Gemeinsam mit US-Behörden hat das BKA den Phishing-Dienst „Kratos“ zerschlagen. Über 200 Server wurden abgeschaltet, der mutmaßliche Entwickler in Indonesien festgenommen. Damit ist eine der größten Quellen for gefälschte Microsoft-Anmeldeseiten weltweit vom Netz.

Was ist passiert?

Kratos war seit Ende 2024 als sogenannter „Phishing-as-a-Service“-Dienst aktiv. Über 1.800 Kriminelle mieteten den digitalen Baukasten gegen Kryptowährung, um damit rund 15.000 Phishing-Kampagnen pro Monat durchzuführen. In einer koordinierten Aktion mit US-Strafverfolgungsbehörden setzten das Bundeskriminalamt (BKA) und die Zentralstelle zur Bekämpfung der Internetkriminalität (ZIT) mehr als 200 Server der Infrastruktur außer Betrieb. Außerdem wurde der technische Administrator von Kratos in Indonesien von den Behörden vor Ort festgenommen. Damit ist der Dienst nach Angaben der Entwickler vollständig außer Kraft gesetzt.

Wie funktionierte der Dienst?

Kratos ermöglichte es auch technisch wenig versierten Personen, täuschend echte Anmeldeseiten für Microsoft-Dienste zu erstellen und zu verwalten. Über diese gefälschten Seiten wurden nicht nur Passwörter und E-Mail-Adressen gestohlen, sondern auch Cookies abgegriffen, wodurch selbst eine Zwei-Faktor-Authentifizierung umgangen werden konnte. Die Opfer stammten aus mehr als 30 Ländern, vor allem aus Europa und den USA. Insgesamt soll die Gruppierung seit 2024 mehr als 300.000 Euro damit verdient haben.

Warum ist das relevant?

Solche „as-a-Service“-Modelle senken die Einstiegshürde für Cyberkriminalität erheblich, da sie technisches Wissen nicht voraussetzen. Die Abschaltung nimmt nicht nur einem einzelnen Täter, sondern gleich 1.800 Kund:innen gleichzeitig das Werkzeug aus der Hand. Das ist ein deutlich größerer Erfolg als die Verfolgung einzelner Betrüger:innen. Der Fall zeigt zugleich, dass Zwei-Faktor-Authentifizierung allein nicht immer ausreicht, wenn Anmeldedaten über täuschend echte Phishing-Seiten samt Sitzungscookies gestohlen werden.