[datensicherheit.de, 22.07.2026] Proofpoint-Sicherheitsforscher haben am 20. Juli 2026 Erkenntnisse zu einem neuen Verschleierungsdienst veröffentlicht. Sie haben demnach einen hochentwickelten „Crypter“-Service identifiziert und „Cruciferra“ benannt. Dieser Service werde aktuell von mehreren Cyberkriminellen-Gruppen genutzt. Sogenannte Crypter wie „Cruciferra“ sind Werkzeuge, um Schadsoftware zu verschleiern, damit dann Sicherheitslösungen zu umgehen und die Erfolgsquote bei der Infektion mit Malware zu erhöhen. „Cruciferra“ werde nicht von einem einzigen Akteur eingesetzt, sondern habe sich als eigenständiger Dienst im cyberkriminellen Untergrund etabliert, welcher an verschiedene Cyberkriminelle verkauft werde.

Verteilung der „Cruciferra“-Angriffe auf verschiedene Branchen

Der neue „Crypter“ weist außergewöhnlich hohen technischen Reifegrad aus

„Cruciferra“ zeichne sich durch einen außergewöhnlich hohen technischen Reifegrad aus. Dieser „Crypter“ sei in „Mono“ geschrieben und verfüge über eine breite Palette an Techniken zur Umgehung von Erkennung und forensischer Analyse.

• Dazu gehörten indirekte Systemaufrufe, das sogenannte API- und IAT-Unhooking, der Missbrauch verwundbarer Treiber zur Aushebelung von Endpoint-Schutzlösungen sowie eine angepasste Umsetzung der „Process-Ghosting“-Technik, welche es ermögliche, Schadcode auszuführen, ohne verräterische Spuren auf dem System zu hinterlassen.

Besonders bemerkenswert sei der Umfang der eingesetzten Verschlüsselungsmethoden: „Cruciferra“ verfüge über mehr als 90 unterschiedliche kryptographische Routinen, welche offenbar dynamisch aus Bausteinen etablierter Verschlüsselungsalgorithmen zusammengesetzt würden. Dadurch entstehe eine enorme Variation zwischen einzelnen Malware-Samples, was die Erkennung anhand klassischer Signaturen erheblich erschwere.

Erste „Crypter“-Angebote im Herbst 2025 auf einschlägigen Untergrundforen

Erste Angebote für „Cruciferra“ seien im Herbst 2025 auf einschlägigen Untergrundforen wie „exploit[.]in“ aufgetaucht, wo der Dienst selbstbewusst als „the underground’s most lethal crypter“ beworben werde. Proofpoint konnte im Rahmen der Analyse nach eigenen Angaben sowohl produktiv eingesetzte als auch offensichtliche Testversionen der Malware identifizieren, welche Debugging-Funktionen und experimentelle Features enthielten. Dies sei ein Hinweis darauf, dass der Dienst aktuell aktiv weiterentwickelt werde.

• In der Praxis sei „Cruciferra“ bereits in Dutzenden von E-Mail-Kampagnen beobachtet worden, bei denen verschiedenste Schadprogramme zum Einsatz gekommen seien – darunter die Remote-Access-Trojaner „AsyncRAT“, „XWorm“ und „Remcos“ sowie die sogenannten Infostealer „AgentTesla“, „XLoader“, „Phantom Stealer“, „Formbook“ und „zgRAT“.

Die Angriffe seien weitgehend opportunistisch erfolgt und hätten sich nicht gegen spezifische Einzelziele gerichtet, wobei Unternehmen aus den Bereichen Finanzdienstleistungen, Gesundheitswesen und dem öffentlichen Sektor überdurchschnittlich häufig betroffen gewesen seien. Die Kampagnen variierten stark in ihrem Umfang und reichten von einigen hundert bis zu mehreren tausend versendeten Nachrichten.

Weitere Informationen zum Thema:

proofpoint
What Sets Us Apart: Email, social media, and mobile devices are the tools of your trade—and for cyber criminals, the tools of attack. Proofpoint protects your people, data and brand against advanced threats and compliance risks.

proofpoint, Blog, Chris Wakelin & Georgi Mladenov & Kyle Cucci & Proofpoint Threat Research Team, 20.07.2026
Unpacking “Cruciferra”: An Analysis of a Sophisticated Crypter Service

datensicherheit.de, 02.08.2024
Verschleierungstechnik für Spionage: Ransomware mit cyber-kriminellem Mehrfachnutzen / Ransomware-Bedrohungsakteure könnten von „ChamelGang“-Aktivitäten Kenntnis nehmen und ein weiteres Geschäftsmodell entwickeln

[datensicherheit.de, 02.07.2026] Laut einer aktuellen Meldung von Kaspersky waren im vergangenen Jahr – 2025 – mehr als die Hälfte (56%) der Internetnutzer weltweit von Betrug betroffen. In Deutschland lag dieser Anteil demnach bei 39 Prozent. 45 Prozent seien zudem von gehackten Social-Media-Konten, Datenlecks und Malware-Infektionen betroffen gewesen – in Deutschland 28 Prozent. Diese Erkenntnisse basieren auf einer aktuellen Kaspersky-Umfrage, welche im März 2026 vom eigenen Marktforschungszentrum unter 7.200 Personen aus 18 Ländern (Brasilien, China, Kolumbien, Ägypten, Frankreich, Deutschland, Indien, Indonesien, Italien, Malaysia, Mexiko, Russland, Saudi-Arabien, Spanien, Südafrika, Thailand, Türkei, Vietnam) durchgeführt worden sei.

Jeder neue Trend oder jedes globale Ereignis dient Betrügern schnell als Angriffsfläche

Die „Betrugslandschaft“ entwickelt sich laut Kaspersky rasant weiter: „Angriffe werden immer ausgefeilter und zielgerichteter sowie zunehmend durch KI unterstützt.“ Es wird gewarnt: Nutzer können bei nahezu jeder Art von Online-Interaktion auf Betrugsversuche treffen: E-Mails, Messenger, Soziale Medien, Online-Shops oder Apps. Allein im ersten Quartal 2026 hätten die Anti-Phishing-Technologien von Kaspersky über 140 Millionen Phishing- und Betrugsversuche blockiert.

• Kaspersky-Experten betonen, dass sich Online-Betrug zunehmend verbreitet, da fast jeder neue Trend oder jedes globale Ereignis Betrügern schnell als Angriffsfläche dient. So hätten im März dieses Jahres die Anti-Phishing-Technologien von Kaspersky einen Anstieg betrügerischer Aktivitäten im Zusammenhang mit der Fußball-Weltmeisterschaft 2026 entdeckt: „Sie deckten Fake-Angebote auf, die offizielle Turnierwebseiten imitierten oder das Ereignis ausnutzten, um Anwender zu unsicheren Interaktionen zu verleiten.“

Betrugskampagnen könnten heutzutage auch durch gestohlene personenbezogene Daten, Malware wie „Infostealer“, kompromittierte Konten und andere Online-Risiken erleichtert werden. Cyberkriminelle nutzten diese Informationen, um Nachrichten zu verfassen, sich als vertrauenswürdige Kontakte auszugeben oder ihre Betrugsversuche überzeugender zu gestalten.

KI-basierte Schutztechnologien helfen, der sich entwickelnden Bedrohungslage einen Schritt voraus zu sein

Auf Künstlicher Intelligenz (KI) basierte Schutztechnologien könnten indes erkennen, was dem menschlichen Auge verborgen bleibt. Um der sich entwickelnden Bedrohungslage einen Schritt voraus zu sein und seine Nutzer umfassend zu schützen, entwickelt Kaspersky nach eigenen Angaben seine Produkte kontinuierlich weiter:

• „,Kaspersky Premium‘ schützt Anwender vor zahlreichen digitalen Bedrohungen und reduziert die damit verbundenen Risiken auf allen Geräten, einschließlich Smartphones.“ Die Schutztechnologien seien auf die jeweilige Plattform zugeschnitten und würden durch KI- und ML-basierte Erkennung verstärkt. Dazu gehörten die „Tools Data Leak Checker“ und „Identity Checker“, welche Nutzer vor der potenziellen Offenlegung persönlicher Daten warnten.

Der „Kaspersky Password Manager“ z.B. generiere, speichere und verwalte zudem sichere und einzigartige Zugangsdaten, während verhaltensbasierte Schutztechnologien wie „System Watcher“ mithilfe von App-Verhaltensüberwachung und Mustererkennung Anzeichen von Missbrauch oder schädlichen Aktivitäten in Echtzeit erkennen würden.

