Phishing-Kit Kratos: Deutsche Behörden nehmen 200 Server offline
Veröffentlicht am: 07.08.2026 um 15:43 Uhr | Redaktion boerse-global.de
Angesichts einer anhaltend hohen Bedrohungslage durch Cyber-Kriminalität haben deutsche Behörden am Freitag eine neue Leitlinie herausgegeben. Das Dokument definiert kritische Handlungsschritte für Internetnutzer, die auf bösartige Phishing-Links geklickt haben. Die Empfehlungen konzentrieren sich auf die unmittelbare Sicherung betroffener Konten sowie die formale Meldung von Datendiebstahl.
Hintergrund: Zerschlagung der Kratos-Infrastruktur
Die Veröffentlichung der Leitlinie folgt auf umfangreiche Ermittlungserfolge gegen die Infrastruktur hinter professionellen Phishing-Kampagnen. Bereits am 20. Juli nahmen Behörden über 200 Server des Phishing-Kits „Kratos“, auch bekannt unter dem Namen „SneakyLog“, offline. Dennoch warnen Experten vor einer fortbestehenden Gefahr, da schätzungsweise 1.800 Abonnenten weiterhin Zugriff auf den zugrundeliegenden Code haben.
Nach behördlichen Angaben war die Kratos-Infrastruktur für monatlich etwa 15.000 Phishing-Kampagnen verantwortlich, die gezielt auf Microsoft-365-Nutzer ausgerichtet waren. Die Zahl der Opfer bewege sich im Hunderttausenderbereich. Als technische Erkennungsmerkmale für solche Kampagnen identifizierten die Ermittler die Verwendung von Dateien wie „barr.svg“ oder „lg.svg“ sowie Datenübertragungen (POST-Requests) an Dateipfade wie „next.php“ oder „save.php“.
Konkrete Schutzmaßnahmen und Warnung vor „ClickFix“
Für Nutzer, die bereits mit schädlichen Inhalten interagiert haben, raten die Behörden zur sogenannten „Session-Revocation“. Dabei werden alle aktiven Sitzungen eines Kontos serverseitig beendet, um Angreifern entwendete Sitzungstoken zu entziehen. Zur langfristigen Absicherung wird der Einsatz von FIDO2-Hardware-Token empfohlen, die einen deutlich höheren Schutz bieten als herkömmliche passwortbasierte Verfahren.
Angesichts der Gefahr durch Phishing und Sitzungsdiebstahl setzen Experten zunehmend auf moderne Alternativen zum klassischen Passwort. Dieser kostenlose Report erklärt die sichere Methode, die Hackern keine Chance mehr lässt und bereits bei Diensten wie Amazon und WhatsApp funktioniert. Sichere Alternative zum Passwort jetzt gratis nachlesen
Parallel dazu warnt die Polizei vor einer neuen Eskalationsstufe namens „ClickFix“. Bei diesen Angriffen nutzen Täter gefälschte CAPTCHA-Prüfungen. Die Nutzer werden dabei aufgefordert, eine Tastenkombination aus der Windows-Taste und „R“ sowie anschließend „Strg+V“ und die Eingabetaste zu drücken. Dieser Vorgang führt zur Ausführung von schädlichen Befehlen, die Malware direkt auf dem System installieren. Solche Schadsoftware ist in der Lage, Passwörter, Bankdaten, Browser-Cookies und Krypto-Wallets zu entwenden. Juristen weisen darauf hin, dass echte Sicherheitsprüfungen niemals die Ausführung von Systembefehlen verlangen.
Gezielte Angriffe auf Unternehmen und Organisationen
Berichte von IT-Sicherheitsunternehmen verdeutlichen die Breite der aktuellen Angriffswellen. Check Point Research identifizierte in einem Zeitraum von Ende Juni bis in die zweite Juliwoche 2026 mehr als 200 Phishing-Nachrichten, die sich gegen 120 verschiedene Organisationen richteten. Die Angreifer missbrauchten dabei echte Microsoft-Login-Seiten, um Nutzer zur Einwilligung für eine schädliche Applikation zu verleiten. Ein erfolgreicher Zugriff ermöglicht den Tätern die vollständige Einsicht in E-Mails, Dateien, Microsoft Teams, OneDrive sowie Kalenderdaten.
Wer sich mit dem Schutz vor gezielten Phishing-Angriffen und psychologischen Manipulationstaktiken wie dem Missbrauch von Login-Seiten befasst, findet in diesem Leitfaden konkrete Hilfe. Ein kostenlose Anti-Phishing-Paket zeigt in vier Schritten, wie Unternehmen und Organisationen ihre Hacker-Abwehr effektiv stärken. Anti-Phishing-Paket für Unternehmen kostenlos herunterladen
Die Google Threat Intelligence Group identifizierte zudem eine aktive Gruppe mit der Bezeichnung UNC6671. Diese spezialisiert sich auf den Finanzsektor und nutzt „Adversary-in-the-Middle“ (AiTM)-Methoden, um Sitzungstoken abzugreifen. Allein in einem Zeitraum von drei Tagen registrierte die Gruppe im Juni und Juli sieben neue Phishing-Domains. Verbindungen bestehen laut den Analysten zu Infrastrukturen wie BlackFile, Redact und Falcon.
Risiken durch öffentliche Daten und Konfigurationsfehler
Über die aktiven Angriffe hinaus zeigen aktuelle Studien strukturelle Sicherheitslücken auf. Eine Untersuchung des CISPA unter dem Titel „LEAKYLINKS“ analysierte über zwei Millionen URLs von Scanner-Diensten und fand mehr als 4.000 Fälle, in denen sensible Daten wie Visadokumente oder Regierungsunterlagen öffentlich zugänglich waren. Ein Fachanwalt für IT-Recht rät in diesem Kontext zu kürzeren Gültigkeitsdauern für digitale Token.
Auch Fehlkonfigurationen in Unternehmen führen zu Datenabflüssen. Bei der Fluggesellschaft SWISS waren aufgrund eines Fehlers in den SharePoint-Berechtigungen über einen Zeitraum von zirka zwei Monaten sensible Pilotendaten zugänglich. Rund 70 Zugriffe wurden registriert, bevor die Lücke geschlossen und die Daten migriert wurden. Passagierdaten waren von diesem Vorfall nicht betroffen.
