Kali365: FBI warnt vor Phishing-Plattform gegen Microsoft 365

Kriminelle nutzen KI und OAuth-Tricks, um Sicherheitssysteme zu umgehen. Die finanziellen Schäden durch Cyberbetrug steigen weltweit rasant an.

Betroffen sind sowohl Großkonzerne als auch Privatpersonen.

Neue Taktiken hebeln Zwei-Faktor-Authentifizierung aus

Das FBI warnte kürzlich vor einer Phishing-Plattform namens Kali365, die speziell auf Microsoft-365-Nutzer abzielt. Bereits im April 2026 registrierten Ermittler hunderte Angriffsversuche über dieses System. Die Methode: Statt Passwörter zu stehlen, nutzen die Angreifer OAuth-Gerätecodes, um die mehrstufige Authentifizierung (MFA) zu umgehen. Die Opfer werden aufgefordert, einen Code auf einer legitimen Microsoft-Seite einzugeben – und gewähren den Kriminellen damit unbeabsichtigt Zugriff. Der Dienst ist offenbar als Abonnement ab 250 Euro pro Monat verfügbar.

Doch das ist nur eine von vielen neuen Gefahren. Eine Studie unter 300 IT-Fachleuten ergab: 76 Prozent der Unternehmen wurden in den letzten zwölf Monaten durch bildbasierte oder QR-Code-Phishing-Angriffe kompromittiert. Branchenuntersuchungen zufolge umgehen rund 94 Prozent dieser speziellen Attacken erfolgreich die Standard-Sicherheitsgateways für E-Mails. Besonders alarmierend: Obwohl 70 Prozent der Unternehmen von ihrer Abwehr überzeugt sind, können weniger als sechs Prozent diese visuellen Bedrohungen zuverlässig erkennen.

Finanzielle Schäden explodieren weltweit

Das Ausmaß des Betrugs wächst rasant. In den USA beliefen sich die Verluste durch Finanzbetrug 2025 auf umgerechnet rund 14,5 Milliarden Euro. Investmentbetrug war mit etwa 7,2 Milliarden Euro die mit Abstand schadensreichste Kategorie.

International reagieren Aufsichtsbehörden mit neuen Vorschriften:

• Indien: Die Zentralbank erwägt Schutzmaßnahmen, nachdem der Betrug bei digitalen Zahlungen 2025 fast 2,7 Milliarden Euro erreichte – ein vierzigfacher Anstieg seit 2021. Geplant sind unter anderem eine kurze Verzögerung bei hohen Zahlungen und eine zusätzliche Authentifizierung durch Dritte.
• Australien: In den kälteren Monaten stiegen Finanzbetrugsattacken um 105 Prozent. Allein im ersten Halbjahr 2026 gingen durch Investmentbetrug über 55 Millionen Euro verloren – nach rund 145 Millionen Euro im gesamten Jahr 2025.
• Philippinen: Der Telekommunikationsanbieter Globe verstärkt seine Abwehrmaßnahmen, insbesondere bei der Sender-ID-Sicherheit und der Erkennung von IMSI-Catchern, die als gefälschte Mobilfunkmasten fungieren.

Anzeige

Angesichts von über 4,7 Millionen gehackten Konten pro Quartal in Deutschland reichen herkömmliche Passwörter als Schutz kaum noch aus. Wie Sie auf moderne Passkeys umstellen und sich bei Amazon, WhatsApp oder Microsoft sicher ohne Passwort anmelden, erklärt dieser kostenlose Ratgeber. Sichere Alternative zu Passwörtern jetzt gratis nachlesen

Ältere Menschen besonders gefährdet

Kriminelle verfeinern ihre Zielgruppenansprache zunehmend. In New York meldeten Opfer über 60 Jahre für 2025 Verluste von umgerechnet rund sieben Milliarden Euro. Die Zahl der betroffenen Senioren stieg im Jahresvergleich um 37 Prozent.

Auch der Tourismus ist im Sommer 2026 ins Visier geraten. Experten entdeckten in einer einzigen Woche über 45.000 betrügerische Reise-E-Mails. Viele nutzen KI-gestützte Stimmklone und gefälschte CAPTCHAs, um Urlauber in beliebten Zielen wie Barcelona, Valencia oder Mallorca zu täuschen. Typische Masche: Die Angst vor dem Verlust der Buchung wird genutzt, um künstliche Dringlichkeit zu erzeugen.

Technologische Wende in der Abwehr

Um diesen Bedrohungen zu begegnen, setzen Technologiekonzerne und Finanzinstitute auf Echtzeit-Intervention und KI-gestützte Sicherheit. Die Rostelecom-Tochter Solar investiert umgerechnet zwischen einer und zwei Millionen Euro in die Entwicklung eines KI-gestützten E-Mail-Gateways. Das System analysiert mit mehreren KI-Agenten Tonfall, Dringlichkeit und potenzielle Manipulation in Kommunikationen. Der Marktstart ist in etwa zwei Jahren geplant.

Parallel dazu überdenken Finanzinstitute das Konzept der „menschlichen Firewall". Statt auf jährliche Sicherheitsschulungen zu setzen, führen einige Unternehmen die sogenannte Nudge-Theorie ein: Mitarbeiter erhalten kontextbezogene, Echtzeit-Warnungen, bevor sie eine riskante Aktion ausführen – etwa das Klicken auf einen ungeprüften Link.

Anzeige

Während neue KI-Gesetze und Cyberrisiken auf Firmen zukommen, ist die technologische Absicherung nur ein Teil der Lösung. Erfahren Sie in diesem kostenlosen E-Book, wie Sie Sicherheitslücken schließen und die neuen rechtlichen Anforderungen zum Schutz Ihres Unternehmens erfüllen. Gratis-E-Book zur Cyber Security jetzt herunterladen

Konkrete Warnungen gibt es auch vor Markenimitationen. Die Sparkasse warnte Kunden kürzlich vor betrügerischen E-Mails, die angeblich ein S-pushTAN-update verlangen. Auch der Aluminiumproduzent BALCO machte auf Phishing-Websites und -E-Mails aufmerksam, die seine Marke imitieren – und betonte, dass offizielle Kommunikation ausschließlich von verifizierten Unternehmensdomänen stammt.