Andy Fielder, Chief Technology Officer bei MetaCompliance ©MetaCompliance

Vor wenigen Tagen zerschlugen das BKA, die Generalstaatsanwaltschaft Frankfurt und diverse US-Behörden gemeinsam die internationale Phishing-as-a-Service-Plattform „Kratos“. Der mutmaßliche Hauptentwickler und technische Administrator des Systems wurde festgenommen, und über 200 Server, die von den Kriminellen genutzt wurden, konnten weltweit beschlagnahmt oder unschädlich gemacht werden. Die vollständige Abschaltung der Systeme verhinderte schätzungsweise 15.000 weitere Phishing-Angriffe pro Monat.

Andy Fielder, Chief Technology Officer bei MetaCompliance mit Sitz in Leipzig, erklärt:

 „Die Abschaltung von Kratos ist ein echter Erfolg, verdeutlicht aber auch, wohin sich Phishing entwickelt. Hier war nicht etwa ein einzelner, hochqualifizierter Hacker am Werk. Kratos war ein Phishing-Toolkit, das von mehr als 1.800 Personen gemietet wurde, um – selbst ohne nennenswerte technische Vorkenntnisse – täuschend echte Microsoft-Anmeldeseiten zu erstellen. Wir erleben eine Industrialisierung der kriminellen Softwarebranche: Plattformen wie Kratos funktionieren weniger wie reine Hacking-Tools, sondern eher wie SaaS-Unternehmen – inklusive Support, Updates und einem wachsenden Kundenstamm.

Die Eintrittsbarrieren sinken, während die Raffinesse der Tools zunimmt; dadurch werden Angriffe nicht nur häufiger, sondern auch schwieriger durch Filter- und Scan-Systeme aufzuspüren. Die Abschaltung einer einzelnen Plattform hilft zwar, verhindert aber nicht, dass eine andere in die Bresche springt. Genau deshalb ist der Faktor Mensch in der Sicherheitsstrategie wichtiger denn je. Technische Schutzmaßnahmen sind zwar nach wie vor essenziell, reichen aber für sich allein nicht aus. Unternehmen benötigen Mitarbeiter, die eine gefälschte Anmeldeseite erkennen, bevor sie ihre Zugangsdaten eingeben. Hier setzen Security-Awareness-Schulungen und realistische Phishing-Simulationen an.

Die Lehre daraus lautet: Solange sich das Phishing-as-a-Service-Modell weiter professionalisiert – und davon ist auszugehen, muss Resilienz durch die Kombination technischer Abwehrmechanismen und einer dauerhaften Verhaltensänderung erreicht werden – nicht durch das eine oder das andere allein.“

Disclaimer:
„Für den oben stehenden Beitrag sowie für das angezeigte Bild- und Tonmaterial ist allein der jeweils angegebene Nutzer verantwortlich. Eine inhaltliche Kontrolle des Beitrags seitens der Seitenbetreiberin erfolgt weder vor noch nach der Veröffentlichung. Die Seitenbetreiberin macht sich den Inhalt insbesondere nicht zu eigen.“