Phishing-as-a-Service: Cybercrime im Abo

Mit der Zerschlagung der Phishing-as-a-Service-Plattform „Outsider“ durch das FBI, Google und Black Lotus Labs wurde Mitte Juni eines der größten Phishing-Netzwerke weltweit aufgedeckt. Der Fall zeigt, wie stark sich Cyberkriminalität professionalisiert hat: Phishing-Kampagnen lassen sich heute als schlüsselfertiger Service buchen – inklusive Infrastruktur und täuschend echter Vorlagen. Unterstützt durch KI sinken die Einstiegshürden weiter, während Umfang, Geschwindigkeit und Schadenspotenzial der Angriffe kontinuierlich zunehmen.

Von unserem Gastautor Rolf Steinbrück, CISSP Senior Solutions Engineer bei Yubico

[datensicherheit.de, 14.07.2026] Mitte Juni hat das FBI im Rahmen der Operation Ghost Hook gemeinsam mit Google und Black Lotus Labs die Plattform Outsider vom Netz genommen, einer der größten bislang bekannten Phishing-as-a-Service-Anbieter. Seit 2023 lieferte der Dienst Cyberkriminellen Phishing-Infrastruktur mit über 290 fertigen Vorlagen, die Banken, Behörden, Telekommunikationsanbieter und Einzelhändler imitierten. Die Ermittler nehmen an, dass seit der Entstehung der Plattform mehr als 8.000 personalisierte Phishing-Domains aufgesetzt wurden und ein damit verbundener Schaden von ca. 1,9 Milliarden US-Dollar in 55 Ländern entstand.

Rolf Steinbrück, CISSP Senior Solutions Engineer bei Yubico, Bild:Yubico

Phishing: Eine der größten Cyberbedrohungen

Dass Phishing eine enorme Bedrohung darstellt, ist nicht neu. Neu ist, in welchem Umfang und mit welcher Perfektion es mittlerweile durchgeführt wird, zusätzlich beschleunigt durch KI. Die Causa „Outsider“ ist daher leider kein Einzelfall, sondern symptomatisch, denn Cyberkriminalität industrialisiert sich zusehends. Was früher technisches Know-how erforderte, ist heute schlüsselfertig im Abo buchbar.

So benötigen Angreifer weder Programmierkenntnisse noch eigene Infrastruktur. KI-Tools senken die Einstiegshürde weiter und sorgen dafür, dass täuschend echte Login-Seiten und Nachrichten schnell und in nahezu jeder Sprache erstellt werden können. Vor dem Einfluss von KI auf die Cybersecurity warnte erst zuletzt das BSI. Für Unternehmen bedeutet das, dass die Zahl, Qualität und Geschwindigkeit der Angriffe stetig steigt.

Und so ist Phishing das primäre Einfallstor in Firmennetzwerke und der erste Schritt zu einem erfolgreichen Cyberangriff. Die aktuellen Entwicklungen deuten darauf hin, dass dies auch in nächster Zeit so bleiben wird. Der Global Cybersecurity Outlook 2026 des WEF zeigt einen Anstieg von KI-gestütztem Betrug und Phishing von 77 Prozent. Denn leider sind die Erfolge wie mit der Plattform Outsider eher die Ausnahme als die Regel. Wenn Unternehmen und Nutzer nicht reagieren oder Vorsorge leisten, werden übernommene Mitarbeiterkonten und darauf aufbauend die ganze Bandbreite an Cyberkriminalität weiterhin zu unserem Alltag gehören. Der finanzielle Schaden durch Ransomware, Datenleaks und Fraud ist dabei oft nur die sichtbare Spitze des Eisbergs. Betriebsunterbrechungen, Reputationsverluste und Haftungsfragen unter NIS2, DORA und DSGVO wiegen oft mindestens genauso schwer.

Es ist an der Zeit, den Umgang mit modernen Cyberbedrohungen neu zu gestalten

Die Zeiten sind vorbei, in denen man sich auf herkömmliche Zwei-Faktor-Authentifizierung verlassen konnte. Sie ist längst nicht mehr ausreichend und der aktuellen Risikolage nicht mehr angepasst. Solange Anmeldungen auf etwas beruhen, das der Nutzer sehen, ein- oder weitergeben muss, wie beispielsweise Passwörter, Codes oder selbst die Bestätigung in einer App, bleibt der Login phishbar.

Wirklich Phishing-resistente Authentifizierung kann es daher nur mit Hardware-Unterstützung in Form eines physischen Sicherheitsschlüssels geben. Diese Form der Multi-Faktor-Authentifizierung (MFA) nach aktuellen FIDO2 / WebAuth-Standards setzt die Authentifizierung des Nutzers am Gerät voraus, wodurch eine eindeutige Identitätsfeststellung gewährleistet werden kann. Die Anmeldedaten sind dabei kryptografisch an die echte Domain gebunden und verlassen den Hardware-Sicherheitsschlüssel nie. So entsteht eine nicht phishbare Komponente im Login-Prozess. Selbst wenn ein Mitarbeiter auf eine perfekte Fälschung hereinfallen würde, scheitert der Angriff an der Überbrückung des Sicherheitsschlüssels. So läuft der Angriff ins Leere.

Phishing-as-a-Service-Plattformen, die Cyberkriminalität zu einem skalierbaren Geschäftsmodell machen, verdeutlichen, wie unerlässlich Phishing-resistente MFA in einer erfolgreichen Sicherheitsstrategie heute sind. Unternehmen, die jetzt auf hardwarebasierte Authentifizierung umstellen, entziehen diesem Geschäftsmodell die Grundlage. Unabhängig davon, wie perfekt die nächste Phishing-Kampagne aus dem Baukasten sein wird.

Weitere Informationen zum Thema:

datensicherheit.de, 05.03.2026
Kratos: Neues Phishing-as-a-Service-Kit ermöglicht selbst Anfängern Ausführung hochkomplexer Angriffe