KI-gestützter Betrug ist die neue Realität und betrifft alle digitalen Bereiche

In den Kaspersky-Apps für „Windows“ und „macOS“ seien diese Funktionen jetzt in einem eigenen, KI-gestützten Betrugsschutz-Bereich zusammengefasst. Dadurch seien sie für Nutzer leichter zu finden und zu verstehen, während sie in mobilen Apps weiterhin im Hintergrund aktiv seien.

• „KI-gestützter Betrug ist die neue Realität und betrifft alle digitalen Bereiche – von gefälschten Ticketseiten bis hin zu Betrügern, die sich in Messengern als Freunde ausgeben“, erläutert Marina Titova, „Vice President Consumer Business“ bei Kaspersky. Sie führt hierzu weiter aus: „Er kann selbst versierte Nutzer täuschen. Sich allein auf die Fähigkeit zu verlassen, Betrug zu erkennen, reicht nicht aus. Deshalb haben wir eine fortschrittliche KI-Erkennung direkt in unsere Produkte integriert. Unsere Technologie erkennt, was dem menschlichen Auge verborgen bleibt, und schützt Nutzer in Echtzeit.“

Neue KI-Kennzeichnungen wiesen auf die Funktionen hin, welche umfassenden Schutz vor verschiedenen Online-Bedrohungen böten. „Windows“- und „macOS“-Nutzer könnten so auf einen Blick sehen, „wie die Lösung ihre digitalen Aktivitäten schützt“.

Weitere Informationen zum Thema:

kaspersky
Cyberimmunität ist unser erklärtes Ziel / Wir sind ein Team von über 5.000 Fachleuten mit einer über 25-jährigen Erfolgsgeschichte im Schutz von Privatpersonen und Unternehmen weltweit und haben uns die weltweite Cyberimmunität als ultimatives Ziel gesetzt.

Secure Futures by kaspersky
Marina Titova / Head of Consumer Product Marketing at Kaspersky

datensicherheit.de, 22.06.2026
Bitkom-Aktionen zum Digitaltag 2026: KI-Betrug erkennen, digital ausweisen, virtuell treffen / Im Kontext des diesjährigen „Digitaltages“ m 26. Juni 2026 beteiligt sich auch der Digitalverband Bitkom e.V. mit zahlreichen Veranstaltungen und gibt mittels verschiedener Angebotsformate Antworten auf Fragen aus der digitalen Welt

datensicherheit.de, 20.06.2026
Identitätsbetrug: FTC meldet Verluste in Höhe von 3,5 Milliarden US-Dollar / Die Erkenntnisse der Federal Trade Commission (FTC) sind erschreckend – die Verluste stammen zu einem großen Teil aus Kontakten über Social-Media-Plattformen

datensicherheit.de, 14.04.2026
KI-Betrug im Netz: Quellen-Überprüfung nur von einem Fünftel der Nutzer / Fast die Hälfte der Internetnutzer in Deutschland sieht sich zwar in der Lage, mit KI generierte Inhalte zu erkennen – tatsächlich aber schaut bisher kaum jemand genauer hin

[datensicherheit.de, 27.06.2026] Die Generalstaatsanwaltschaft Frankfurt am Main –Zentralstelle zur Bekämpfung der Internetkriminalität (ZIT) – und das Bundeskriminalamt (BKA) sind nach eigenen Angaben in einer international abgestimmten Aktion im Zeitraum vom 15. bis 19. Juni 2026 gemeinsam mit Strafverfolgungsbehörden aus den Niederlanden, Dänemark, Großbritannien, den USA und Kanada sowie mit Unterstützung durch EUROPOL, EUROJUST, das US-Softwareunternehmen Microsoft und weitere internationale IT-Sicherheitsdienstleister erfolgreich gegen drei der weltweit gefährlichsten Schadsoftware-Varianten („SocGholish“, „StealC“ und „Amadey“) vorgegangen. Der Fokus der Maßnahmen hat demnach auf der nachhaltigen Zerschlagung der jeweiligen technischen Infrastrukturen gelegen.

Webseite der „OPERATION ENDGAME“

27 Millionen Zugangsdaten von über 385.000 Opfern sichergestellt

So hätten die internationalen Strafverfolgungsbehörden in enger Kooperation mit Microsoft insgesamt rund 15.000 Webseiten, über 320 Server – davon 40 in Deutschland – und mehr als 140 täterseitig genutzte Domains unschädlich gemacht.

• In diesem Zusammenhang seien auch ca. 27 Millionen Zugangsdaten von über 385.000 Opfern sichergestellt worden, zu denen die Prüfung der individuellen Betroffenheit über öffentlich zugängliche Informationsplattformen möglich sei. Zusätzlich unterstütze das Bundesamt für Sicherheit in der Informationstechnik (BSI) bei der Benachrichtigung von Betroffenen in Deutschland.

Darüber hinaus sei „Krypto-Vermögen“ kriminellen Ursprungs von derzeit über 47 Millionen US-Dollar identifiziert, gekennzeichnet und dadurch in der Nutzung eingeschränkt worden.

Wesentlicher Baustein des kriminellen Wertschöpfungsprozesses geschwächt

In Deutschland würden die Ermittlungen unter anderem wegen des „Verdachts der banden- und gewerbsmäßigen Erpressung“ sowie der „Erpressung im besonders schweren Fall“ geführt. Die Maßnahmen nähmen den Tätern nun zentrale Werkzeuge aus der Hand, würden die „virtuelle Infektionskette“ unterbrechen und viele weitere potenzielle Opfer vor diesen Schadsoftware-Varianten schützen. Mit dieser Operation sei ein wesentlicher Baustein des kriminellen Wertschöpfungsprozesses der vernetzten und arbeitsteiligen Strukturen im Bereich Cybercrime geschwächt worden.

• Carsten Meywirth, Leiter der Abteilung „Cybercrime“ im BKA, kommentiert: „Mit der Fortsetzung der ,Operation Endgame’ sind wir erneut gegen die technischen Infrastrukturen vorgegangen, auf die sich zahlreiche Cyberkriminelle weltweit verlassen haben. Dadurch wurde auch die Erstinfektion einer Vielzahl weltweiter Opfersysteme unterbunden. Das zeigt, dass die internationalen Strafverfolgungsbehörden Cybercrime grenzüberschreitend alle rechtlichen Mittel entgegensetzen, auch in enger Zusammenarbeit mit dem Privatsektor.“

• Dr. Benjamin Krause, Leitender Oberstaatsanwalt und Pressesprecher der ZIT, führt aus: „Die ,Operation Endgame’ ist das Paradebeispiel der internationalen Kooperation von Strafverfolgungsbehörden und privaten Organisationen im gemeinsamen Kampf gegen Cybercrime. Wie die Kriminellen arbeiten auch wir arbeitsteilig und international vernetzt, um schlagkräftig zu sein. Der Unterschied ist: Wir stehen auf der guten Seite!“

Schadsoftware-Varianten im „Cybercrime-as-a-Service“-Kontext

Die beseitigten Schadsoftware-Varianten wurden laut BKA als Dienstleistung („Cybercrime-as-a-Service“) bereitgestellt und von anderen Cyberkriminellen als Werkzeug für die Erstinfektion von Opfersystemen eingesetzt. Somit waren sie in der Folge Ausgangspunkt für weitere Straftaten (z.B. das Nachladen von Ransomware für digitale Erpressungen oder die missbräuchliche Nutzung von Daten).

• „SocGholish“
  Die Schadsoftware „SocGholish“ (sog. Dropper / Loader) habe Unbefugten durch die Verteilung von vermeintlichen Browser-Updates über kompromittierte Webseiten Zugang zu Computersystemen verschafft. Statt des Updates hätten dann Internetnutzer die Schadsoftware ausgeführt. Die unbefugt erlangten Zugänge hätten fortan als Ausgangspunkt für weitere Straftaten dient – insbesondere das Nachladen von Ransomware für digitale Erpressungen.
• „StealC“
  Die über unterschiedliche Angriffsvektoren verteilte Schadsoftware „StealC“ (sog. Stealer mit Dropper-Funktionalität) sei vor allem darauf spezialisiert gewesen, sensible Informationen wie Passwörter, gespeicherte Zugangsdaten und digitale Identitäten aus Computern von Betroffenen auszulesen und für kriminelle Folgenutzungen, insbesondere Handel und Missbrauch der Datenbestände, bereitzustellen.
• „Amadey“
  Die Schadsoftware „Amadey“ (sog. Dropper / Loader) sei vor allem über Phishing-Kampagnen verbreitet worden. Sie habe damit als erster Baustein einer größeren Angriffskette fungiert und sei in der Lage, weitere Schadsoftware auf Betroffenensysteme einzubringen. Daneben habe diese Schadsoftware über Stealer-Funktionalitäten verfügt und habe so auch sensible Daten abgreifen können.

