Administrator in Indonesien festgenommen

Den Ermittlungsbehörden ist ein bedeutender Schlag gegen die internationale Cyberkriminalität gelungen. Die Generalstaatsanwaltschaft Frankfurt am Main – Zentralstelle zur Bekämpfung der Internetkriminalität (ZIT) – und das Bundeskriminalamt (BKA) haben gemeinsam mit Strafverfolgungsbehörden aus den USA die Infrastruktur der weltweit aktiven Kratos Phishing-Plattform vollständig zerschlagen. In Indonesien nahmen die Behörden den mutmaßlichen Entwickler und technischen Administrator der Plattform fest.

Phishing-as-a-Service für Cyberkriminelle weltweit

Bei der Kratos Phishing-Plattform handelte es sich um einen professionellen digitalen Baukasten, mit dem Cyberkriminelle täuschend echte Microsoft-Anmeldeseiten erstellen konnten. Ziel war es, Zugangsdaten wie E-Mail-Adressen, Passwörter und Authentifizierungsinformationen von Opfern zu stehlen. Die erbeuteten Daten dienten anschließend als Grundlage für weitere Straftaten.

Das Geschäftsmodell basierte auf dem sogenannten Phishing-as-a-Service. Die Betreiber vermieteten ihre Infrastruktur an andere Kriminelle, die damit eigenständig Phishing-Kampagnen durchführten. Dadurch konnten auch Täter ohne tiefgehende technische Kenntnisse professionelle Angriffe starten.

Über 1.800 Kunden und tausende Angriffe pro Monat

Nach Erkenntnissen der Ermittler nutzten mehr als 1.800 kriminelle Kunden die Plattform. Monatlich wurden rund 15.000 Phishing-Kampagnen gestartet. Jede einzelne Kampagne konnte mehrere tausend Empfänger weltweit erreichen. Seit 2024 sollen die Betreiber mit ihrem Geschäftsmodell Einnahmen von mehr als 300.000 Euro erzielt haben.

Die Zahl der Opfer liegt nach Angaben der Ermittlungsbehörden mittlerweile im sechsstelligen Bereich. Betroffen sind Menschen aus mehr als 30 Staaten, insbesondere aus Europa und den USA.

Über 200 Server abgeschaltet

Im Rahmen der internationalen Ermittlungen schalteten die Behörden mehr als 200 Server der kriminellen Infrastruktur ab. Mit der Festnahme des Administrators und der vollständigen Abschaltung zentraler Systeme gilt die Kratos Phishing-Plattform als vollständig außer Betrieb gesetzt. Neue Phishing-Kampagnen über diesen Dienst sind damit nach aktuellem Stand nicht mehr möglich.

Besonders gefährliche Angriffsmethode

Die von Kratos entwickelten gefälschten Microsoft-Anmeldeseiten gingen über klassische Phishing-Seiten hinaus. Neben den Zugangsdaten stahlen sie auch sogenannte Session-Cookies. Dadurch konnten Angreifer sogar bestehende Zwei-Faktor-Authentifizierungen umgehen und direkten Zugriff auf Benutzerkonten erhalten.

Mit den gestohlenen Zugangsdaten konnten Täter unter anderem weitere Phishing-Angriffe durchführen, Daten im Darknet verkaufen oder Unternehmensnetzwerke über Microsoft-Dienste infiltrieren.

Vertrieb über Kryptowährungen und Telegram

Die Betreiber verkauften ihr Phishing-Kit im Rahmen eines Lizenzmodells. Kunden konnten die Software gegen Bezahlung mit Kryptowährungen erwerben. Für Registrierung, Verwaltung der Kampagnen und technischen Support betrieben die Täter eine eigene Internetseite sowie einen Telegram-Shop.

Ermittler sprechen von einem Meilenstein

Carsten Meywirth, Leiter der Abteilung Cybercrime im BKA, bezeichnete den Einsatz als deutliches Signal an Cyberkriminelle. Der Erfolg zeige, dass sich auch hochprofessionelle Phishing-Infrastrukturen wirksam bekämpfen lassen. Gleichzeitig sei durch die Abschaltung verhindert worden, dass fortlaufend hunderttausende weitere Internetnutzer Opfer der Angriffe werden.

Auch Dr. Benjamin Krause, Leiter der ZIT bei der Generalstaatsanwaltschaft Frankfurt am Main, hob hervor, dass die Strategie der disruptiven Strafverfolgung erneut erfolgreich gewesen sei. Neben der Strafverfolgung der Verantwortlichen habe insbesondere die dauerhafte Abschaltung des kriminellen Online-Dienstes zu einem spürbaren Gewinn für die Cybersicherheit geführt.

Ermittlungen wegen mehrerer Straftatbestände

Die deutschen Ermittlungen richten sich unter anderem wegen des gewerbsmäßigen Betreibens einer kriminellen Handelsplattform im Internet (§ 127 StGB), der Fälschung beweiserheblicher Daten (§ 269 StGB), der Vorbereitung des Computerbetrugs (§ 263a StGB) sowie weiterer Delikte gegen die Verantwortlichen.

Weitere Informationen zum Thema Cybercrime finden Sie in unserem Bereich Deutschland sowie unter Aktuelle Nachrichten.

Offizielle Informationen veröffentlicht das Bundeskriminalamt (BKA) sowie die Generalstaatsanwaltschaft Frankfurt am Main.