67 Millionen Schadsoftware-Angriffe auf Mobilgeräte. Rund 306.000 neue Schädlinge kamen hinzu. Besonders alarmierend: Android-Banking-Trojaner legten um 56 Prozent zu. Bei Neobanken stiegen die Verdachtsfälle 2025 von 34.000 auf über 108.000.
Millionen Deutsche nutzen täglich Online-Banking per Smartphone – ohne diesen Schutz ist das gefährlich. Experten warnen: Wer diese 5 Maßnahmen nicht kennt, riskiert Datenverlust und finanzielle Schäden. 5 sofort umsetzbare Schutzmaßnahmen entdecken
Wenn selbst die PIN nichts mehr nützt
Neben Betrugsmaschen entdecken Forscher gefährliche Sicherheitslücken. In Android 16 umging eine Tastenkombination die PIN-Abfrage – ein Fix ist in Arbeit. Auch MediaTek-Prozessoren haben Schwachstellen: Kriminelle konnten Krypto-Seed-Phrasen auslesen.
Apple-Nutzer traf die Angriffskette „DarkSword“. Seit November 2025 nutzt sie sechs Zero-Day-Lücken aus. Apple schloss die Probleme erst mit iOS 26.3.
Die größte Gefahr geht aber von KI aus. Moderne Phishing-Kits umgehen die Multifaktor-Authentifizierung, indem sie OAuth-Tokens stehlen. Ihre Erfolgsquote: bis zu 54 Prozent. Zum Vergleich: Herkömmliche Phishing-Mails erreichen nur etwa 12 Prozent.
Das Ende der Passwort-Ära
Die Industrie reagiert. GMX und WEB.DE führen im Juli 2026 Passkeys für ihre 38 Millionen Nutzer ein. Statt Passwörtern reichen Fingerabdruck oder Gesichtserkennung.
Microsoft zieht nach: Ab September werden Passkeys zum Standard für Entra ID. Die SMS-Authentifizierung fällt bis Februar 2027 komplett weg. Weltweit sind bereits über fünf Milliarden Passkeys im Einsatz.
Da in Deutschland pro Quartal Millionen Konten gehackt werden, ist der Umstieg auf passwortlose Sicherheit entscheidend. Dieser kostenlose Report zeigt, wie Sie Passkeys bei Amazon, Microsoft und WhatsApp sofort einrichten. Sicher, bequem und passwortlos – So funktionieren Passkeys
Wer haftet bei Phishing?
Aktuell warnen Verbraucherschützer vor Wellen gefälschter „SecureGo Plus“-Mails an Volksbank-Kunden und betrügerischen Prüfungsanordnungen angeblich von Finanzministerien.
Die gute Nachricht: Banken müssen bei nicht autorisierten Zahlungen den vollen Betrag erstatten – es sei denn, dem Kunden ist grobe Fahrlässigkeit nachzuweisen. Ein BGH-Urteil vom Juli 2025 stellte klar: Wer deutliche Warnsignale ignoriert, haftet mit. Fehlt aber eine starke Kundenauthentifizierung, trägt die Bank den Schaden.