Strategie der Operation Endgame: Schadsoftware-Varianten der Kategorie „Initial Access Malware“ unschädlich machen

Ziel der „Operation Endgame“ ist es nach BKA-Angaben, die relevantesten Schadsoftware-Varianten der Kategorie „Initial Access Malware“, also sogenannte Dropper bzw. Loader, unschädlich zu machen. Schadsoftware dieser Kategorie werde zur Erstinfektion genutzt. Sie diene Cyberkriminellen quasi als Türöffner, um unbemerkt Opfersysteme zu infizieren und dann weitere Schadsoftware nachzuladen. Dies geschehe beispielsweise zum Ausspähen von Daten oder zur Verschlüsselung des Systems mit dem Ziel der Erpressung von Lösegeld (sog. Ransomware).

• Mittlerweile verfügten immer häufiger auch Varianten der Kategorie „Stealer“ über Funktionen zum Nachladen von Schadsoftware. Deren Primäraufgabe sei es bislang eigentlich gewesen, unbemerkt Opfersysteme zu infizieren, um sensible Daten und Zugangsinformationen zu stehlen. Sie könnten dadurch ebenfalls zur Installation von Ransomware verwendet werden. Daher gehe die „Operation“ Endgame seit 2025 neben „Droppern“ und „Loadern“ auch gezielt gegen „Stealer“-Schadsoftware vor.
• Die Sicherheitsbehörden verfolgten die Strategie, unmittelbar am Anfang der Angriffskette, der „Kill Chain“, anzusetzen und das gesamte „Cybercrime-as-a-Service“-System an der „Wurzel“ zu schädigen. Durch gebündelte Maßnahmen gegen die technische und finanzielle Infrastruktur der Täter und gegen die Täter selbst solle dieses Geschäftsmodell nachhaltig zerstört werden.

Über die Websites der internationalen polizeilichen Partner stehen fortlaufend Informationen zur Verfügung. Dort werden entsprechende kriminelle Akteure in Form von Kurzvideos mit der Botschaft „Operation Endgame – think about (y)our next move“ direkt adressiert und darüber hinaus potenzielle Zeugen um Hinweise gebeten.

BSI bietet Informationen für Opfer

Seit Mai 2024 unterstützt auch das BSI die Partner der „Operation Endgame“, indem es unter anderem die Infrastruktur zur Umleitung des Datenverkehrs auf behördeneigene Server bereitstelle sowie diese Umleitungen koordiniere und umsetze (sogenanntes Sinkholing). Darüber hinaus werte das BSI technische Asservate aus und sammele zielgerichtet Informationen bezüglich relevanter Schadsoftware-Varianten.

• Für Deutschland habe das BSI nachhaltige Maßnahmen ergriffen, um den Zugriff infizierter Systeme auf die Steuerungssysteme der Täter auch über deren Abschaltung hinaus effektiv zu unterbinden. Dabei würden die Kontaktversuche der Schadsoftware von infizierten Opfersystemen detektiert und die Betroffenen über eine festgestellte Infektion an ihrem Internetanschluss benachrichtigt. Weitere Informationen zum Thema „Botnetze“ sowie Steckbriefe zu den Schadsoftware-Varianten mit Hinweisen zur Bereinigung infizierter Systeme sind auf der betreffenden BSI-Webseite abrufbar.

Darüber hinaus benachrichtige das BSI betroffene Institutionen und Unternehmen direkt über abgeflossene, im Rahmen der Strafverfolgungsmaßnahmen erlangte Zugangsdaten der Schadsoftware „StealC“. Zur Art der betroffenen Daten stellt das BSI online weitere Informationen bereit.

Weitere Informationen zum Thema:

Bundeskriminalamt
Aufgabenbereiche des BKA / Nationale und internationale Zusammenarbeit, Ermittlungen, Forschung und Entwicklung, Verwaltung und Personenschutz – erfahren Sie hier mehr zu den vielfältigen Aufgabenbereichen der Kriminalpolizei des Bundes

Bundeskriminalamt
OPERATION ENDGAME

Staatsanwaltschaften Hessen
GStA: Zentralstelle zur Bekämpfung der Internet- und Computerkriminalität (ZIT)

OPERATION ENDGAME
What will be (y)our next move?

EUROPOL
Über Europol / Europa sicherer machen

EUROJUST European Union Agency for Criminal Justice Cooperation
Wer wir sind

Handelsblatt Live, Technologie / IT, 23.05.2025
Cybercrime – Ohne Partner ist alles nichts / Gastbeitrag von Carsten Meywirth, Direktor und Leiter der Abteilung Cybercrime, Bundeskriminalamt

DPT Deutscher Präventionstag
Dr. Benjamin Krause

Bundesamt für Sicherheit in der Informationstechnik
Provider informiert über Botnetz-Infektion / Ihr Provider informiert Sie über eine Infektion

Bundesamt für Sicherheit in der Informationstechnik
StealC

datensicherheit.de, 23.05.2025
Operation Endgame 2.0: BKA meldet weitere 20 Haftbefehle gegen Cyberkriminelle / Deutschland und internationale Partner haben erneut führende Akteure der „Underground Economy“ ins Visier genommen – im Zuge der bislang weltweit größten Polizeioperation im Cyberspace

[datensicherheit.de, 01.05.2026] Rich Greene, „Instructor“ beim SANS Institute, nimmt den bevorstehenden diesjährigen „World Password Day“ am 7. Mai 2026 zum Anlass zu mahnen, dass sich IT-Sicherheitsteams einer unangenehmen Wahrheit über Passwörter stellen müssten: Cyberkriminelle würden für Angriffe nicht mehr einbrechen – „sie loggen sich ein!“ Für den Report „Verizon DBIR 2025“ hatten die Autoren demnach über 22.000 Sicherheitsvorfälle analysiert und festgestellt, dass gestohlene Anmeldedaten bei 22 Prozent aller bestätigten Sicherheitsverletzungen den ersten Zugangsweg darstellten. Bei einfachen Angriffen auf Web-Anwendungen steige diese Zahl sogar auf 88 Prozent. An anderer Stelle hätten die Autoren eines Reports von „IBM X-Force“ einen Anstieg von 84 Prozent gegenüber dem Vorjahr bei sogenannter Infostealer-Malware verzeichnet, welche über Phishing-E-Mails verbreitet worden sei. Dabei handele es sich eben nicht um ausgeklügelte Zero-Day-Exploits: „Dabei handelt es sich um Malware, die still und leise gespeicherte Passwörter aus dem Browser sammelt.“

Rich Greene berichtet: Zugangsdaten werden in Logs gebündelt und an „Initial Access Broker“ verkauft, die den Netzwerkzugang wiederum an Ransomware-Gruppen weiterverkaufen…

In mehr als der Hälfte der Fälle öffnet ein einziges kompromittiertes Passwort Cyberkriminellen mehrere Zugänge

Greene warnt: „Und die Wiederverwendung von Passwörtern gießt weiterhin Öl ins Feuer. Verizons Analyse von Infostealer-Protokollen ergab, dass im Medianfall nur 49 Prozent der Passwörter eines Nutzers über verschiedene Dienste hinweg einzigartig waren.“

• Dies bedeute, dass in mehr als der Hälfte der Fälle ein einziges kompromittiertes Passwort Cyberkriminellen mehrere Türen öffnen könne. „Wir sagen den Leuten immer wieder, sie sollen starke, einzigartige Passwörter verwenden. Sie nicken zustimmend und tun genau das Gegenteil.“

Die „Infostealer“-Wirtschaft habe sich industrialisiert. Im „KELA-Bericht 2025“ hätten Sicherheitsforscher 3,9 Milliarden gestohlene Zugangsdaten auf 4,3 Millionen infizierten Geräten verzeichnet. „Diese Zugangsdaten werden in Logs gebündelt und an ,Initial Access Broker’ verkauft, die den Netzwerkzugang wiederum an Ransomware-Gruppen weiterverkaufen.“

MFA kann helfen – sollte aber nicht als „die Wunderwaffe“ gegen Cyberkriminelle verstanden werden

„MFA hilft, aber sie ist nicht ,die Wunderwaffe’, als die sie gerne dargestellt wird. Angreifer umgehen sie durch ,Prompt-Bombing’, ,Session-Hijacking’ und ,Adversary-in-the-Middle’-Phishing-Kits, die Token in Echtzeit erfassen“, berichtet Greene. Der „Verizon DBIR“ habe „Prompt-Bombing“ erstmals als eine der häufigsten Angriffsmethoden identifiziert. Eine Multi-Faktor-Authentifizierung (MFA) aktiviert zu haben, sei das Mindeste. „Eine phishing-resistente MFA ist das, was tatsächlich etwas bewirkt.“

• Doch es gebe Licht am Horizont für die IT-Security-Community, denn Passkeys funktionierten. „Die FIDO Alliance berichtet, dass 69 Prozent der Verbraucher mittlerweile mindestens einen Passkey besitzen, gegenüber einem Bekanntheitsgrad von nur 39 Prozent vor zwei Jahren.“ Passkeys erreichten eine Anmeldeerfolgsrate von 93 Prozent, verglichen mit 63 Prozent bei herkömmlichen Passwörtern.

