Dr. Martin J. Krämer, CISO Advisor bei KnowBe4

Mittels KI- und Workflow-Automatisierungsplattformen lassen sich Anwendungen wie Slack, Google Sheets oder auch Gmail nahtlos mit KI-Modellen verbinden. Unternehmen können hier viel Arbeitszeit einsparen. Laut einem aktuellen Blogbeitrag von Cisco Talos werden die Plattformen jedoch zunehmend auch von Cyberkriminellen genutzt – und missbraucht. Allein zwischen Januar 2025 und März 2026 verzeichnete Cisco Talos einen Anstieg beim Versand bösartiger Emails, die einen Link zu einer bösartigen n8n-Webhook-URL enthielten, um sage und schreibe 686 Prozent. Die Cyberkriminellen nutzen die vertrauenswürdige Infrastruktur des Dienstes, um traditionelle Sicherheitsfilter zu umgehen und produktivitätssteigernde Werkzeuge in bösartige Vehikel für einen dauerhaften Fernzugriff zu verwandeln.

n8n ist eine Low-Code-Plattform zur Workflow-Automatisierung, die Web-Anwendungen über HTTP-basierte APIs verknüpft. Cyberkriminelle nutzen sie vor allem für Webhooks. Ein Webhook, auch Reverse-API genannt, empfängt Daten in Echtzeit. Wird eine Webhook-URL über einen E-Mail-Link aufgerufen, fungiert der Browser des Opfers als empfangende Anwendung und rendert die Ausgabe als Webseite. Da Webhooks die wahre Datenquelle perfekt verschleiern, können Angreifer so bösartige Payloads bereitstellen, die scheinbar direkt von einer vertrauenswürdigen n8n-Domäne stammen.

Talos identifizierte und dokumentierte in diesem Zusammenhang eine bösartige E-Mail-Kampagne, deren Link angeblich auf einen freigegebenen Microsoft OneDrive-Ordner verweist. Tatsächlich führt der Link jedoch zu einem n8n-Webhook, der eine Webseite mit einem CAPTCHA öffnet. Letzteres blockiert die Sicherheitsscanner der Opfer, lässt diese sich in falscher Sicherheit wiegen. Lösen sie das CAPTCHA, startet ein scheinbar legitimer JavaScript-Download. Die auszuführende Datei installiert dann unbemerkt eine modifizierte Version des Datto Remote Monitoring and Management (RMM) Tools, baut eine heimliche Verbindung zu einem externen Relay auf und löscht abschließend sogar noch ihre Spuren.

Zusätzlich zur Malware-Verbreitung wird n8n von vielen Angreifern auch zum Geräte-Fingerprinting genutzt. Die Angreifer betten unsichtbare Tracking-Pixel über standardmäßige <img>-Tags in ihre Phishing-E-Mails ein. Versucht der E-Mail-Client dann das Bild zu laden, sendete er unbemerkt eine HTTP-GET-Anfrage an eine weitere n8n-Webhook-URL. Diese URL ist so konfiguriert, dass sie Tracking-Parameter enthält, wodurch der Angreifer exakt ermitteln kann, wann die E-Mail geöffnet wird, und welche Systemdaten beim Opfer vorliegen. Durch CSS-Eigenschaften wie ‚display‘ und ‚opacity‘ bleiben diese Pixel für das Opfer dabei völlig unsichtbar.

Sicherheitsteams stehen nun vor der Herausforderung, diese Risiken zu minimieren – ohne essenzielle Arbeitsabläufe zu stören. Pauschale Domänen-Blockaden sind dabei keine Lösung, da sie auch legitime Prozesse behindern würden. Auch technische Filter allein genügen nicht, versagen häufig. Der Faktor Mensch, er ist und bleibt, wie so häufig, die wichtigste Instanz. Essenziell sind kontinuierliche Security-Awareness-Schulungen und realistische Phishing-Simulationen. Erkennen die eigenen Mitarbeiter verdächtige Hinweise, wie unerwartete CAPTCHAs oder verdächtige URLs hinter vertrauten Absendern, und melden sie rechtzeitig ihren IT-Sicherheitsteams, können Risiken, die durch den Missbrauch von Plattformen wie n8n entstehen, deutlich minimiert werden.

Am effektivsten – da umfassendsten – lässt sich dieser Ausbau des Sicherheitsbewusstseins durch den Einsatz eines modernenHuman Risk Management-Systems bewerkstelligen. Seine Phishing-Trainings, -Schulungen und -Tests lassen sich, KI sei Dank, mittlerweile personalisieren und automatisiert – kontinuierlich – zum Einsatz bringen, um Mitarbeiter zu stärken. Seine modernen Anti-Phishing-E-Mail-Technologien kombinieren KI mit Crowdsourcing, um neueste Zero Day-Bedrohungen frühzeitig aufzuspüren und rechtzeitig abzuwehren. Mit solchen und ähnlichen Systemen ist es Unternehmen möglich, ihre Risiken signifikant zurückzufahren und Mitarbeiter zur besten Verteidigung im Kampf gegen Cyberbedrohungen zu machen.

Disclaimer:
„Für den oben stehenden Beitrag sowie für das angezeigte Bild- und Tonmaterial ist allein der jeweils angegebene Nutzer verantwortlich. Eine inhaltliche Kontrolle des Beitrags seitens der Seitenbetreiberin erfolgt weder vor noch nach der Veröffentlichung. Die Seitenbetreiberin macht sich den Inhalt insbesondere nicht zu eigen.“