Auf Unternehmensseite hätten laut Untersuchungen von HID und der FIDO Alliance 87 Prozent der Organisationen Passkeys eingeführt oder seien dabei, diese einzuführen. Google habe über 800 Millionen Passkeys nutzende Konten mit 2,5 Milliarden Passkey-Anmeldungen. „Das ist also keine Theorie mehr, sondern Realität.“

Zur Abwehr cyberkrimineller Angriffe Passkeys einführen – ein Prozess mit Zeitbedarf

Passkeys seien eine erstaunliche Technologie mit echten Hürden bei der Einführung, welche IT-Sicherheitsteams nicht einfach wegwinken könnten: „Unternehmensumgebungen mit veralteter Infrastruktur, lokalem ,Active Directory’, gemeinsam genutzten Arbeitsplätzen und älteren Geräten ohne ,Trusted Platform Module’ (TPM) oder biometrische Hardware stehen vor echten Schwierigkeiten.“

• Die plattformübergreifende Interoperabilität zwischen „Ökosystemen“ verbessere sich zwar, sei aber immer noch umständlich. Die Kontowiederherstellung und die Delegierung von Anmeldedaten in großen Organisationen seien noch nicht vollständig gelöst.

Greene führt aus: „Und man kann nicht einfach einen Schalter umlegen und Passwörter über Nacht abschaffen, wenn man Tausende von Mitarbeitern mit unterschiedlicher Hardware hat.“ Organisationen müssten während der Umstellung eine hybride Authentifizierung betreiben – und diese Umstellung könnte je nach Umgebung Jahre dauern. „Die Richtung stimmt, aber der Weg dorthin wird für viele Unternehmen chaotisch sein.“

Passwörter einst ein notwendiges Übel zum Schutz vor Cyberkriminellen

„Die Zeit nach dem besseren Passwort zu suchen ist abgelaufen!“, stellt Green klar. Stattdessen sollten IT-Sicherheitsteams darauf hinarbeiten, weniger Passwörter einzusetzen, denn jedes Passwort sei eine Angriffsfläche, und jeder Passkey beseitige eine.

• Sie sollten stattdessen Passwortmanager nutzen und überall phishing-resistente MFA einsetzen.

„Passwörter waren ein notwendiges Übel. Jetzt sind sie einfach nur noch ein Übel.“ Je schneller IT-Sicherheitsteams diese nun ablösten desto besser. „Organisationen müssen jedoch auch dort abgeholt werden, wo sie stehen. Nicht jedes Unternehmen verfügt über glänzende neue Hardware, und der Weg zur Passwortlosigkeit muss dieser Realität Rechnung tragen“, gibt Greene abschließend zu bedenken.

Weitere Informationen zum Thema:

SANS
About SANS Institute

SANS
Rich Greene – Certified InstructorSenior Solutions Engineer at SANS Institute

NATIONAL DAY CALENDAR
WORLD PASSWORD DAY

verizon, Sebrina Kepple, 23.04.2025
Verizon’s 2025 Data Breach Investigations Report: System intrusion breaches double in EMEA

IBM, 17.04.2025
IBM X-Force Threat Index 2025: Der umfangreiche Diebstahl von Anmeldedaten nimmt zu, Bedrohungsakteure wenden heimlichere Taktiken an

KELA, 2025
2025 Midyear Threat Report: Evolving Tactics and Emerging Dangers / A Guide to Prepare for the Growing Threats of Hacktivists, Infostealers, Ransomware and More

fido ALLIANCE
Passkeys

datensicherheit.de, 01.05.2026
World Password Day 2026: ESET-Empfehlung zur MFA-Nutzung für zentrale Zugänge zu Netzwerken und Konten / Eine Multi-Faktor-Authentifizierung (MFA) ergänzt ein Passwort um mindestens einen weiteren Nachweis – und kann damit verhindern, dass sich Cyberkriminelle wie berechtigte Nutzer einfach einloggen können

datensicherheit.de, 02.05.2025
World Password Day sollte überflüssig werden – in einer von Passwörtern befreiten Zukunft / Menschliches Verhalten bei der Auswahl der Passwörter kann mit Hilfe von KI und Rechenleistung ausgenutzt werden

datensicherheit.de, 26.01.2023
Statt häufiger Passwortwechsel: eco empfiehlt starke Passwörter / eco gibt zum bevorstehenden Ändere-dein-Passwort-Tag am 1. Februar 2023 drei Tipps für sichere Log-Ins

datensicherheit.de, 05.05.2022
Passwörter als Sicherheitsrisiko – Experten plädieren zum Wechsel zur passwortlosen Authentifizierung / Statt sich auf eine gute Kennworthygiene zu konzentrieren, sollte der Einsatz der Passwort-Authentifizierung hinterfragt werden

[datensicherheit.de, 07.04.2026] Kaspersky hat in einer Mitteilung zu Ostern 2026 gewarnt, dass sich demnach eine neue Variante der „SparkCat“-Malware verbreitet – und zwar über legitime Apps wie Messenger und Lieferdienste in „Google Play“ und im „App Store“. Somit stelle diese eine Bedrohung für Smartphone-Nutzer dar. Diese Schadsoftware könne heimlich auf Fotos zugreifen und sie nach sensiblen Informationen wie Zugangsdaten zu „Krypto-Wallets“ durchsuchen. Dabei scheinen die Angreifer laut Kaspersky regional unterschiedliche Taktiken anzuwenden: Während die „Android“-Version Nutzer in Asien ins Visier nehme, könne die „iOS“-Variante weltweit aktiv werden.

Neue Version von „SparkCat“ über legitime, aber kompromittierte Apps verbreitet

Die neue Version von „SparkCat“ werde über legitime, aber kompromittierte Apps verbreitet, darunter Messenger für die Unternehmenskommunikation sowie eine Essensliefer-App.

• „Die Kaspersky-Experten identifizierten davon zwei infizierte Apps im ,App Store’ sowie eine im ,Google Play’.“

Des Weiteren seien diese Apps über Drittanbieter-Webseiten verbreitet worden. Einige davon imitierten den „App Store“, sofern sie von einem „iPhone“ aus aufgerufen werden.

Aktualisierte „Android“-Variante des Trojaners durchsucht Bildergalerien

Die aktualisierte „Android“-Variante des Trojaners durchsuche die Bildergalerien kompromittierter Geräte nach Screenshots mit bestimmten Schlüsselwörtern in japanischer, koreanischer und chinesischer Sprache. Kaspersky-Experten gingen daher davon aus, dass sich die Kampagne primär gegen „Krypto-Währungs“-Nutzer in Asien richtet.

• Die „iOS“-Variante hingegen suche nach englischsprachigen „Mnemonics“ von „Krypto-Wallets“. Dadurch ergebe sich ein potenziell deutlich größeres Zielgebiet, da Nutzer weltweit – unabhängig von ihrer Region – betroffen sein könnten.

Im Vergleich zu früheren Versionen von „SparkCat“ verfüge die aktuelle „Android“-Variante über mehrere zusätzliche Verschleierungsebenen, darunter Code-Virtualisierung und den Einsatz plattformübergreifender Programmiersprachen. Solche Techniken seien bei mobiler Malware bislang eher selten dokumentiert worden.

Schadcode inzwischen aus allen drei Apps entfernt

Kaspersky hat nach eigenen Angaben die identifizierten schädlichen Anwendungen an Google und Apple gemeldet. Der Schadcode sei inzwischen aus allen drei Apps entfernt worden.

• „Die aktualisierte Variante von ,SparkCat’ fordert in bestimmten Szenarien Zugriff auf die Fotos in der Smartphone-Galerie des Nutzers, ähnlich wie bereits die erste Version des Trojaners“, erläutert Sergey Puzan, Cybersicherheitsexperte bei Kaspersky.

Anschließend analysiere diese mithilfe eines OCR-Moduls den Text in den gespeicherten Bildern. „Erkennt die Schadsoftware relevante Schlüsselwörter, wird das entsprechende Bild an die Angreifer übermittelt.“

Angreifer steigern Komplexität ihrer Anti-Analyse-Techniken, um Prüfmechanismen offizieller App-Stores zu umgehen

Puzan führt weiter aus: „Aufgrund der starken Ähnlichkeiten gehen wir davon aus, dass hinter beiden Versionen dieselben Entwickler stehen. Diese Kampagne verdeutlicht einmal mehr, wie wichtig Sicherheitslösungen für Smartphones sind, um sich vor vielfältigen Cyberbedrohungen zu schützen!“

• Dmitry Kalinin, Cybersicherheitsexperte bei Kaspersky, bemerkt ergänzend: „,SparkCat’ stellt eine sich kontinuierlich weiterentwickelnde Bedrohung für mobile Geräte dar.“ Die Angreifer erhöhten die Komplexität ihrer Anti-Analyse-Techniken, um Prüfmechanismen der offiziellen App-Stores zu umgehen.

Zudem seien Methoden wie Code-Virtualisierung und der Einsatz plattformübergreifender Programmiersprachen für mobile Malware ungewöhnlich und sprächen für ein „hohes technisches Niveau der Angreifer“.

Infizierte Apps ollten umgehend vom Gerät entfernt werden

Kaspersky-Produkte sollen die neue „SparkCat“-Version unter „HEUR:Trojan.AndroidOS.SparkCat.“ und „HEUR:Trojan.IphoneOS.SparkCat.“ erkennen.

Kaspersky-Tipps zum Schutz vor „SparkCat“:

• Die infizierte App umgehend vom Gerät entfernen und nicht mehr verwenden!
• Keine Screenshots mit sensiblen Informationen, einschließlich Wiederherstellungsphrasen für „Krypto-Wallets“ erstellen und speichern!
• App-Berechtigungen stets überprüfen – bittet eine App um Erlaubnis, auf die Fotobibliothek des Geräts zuzugreifen, sollte geprüft werden, ob der Zugriff wirklich erforderlich ist!
• Passwörter wie auch Wiederherstellungsphrasen für „Krypto-Wallets“ in dedizierten Passwort Managern (wie z.B. „Kaspersky Password Manager“) speichern!
• Alle Geräte mit einer robusten mobilen Sicherheitssoftware (wie z.B. „Kaspersky Premium“) schützen!

Weitere Informationen zum Thema:

kaspersky
Cyberimmunität ist unser erklärtes Ziel / Wir sind ein Team von über 5.000 Fachleuten mit einer über 25-jährigen Erfolgsgeschichte im Schutz von Privatpersonen und Unternehmen weltweit und haben uns die weltweite Cyberimmunität als ultimatives Ziel gesetzt.

kaspersky, Dmitry Kalinin & Sergey Puzan, 07.02.2025
Take my money: OCR crypto stealers in Google Play and App Store

datensicherheit.de, 21.03.2026
Zimperium warnt vor neuer Banking-Malware-Welle: 1.243 Apps kompromittiert / Zimperium-Sicherheitsforscher stufen aufgedeckte cyberkriminelle Aktivitäten als Bestandteil ausgeklügelter und skalierbarer Kampagnen ein

datensicherheit.de, 31.01.2026
Spionagewerkzeug GhostChat: Gefälschte Dating-App als Köder / Aktuelle, von ESET entdeckte „GhostChat“-App-Kampagne zeigt, wie wirksam soziale Manipulation ist

[datensicherheit.de, 27.03.2026] Am 25. März 2026 meldeten die „Bitdefender Labs“, dass opportunistisch agierende Cyberkriminelle den gegenwärtigen USA-Iran-Israel-Konflikt für Phishing-Mail-Kampagnen ausnutzen. So stellten sie eine Zunahme von Phishing-Mails zu geschäftlichen Vorgängen vor dem Hintergrund der aktuellen Eskalation fest: Seit dem 28. Februar 2026, dem Beginn der Auseinandersetzungen zwischen den USA und Israel mit dem Iran, ist demnach ein deutlicher Anstieg von Malware-Kampagnen in der Region am Persischen Golf zu verzeichnen: „Im Schnitt wuchs dabei das Volumen von E-Mail-Phishing um mehr als 130 Prozent im Vergleich zum Aufkommen vor dem Beginn der kriegerischen Eskalation.“

Golfregion als Umschlagplatz für Finanzen und Kraftstoffe im Malware-Visier

Die Inhalte dieser eher opportunistisch motivierten E-Mails bezögen sich häufig auf geschäftliche Abläufe wie Rechnungen, Verträgen, finanzielle Angelegenheiten und Lieferungen.

• „Die Phishing-Kampagnen lassen sich in diesem Stadium des Konflikts keiner Gruppierung mit staatlichem Hintergrund zuschreiben.“

Die sogenannte Golfregion sei durch ihre Rolle als Umschlagplatz für Finanzen und Kraftstoffe sowie als Schaltzentrale für globale wirtschaftliche Netzwerke, Projekte und internationalen Handel ein attraktives Ziel für cyberkriminelle Trittbrettfahrer.

Hacker können kurzfristig Malware-Kampagnen an aktuelle Ereignisse in einer Region anpassen

Das Aufkommen bösartiger Korrespondenzen habe an Spitzentagen das Volumen vor Beginn der Auseinandersetzungen um das Vierfache überschritten. Dieser schnelle Anstieg beweise, wie Hacker kurzfristig ihre Kampagnen zum Ausspielen von Malware an aktuelle Ereignisse in einer Region anpassen könnten.

• Dabei nutzten sie opportunistisch auch geschäftliche Themen als Aufhänger: „Es geht scheinbar darum, Kredite zu genehmigen, Garantien einzuhalten oder finanziellen Arrangements zuzustimmen.“

Weitere Anlässe für die Trittbrettfahrer seien Nachrichten über ausbleibende Lieferungen. Hacker würden dann mit hoher Dringlichkeit um ein Tracking oder Aktionen zur Freigabe der Ware bitten.

Ausspielen der Malware über angebliche Rechnungen als infizierte Anhänge

Hacker nutzten dabei verschiedene Angriffstechniken wie etwa „Java“-basierte Remote-Access-Trojaner (etwa der „STRRAT“-Familie) oder mehrstufige Fileless-Angriffe mit „PowerShell“.

• Das Ausspielen der Malware erfolge in den analysierten Fällen über angebliche Rechnungen als infizierte Anhänge. In anderen Fällen zeige die Malware eine graphische Nutzeroberfläche an, welche das schädliche „Tool“ als legitime „Java“-Utility oder als Software-Tool tarne.

Eine persistente, dauerhafte Präsenz im Opfersystem sichere sich die Malware, indem sie einen alle dreißig Minuten auszuführenden Task „Skype“ anlege. In anderen Beispielen platzierten Hacker ihre Malware im Autostart-Ordner, so dass die Schadsoftware mit jedem Hochfahren des Rechners ihre Tätigkeit neu aufnehme.

Tipps für Unternehmen zum Schutz vor Malware-Angriffen

Nutzer können sich laut „Bitdefender Labs“ schützen, indem sie

• unerwartete Anhänge kritisch prüfen,
• E-Mail-Anhängen nicht aufgrund formaler Kriterien, wie einer legitimen Dateierweiterung (.eml, .jar, .rar oder etwa .hta), vertrauen,
• Zip-Archive von unbekannten Quellen nicht akzeptieren,
• Links vor dem Klicken überprüfen,
• finanzielle und rechtliche Anfragen unabhängig überprüfen sowie
• ihre IT regelmäßig aktualisieren und Lösungen zur Cybersicherheit nutzen.

Weitere Informationen zum Thema:

Bitdefender
Auf Vertrauen gebaut. Mit Sicherheit bewährt.

Bitdefender, Alina BÎZGĂ, 25.03.2026
War in the Middle East Triggers Surge in Phishing and Malware Campaigns Targeting Gulf Countries

datensicherheit.de, 08.01.2026
Bitdefender-Rat an Unternehmen: 2026 von Reaktion zur Prävention wechseln / Laut Bitdefender könnte bzw. sollte sogar 2026 zum „Schaltjahr in der Cyberdefensive“ werden

[datensicherheit.de, 21.03.2026] Zimperiums aktueller Sicherheitsreport über Mobile-Banking hat demnach 34 Malware-Familien identifiziert, welche 1.243 Apps für Bank-, Finanz- und „Kryptogeld“-Geschäfte in 90 Ländern kompromittieren – diese neue Sicherheitsstudie zeige, dass Mobile-Banking-Apps die größte Gefahr für Finanzbetrug seien. So verbreite sich in Deutschland die neue Schadsoftware „Crocodilus“ besonders schnell – dieser „Android“-Banking-Trojaner habe sich auf die Geräteübernahme, Raub von Bankdaten und den Diebstahl von „Kryptowährungen“ spezialisiert.

„2026 Banking Heist Report“: Dokumentation einer gewachsenen Bedrohungslandschaft, welche klassische Verteidigungsmechanismen grundlegend aushebelt

Bedrohungsakteure entwickeln Angriffskampagnen kontinuierlich weiter

Im Laufe des Jahres 2025 habe das „zLabs“-Team von Zimperium 34 aktive Malware-Familien identifiziert, welche mobile Anwendungen von 1.243 Finanzinstitute in 90 Ländern gefährdeten.

• Die Zahl der mit „Android“-Malware gesteuerten Finanztransaktionen sei im Jahresvergleich um 67 Prozent gestiegen. Zimperium-Sicherheitsforscher sehen darin „keine isolierten Vorfälle“, sondern stufen solche Aktivitäten als „Bestandteil ausgeklügelter und skalierbarer Kampagnen“ ein.

Bedrohungsakteure entwickelten ihre Angriffskampagnen kontinuierlich weiter, um App-Sicherheitskontrollen zu umgehen und betroffene Organisationen sowie ihre Kunden zu schädigen.

Zentrale Ergebnisse der aktuellen Zimperium-Studie im Überblick:

• In Deutschland seien insgesamt 48 Malware-Familien aufgespürt worden – die Malware-Familie „Crocodilus“ stelle dabei eine neue Gefahr dar. Diese mobile Schadsoftware nutze „Blackout“-Modi, welche „Android“-Mobilgeräte im ausgeschalteten Zustand anzeigten, während tatsächlich heimlich Geldüberweisungen durchgeführt würden.
• Die meisten Mobilangriffe in Europa erfolgten über ausgeklügelte 2FA-Bypass-Tools wie „Teabot“ und „Godfather“.
• Hauptangriffsziel seien die USA: Dort gebe es weltweit die meisten attackierten Finanz-Apps – mittlerweile würden 162 Banking- und Fintech-Apps ins Visier genommen.
• „TsarBot“, „CopyBara“ und „Hook“: Diese drei Malware-Familien zusammen visierten mehr als 60 Prozent der weltweit untersuchten Banking- und Fintech-Apps an.
• Nach dem Betrug ist vor der Erpressung: In jedem zweiten Fall verfügten die analysierten Malware-Familien auch über Möglichkeiten zur finanziellen Erpressung – beispielsweise mit Ransomware-Funktionen zur Verschlüsselung aller Daten eines infizierten Endgeräts.

Krishna Vishnubhotla: KI-Technologien beschleunigen die Entwicklung von Schadsoftware, die zuvor hochqualifizierten Angreifer vorbehalten war

Weiterentwicklung der Mobile-Banking-Malware kann zu vollständiger Kontrolle über mobile Gerät führen

Der nun vorliegende „2026 Banking Heist Report“ dokumentiert laut Zimperium „eine gewachsene Bedrohungslandschaft, die klassische Verteidigungsmechanismen grundlegend aushebelt“. Die Ergebnisse verdeutlichten, dass Betrug nicht erst auf dem Server, sondern bereits auf mobilen Endgeräten beginne. Finanzinstitute könnten skalierbare Betrugsversuche verhindern und gesetzliche Sicherheitsregularien einhalten, „indem sie Mobil-Apps gegen ,Reverse Engineering’ härten, die Laufzeit-Integrität sicherstellen und Geräterisiken analysieren“.

• „KI-Technologien beschleunigen die Entwicklung von Schadsoftware, die zuvor hochqualifizierten Angreifer vorbehalten war. Die enorme Weiterentwicklung von Mobile-Banking-Malware bedeutet, dass nicht nur Passwörter gestohlen, sondern die vollständige Kontrolle über ein Gerät erreicht werden kann“, erläutert Krishna Vishnubhotla, „Vice President of Product Strategy“ bei Zimperium.

Abschließend gibt er warnend zu bedenken: „Moderne Banktrojaner fangen Authentifizierungscodes und Telefonate ab und verbergen sich vor Sicherheitssystemen. Sie täuschen legitime Online-Banking-Verbindungen vor, die weder auf Kunden- noch Bankseite verdächtig wirken. Wird der Betrug entdeckt, ist es bereits zu spät!“

Weitere Informationen zum Thema:

Zimperium
The World Leader in Mobile Device & Application Security

ZIMPERIUM
Krishna Vishnubhotla / Mobile App Security Expert

Zimperium
2026 Mobile Banking Heist Report

datensicherheit.de, 29.11.2025
Sturnus: Android-Banking-Trojaner eine weitere gefährliche Eskalation beim Mobil-Betrug / „Sturnus“ führt vor Augen, dass Ende-zu-Ende-Verschlüsselung Daten zwar während der Übertragung schützt – aber kein kompromittiertes Gerät

datensicherheit.de, 28.09.2023
Zanubis: Banking-Trojaner tarnt sich laut Kaspersky-Warnung als legitime App / Kaspersky deckt neue Bedrohungen gegen Krypto-Wallets auf

datensicherheit.de, 07.10.2021
PixStealer: Missbrauch von Zugangsdiensten durch neuen Android-Banking-Trojaner / Check Point Research entdeckt Attacken gegen PIX – ein von der brasilianischen Zentralbank verwaltetes Sofortzahlungssystem

[datensicherheit.de, 15.03.2026] Thomas Sonne, „Channel Sales Director“ bei Outpost24, warnt in seiner aktuellen Stellungnahme vor „gefährlichen ,Easter Eggs’ im Postfach“ – auch die bevorstehenden Osterfeiertage bedeuten für viele Unternehmen wieder eine reduzierte Besetzung. Sonne gibt zu bedenken: „Projektabschlüsse vor dem langen Wochenende, Abwesenheitsnotizen im E-Mail-Postfach und der gedankliche Wechsel in den Urlaubsmodus sorgen für eine veränderte Aufmerksamkeitsspanne.“ Genau diese Kombination nutzten nun Cyberkriminelle gezielt aus: Phishing-Kampagnen rund um Feiertage gehörten seit Jahren zu den effektivsten Methoden, um Zugangsdaten abzugreifen oder Schadsoftware in Unternehmensnetze einzuschleusen.

Feiertags- bzw. Urlaubsmodus als Einfallstor für Phishing-Attacken

Besonders kurz vor Feiertagen steige das Aufkommen täuschend echter E-Mails deutlich an. „Dringende Zahlungsfreigaben oder Passwort-Resets wirken in Stresssituationen besonders glaubwürdig“, warnt Sonne.

• Gleichzeitig fehle Personal, um bei Rückfragen zur Verfügung zu stehen – Verantwortliche seien dann bereits im Urlaub oder nur eingeschränkt erreichbar.

„Diese Kombination sorgt dafür, dass Mitarbeiter eher auf manipulierte Links klicken oder Anhänge unbedacht öffnen!“

Phishing öffnet Zugänge – verdächtige Aktivitäten bleiben häufiger unentdeckt

„Ein erfolgreicher Phishing-Angriff endet selten mit dem bloßen Abfluss einzelner Daten. Häufig nutzen Angreifer die abgefangenen Zugangsdaten als Einstiegspunkt für weiterführende Angriffe.“

• Wiederverwendete oder einfache Passwörter ermöglichten zudem, sich unbemerkt im Netzwerk zu bewegen – oft über Tage oder Wochen hinweg.

Problematisch sei dabei, dass kompromittierte Zugangsdaten nicht immer sofort auffielen: Während der Feiertage blieben ungewöhnliche Login-Versuche oder verdächtige Aktivitäten häufiger unentdeckt.

Technische Schutzmaßnahmen gegen Phishing notwendig – doch der Mensch muss mitwirken

Sonne führt aus: „Moderne Sicherheitslösungen erkennen viele Phishing-Versuche automatisiert. Dennoch bleibt der Mensch ein entscheidender Faktor. Kurz vor Feiertagen sinkt die Aufmerksamkeit, und dieser Faktor lässt sich technisch nur begrenzt kompensieren.“

Entscheidend sei ein Zusammenspiel aus technischen Kontrollen, klaren Prozessen und einer realistischen Einschätzung typischer Angriffsszenarien.

Dazu zählten unter anderem:

• mehrstufige Authentifizierungsverfahren für kritische Systeme
• regelmäßige Überprüfung kompromittierter Zugangsdaten
• Sensibilisierung für saisonale Phishing-Muster

Feiertage in Cyberabwehr-Strategie einbinden, um Phishing und Folge-Attacken abzuwehren

Cyberangriffe orientierten sich zunehmend an menschlichen Routinen – Feiertage eingeschlossen. Unternehmen, welche Sicherheitsstrategien auch auf solche Zeiträume ausrichteten, reduzierten ihr Risiko erheblich.

• „Gerade Ostern, Weihnachten oder die Sommerferien sind planbare Stress- und Abwesenheitsphasen, die sich gezielt absichern lassen!“, so Sonnes Fazit.

Auch in „Awareness“-Trainings im Alltag oder als „Reminder“ vor solchen Feiertagen sollten diese Themen noch einmal explizit aufgenommen werden.

Weitere Informationen zum Thema:

Outpost24
Volle Transparenz. Klare Prioritäten. Professionelle Sicherheit. / Behalten Sie Ihre Angriffsfläche kontinuierlich im Blick und erhalten Sie verwertbare Informationen, um schneller auf gezielte Bedrohungen gegen Ihre Organisation zu reagieren.

heise business services, Experten
Thomas Sonne / Channel Sales Director DACH, Outpost24

datensicherheit.de, 22.12.2025
Phishing-Hochsaison Weihnachten – Bitdefender-Analyse zu E-Mail-Spam / Jede zweite E-Mail mit Bezug auf Weihnachten bzw. den Weihnachtsurlaub ist bösartig – Deutschland als Adressaten- und Absenderland spielt eine nicht ganz unbedeutende Rolle

datensicherheit.de, 24.10.2025
Trick and Threat: Halloween auch in Deutschland Köder für saisonalen Internetbetrug / Deutschland laut Bitdefender-Telemetrie auf Rang 2 als Zielland für Spambetrug – 63 Prozent des Spams mit „Halloween“-Bezug sind bösartig und beabsichtigen, Malware zu implementieren oder Zugangsdaten oder Geld zu stehlen

datensicherheit.de, 05.08.2025
Ferienzeit als Hochsaison für Angreifer – DNS kann bei pre-emptive Security und Zero Trust für Entlastung sorgen / Da nahezu die gesamte Kommunikation über das „Domain Name System“ (DNS) läuft, ist es der ideale Ansatzpunkt für eine Sicherheitslösung

datensicherheit.de, 23.02.2025
Phishing-Saison 2025: IT-Entscheider sollten sich auf KI-gesteuerte Kampagnen vorbereiten / Agentenbasierte KI-Modelle sind eine spezielle Form Künstlicher Intelligenz (KI), bei der diese in Form vieler autonomer Einheiten operieren

datensicherheit.de, 28.06.2024
Betrugs-Hochsaison während der Sommerferien: KnowBe4 warnt und gibt Sicherheitstipps / Cyber-Kriminelle sind unerbittlich und missbrauchen oft entspannte Ferienstimmung

[datensicherheit.de, 10.03.2026] Acronis hat ein aktuelles „Cyberthreats Update“ veröffentlicht, welches demnach ein differenziertes Bild der Cyberbedrohungslage im Januar 2026 zeichnet: „Die Zahl blockierter schädlicher URLs stieg gegenüber Dezember 2025 um 35,6 Prozent, während die Zahl erkannter Malware-Angriffe am Endpunkt auf rund 1,7 Millionen zurückging, nach 2,3 Millionen im Dezember 2025.“ Das „Acronis Cyberthreats Update“ stellt monatlich aktuelle Erkenntnisse zur Bedrohungslage sowie Einschätzungen der Experten der „Acronis Threat Research Unit“ (TRU) zur Verfügung, damit Unternehmen und Privatpersonen sich vor den sich ständig weiterentwickelnden Sicherheitsherausforderungen schützen können.

Markus Fritz rät Unternehmen, ihre Schutzmaßnahmen regelmäßig zu überprüfen und auf mehrschichtige Ansätze zu setzen

„Mirai“ gehört erneut zu aktivsten Malware-Bedrohungen

Acronis-Lösungen hätten im Januar 2026 mit einem Anstieg von 35,6 Prozent deutlich mehr schädliche URLs als im Vormonat blockiert. Gleichzeitig sei die Zahl der am Endpunkt blockierten Malware-Dateien auf rund 1,7 Millionen erheblich zurückgegangen – nach 2,3 Millionen im Dezember. Auch die Anzahl öffentlich gemeldeter Datenschutzverletzungen sei mit 723 im Januar gegenüber 820 im Vormonat rückläufig.

• Auch im Januar 2026 habe „Mirai“ erneut zu den aktivsten Malware-Bedrohungen gehört. Diese seit Jahren bekannte IoT-Schadsoftware bleibe ein fester Bestandteil der Bedrohungslandschaft. Ebenfalls stark vertreten gewesen seien „XWorm“ und „AsyncRAT“ – zwei „Tools“, welche laut Acronis häufig für Fernzugriff und Datendiebstahl eingesetzt werden und in einer Reihe aktiver Angriffskampagnen auftauchen.

Unter den Ransomware-Gruppen sei „Qilin“ mit 102 bekannten Opfern am aktivsten, gefolgt von „Cl0p“ mit 79 und „0apt“ mit 71 dokumentierten Fällen.

Weitere Erkenntnisse der „Acronis Threat Research Unit“:

• Der Anteil der Acronis-Nutzer mit mindestens einer blockierten Malware-Bedrohung am Endpunkt sei im Januar 2026 leicht um 0,03 Prozentpunkte auf 3,7 Prozent gestiegen.
• In Deutschland habe die normalisierte Erkennungsrate für schädliche URLs im Januar 2026 bei 9,8 Prozent gelegen und damit geringfügig über dem Wert von 9,7 Prozent im Dezember 2025. Unter den in der Auswertung berücksichtigten Fokus-Ländern habe Deutschland damit Platz 3 belegt.
• Palästina habe mit 54,1 Prozent der betroffenen Nutzer die höchste Malware-Erkennungsrate weltweit verzeichnet – mit großem Abstand vor Sri Lanka mit 18,8 Prozent und Bangladesch mit 17,3 Prozent.

Positive Signale, doch keine Entwarnung: Weiterhin hohe Aktivität im Malware-Bedrohungsumfeld

„Die Telemetriedaten für Januar liefern ein gemischtes Bild“, berichtet Markus Fritz, „General Manager DACH“ bei Acronis. Er führt weiter aus: „Der Rückgang bei den Malware-Erkennungen ist ein positives Signal, gleichzeitig zeigt der kleine Anstieg beim Anteil betroffener Nutzer um 0,03 Prozentpunkte, dass sich der im vergangenen Jahr beobachtete rückläufige Trend nicht eindeutig fortsetzt.“

• Dass zudem mehr schädliche URLs blockiert worden seien, unterstreiche die weiterhin hohe Aktivität im Bedrohungsumfeld. Gruppen wie „Qilin“ und „Cl0p“ blieben aktiv, und bekannte Schadsoftware wie „Mirai“ sei nach wie vor präsent.

Seine Empfehlung: „Unternehmen sollten ihre Schutzmaßnahmen daher regelmäßig überprüfen und auf mehrschichtige Ansätze setzen, die verhaltens- und KI-basierte Erkennungsmethoden kombinieren!“

Acronis-Tipps zum Schutz vor aktuellen Malware-Bedrohungen:

• Starke, einzigartige Passwörter zusammen mit einem Passwortmanager verwenden!
• Einen verschlüsselten „Cloud“-Storage für vertrauliche Dateien nutzen!
• Eine robuste Sicherheitslösung (wie z.B. „Acronis Cyber Protect Cloud“) nutzen, welche einen umfassenden Schutz durch verhaltens-, KI- und ML-basierte Erkennungen sowie Anti-Ransomware-Heuristiken bietet!
• Automatisierte Wiederherstellung von verschlüsselten oder manipulierten Dateien (z.B. mittels „Acronis Cyber Protect Cloud“) einführen!
• „Advanced eMail Security“ und URL-Filterung nutzen, welche zusätzlichen Schutz vor Bedrohungen wie Phishing und anderen Social-Engineering-Techniken bieten!
• Patch-Management nutzen, um Software stets auf dem neuesten Stand zu halten!
• Signierte Installationsdateien nicht nur auf ihre Signatur, sondern auch auf enthaltene Konfigurationsdaten prüfen!
• Fernzugriffssoftware kritisch überprüfen und ihre Nutzung auf das notwendige Maß beschränken!

Weitere Informationen zum Thema:

Acronis
Die Vereinheitlichung von Data Protection und Cyber Security, um alle Daten, Applikationen und Systeme zu schützen / Acronis ist ein globales Technologie-Unternehmen mit Hauptsitzen in der Schweiz

TRU Acronis Threat Research Unit, 18.02.2026
Acronis Cyberthreats Update: The Acronis Cyberthreats Update covers current cyberthreat activity and trends, as observed by Acronis Threat Research Unit (TRU) and Acronis sensors. Figures presented here were gathered in January 2026 and reflect threats that Acronis detected, as well as news stories from the public domain.

IT-BUSINESS, Margrit Lingner, 12.06.2024
Neuer General Manager DACH bei Acronis Markus Fritz ist DACH-Chef von Acronis

Bundesamt für Sicherheit in der Informationstechnik
Mirai

datensicherheit.de, 01.06.2025
Laut Acronis-Erkenntnissen mehr Malware und weniger Ransomware in Deutschland / Acronis-Telemetrie weist auf veränderte Angriffsmuster in Deutschland hin – Bedrohungslage durch Cyberangriffe 2024 strukturell verändert

datensicherheit.de, 04.10.2025
Qilin-Gruppe dominiert: Ransomware-Angriffe auf deutsche Industrie nehmen zu / „Die Ransomware-Lage in Deutschland und Europa bleibt angespannt“, unterstreicht Abdulrahman H. Alamri und verweist auf die „Dragos Industrial Ransomware Analysis Q2 2025“

[datensicherheit.de, 05.03.2026] Quasi kostenlos Software aus inoffiziellen Quellen zu beziehen, mag auf den ersten Blick harmlos erscheinen, aber für Unternehmen kann sie schnell zum ernsthaften Sicherheitsproblem werden: „Barracuda Managed XDR“ hat demnach im vergangenen Monat mehrere Fälle identifiziert, in denen Mitarbeiter versucht haben, nicht lizenzierte Software auf ihren Arbeitsgeräten zu installieren. Barracuda-Expertin Laila Mubashar, erörtert in ihrer aktuellen Stellungnahme Maßnahmen zur Prävention und Absicherung.

Raubkopien bzw. gecrackte Versionen von Software enthalten häufig schädliche Inhalte

Mubashar berichtet: „,Barracuda Managed XDR’ konnte im vergangenen Monat mehrere Fälle identifizieren, in denen Mitarbeitende in Unternehmen versucht haben, raubkopierte oder gecrackte Versionen von Software auf ihren Arbeitsgeräten zu installieren.“

• Die Ergebnisse hat Barracuda in einem aktuellen Report beschrieben, welcher die Warnsignale hervorhebt, auf die geachtet werden sollte.

Raubkopien (d.h. illegal kopierte) und gecrackte (somit manipulierte) Versionen von Software enthielten häufig schädliche Inhalte und könnten zu Malware- und Ransomware-Infektionen, Diebstahl von Anmeldedaten, „Krypto-Mining“, Session-Hijacking, Software-Kompromittierung und weiteren Risiken führen. „Illegale Software kann zudem nicht wie legitime Software gepatcht und aktualisiert werden, so dass vorhandene Sicherheitslücken bestehen bleiben!“, warnt Mubashar.

Von Barracuda identifizierte Anzeichen für illegale Software-Aktivitäten:

• Neue oder unerwartete ausführbare Dateien
  Im vergangenen Monat habe das „Security Operations Center“ (SOC) von Barracuda wiederholt drei Arten verdächtiger ausführbarer Dateien identifiziert – „activate.exe“, „activate.x86.exe“ und „activate.x64.exe“. Dabei handele es sich um generische Dateinamen, welche nicht zu einer bestimmten Art von Malware gehörten, sondern gewählt worden seien, um legitim zu klingen und normal zu erscheinen. Diese tauchten häufig in raubkopierten bzw. gecrackten Software-Paketen, Phishing-Anhängen, gefälschten Software-Installationsprogrammen und ähnlichen Quellen auf.
• Ausführbare Dateien, welche in für Nutzer zugänglichen Ordnern gespeichert sind
  Diese verdächtigen „activate.exe“-Dateien tauchten an für Nutzer zugänglichen Orten auf, beispielsweise in ihren „Downloads“-Ordnern.
• Dateiausführung unmittelbar nach Browser-Aktivitäten
  Die Dateien – oftmals große, passwortgeschützte ZIP-Dateien – würden unmittelbar nach Browser-Aktivitäten, beispielsweise in „Chrome“ oder „Microsoft Edge“, manuell ausgeführt, häufig über „explorer.exe“.
• Nutzerinteraktion
  Raubkopien oder gecrackte Software erforderten manuelle Benutzerinteraktion, um die Software – und damit auch die schädliche Nutzlast – zu installieren und zu aktivieren. Manuelle Aktivitäten im Zusammenhang mit einem Software-Download seien üblicherweise ein Anzeichen für die Nutzung illegaler Software.
• Weitere Warnsignale
  Diese umfassten das Vorhandensein von Anleitungsdateien im Software-Paket, welche bei automatisierten Malware-Infektionen üblicherweise nicht vorhanden seien, sowie Versuche, Lizenzprüfungen zu umgehen.

Unternehmen sollten konsequent nur explizit genehmigte Software auf Arbeitsgeräten erlauben

Alle o.g. identifizierten Fälle seien vom „Barracuda Managed XDR“-SOC neutralisiert worden, bevor sie sich dauerhaft im System hätten festsetzen können. Mubashar führt aus: „Mitarbeitende, die kostenlose, inoffizielle oder nicht lizenzierte Software auf ihre Arbeitsgeräte herunterladen, stellen ein erhebliches Sicherheitsrisiko dar, da diese zum Einfallstor für schwerwiegende Sicherheitsvorfälle werden können!“

Unternehmen müssten daher dringend Schutzmaßnahmen ergreifen, um ihre Mitarbeiter auch vor sich selbst zu schützen. Ein Fokus sollte dabei auf fortschrittlichen, rund um die Uhr verfügbaren Sicherheitslösungen, limitierten Berechtigungen und Nutzerschulungen liegen. Um eben Mitarbeiter und „Assets“ bestmöglich vor durch Raubkopien oder gecrackte Software verursachten Risiken zu schützen, könnten Unternehmen verschiedene Maßnahmen ergreifen:

• Unbekannte oder nicht autorisierte ausführbare Dateien in Echtzeit blockieren!
• Lokale Administratorrechte beschränken und eine Genehmigung für alle Software-Installationen verlangen!
• Nur genehmigte Software auf Arbeitsgeräten erlauben!
• „Downloads“- und temporäre Ordner auf ausführbare Dateien hin überprüfen!
• Richtlinien zur akzeptablen Nutzung einführen und Nutzerschulungen zur Sensibilisierung und Vermeidung von risikoreichem Verhalten durchführen!

Weitere Informationen zum Thema:

Barracuda
Barracuda ist ein führendes Cybersicherheitsunternehmen, das vollständigen Schutz vor komplexen Bedrohungen bietet

Barracuda
Laila Mubashar

Barracuda, Laila Mubashar, 04.03.2026
Threat Spotlight: The business risks of pirate software / Employees downloading illegal versions of software risk data breaches and more as most comes loaded with malware.

datensicherheit.de, 24.09.2025
Workarounds und Schatten-IT: Streben nach Produktivität kann Sicherheitsrisiko erhöhen / Wenn Mitarbeiter Wege finden, Arbeit schneller oder besser zu erledigen, die Bearbeitung von Zugriffsanfragen durch die IT-Abteilung aber zu lange dauert oder zu kompliziert ist, dann finden diese oftmals „kreative“, gleichwohl potenziell gefährliche Lösungen, um trotzdem weiterarbeiten zu können

datensicherheit.de, 16.11.2022
Schatten-IT verhindern: Datensicherheit und Nutzerfreundlichkeit in Einklang bringen / Durch geeignete IT-Lösungsangebote für Mitarbeiter die Verwendung illegaler Software reduzieren und die Datensicherheit stärken

datensicherheit.de, 01.12.2020
NetMotion: Die Top-5 der Schatten-IT in Unternehmen / 62 Prozent der mobilen Mitarbeiter nutzen Schatten-IT