• Phishing-as-a-Service gewinnt im Dark Web an Bedeutung

    VonJ. Benjamin Espagné

    Cybersicherheitsforscher haben im Dark Web einen Phishing-as-a-Service-Anbieter (PhaaS) entdeckt, der Angriffe auf Nutzer von Apple, Facebook, GoDaddy, GitHub, Google, Dropbox, Instagram, Microsoft, Twitter, Yahoo, Yandex und weiteren Diensten ermöglicht — auch wenn Multi-Faktor-Authentifizierung (MFA) aktiviert ist. Der Dienst nutzt dafür Reverse-Proxy- und Cookie-Injection-Technologien. Laut den Forschern wurden bereits Mitarbeiter von Fortune-500-Unternehmen erfolgreich angegriffen.

    Was Phishing-as-a-Service bedeutet

    Phishing-as-a-Service funktioniert wie ein SaaS-Geschäftsmodell — nur für Kriminelle. Anbieter stellen fertige Phishing-Infrastruktur bereit: vorkonfigurierte Phishing-Seiten, Hosting, Automatisierung und technischen Support. Der Käufer braucht keine technischen Kenntnisse. Er wählt das Ziel (Microsoft 365, Google Workspace, etc.), passt die Kampagne an und startet den Angriff per Dashboard.

    Das senkt die Eintrittsbarriere für Cyberkriminalität massiv. Was früher Wochen Vorbereitungszeit und technisches Know-how erforderte, ist heute eine Frage von Minuten und einer Kreditkarte.

    Warum MFA allein nicht mehr schützt

    Der entdeckte Dienst setzt Reverse-Proxy-Technik ein — eine Methode, die inzwischen als Adversary-in-the-Middle (AiTM) bekannt ist. Dabei wird die Phishing-Seite nicht als statische Kopie der Zielseite erstellt, sondern als transparenter Proxy zwischen Opfer und echtem Dienst geschaltet.

    Der Ablauf:

    1. Das Opfer gibt seine Zugangsdaten auf der Phishing-Seite ein
    2. Die Phishing-Seite leitet alles in Echtzeit an den echten Dienst weiter
    3. Der echte Dienst sendet die MFA-Challenge — sie fließt über den Proxy zurück zum Opfer
    4. Das Opfer bestätigt die MFA-Anforderung
    5. Der Angreifer fängt den resultierenden Session-Cookie ab und kann sich damit ohne erneute Authentifizierung anmelden

    Entscheidend: Der Angreifer stiehlt nicht das Passwort oder den MFA-Code isoliert. Er fängt die gesamte authentifizierte Session ab. Aus Sicht des Zieldienstes sieht die Anmeldung völlig legitim aus — weil sie es technisch auch war.

    Konten mit SMS- und App-basierter MFA betroffen

    Der PhaaS-Dienst umgeht sowohl SMS-basierte als auch App-Token-basierte MFA. Das betrifft die überwiegende Mehrheit der MFA-Implementierungen in Unternehmen. Lediglich FIDO2/WebAuthn-basierte Verfahren (Hardware-Security-Keys, Passkeys) sind gegen diese Art von Angriff strukturell resistent, weil sie die Authentifizierung kryptografisch an die Domain binden.

    Die Kommerzialisierung von Phishing

    PhaaS-Plattformen sind keine Einzelfälle mehr. Seit 2022 hat sich ein regelrechter Markt entwickelt. Bekannte Plattformen wie EvilProxy, Tycoon 2FA und Caffeine bieten ähnliche Dienste an — teils mit Abonnement-Modellen, Kundensupport und regelmäßigen Updates. Microsoft berichtete im September 2023, dass AiTM-Phishing-Angriffe über PhaaS-Plattformen zu den am schnellsten wachsenden Bedrohungsvektoren gehören.

    Für Unternehmen bedeutet das: Die Annahme, dass Phishing nur einfache Fake-Login-Seiten umfasst, ist überholt. Moderne Phishing-Angriffe sind technisch ausgereift, skalierbar und als Dienstleistung verfügbar.

    Handlungsempfehlungen

    • FIDO2/Passkeys evaluieren: Für privilegierte Accounts und kritische Systeme sind hardwaregebundene Authentifizierungsverfahren die wirksamste Gegenmaßnahme
    • Conditional Access implementieren: Zugriff auf Unternehmensressourcen nur von verwalteten, konformen Geräten erlauben — das erschwert die Nutzung gestohlener Session-Cookies erheblich
    • Session-Monitoring aktivieren: Unmögliche Reisen (Impossible Travel), ungewöhnliche IP-Wechsel während einer Session und plötzliche MFA-Neuregistrierungen sind starke Indikatoren für kompromittierte Sessions
    • Awareness-Training aktualisieren: Mitarbeiter müssen wissen, dass eine korrekte MFA-Bestätigung nicht bedeutet, dass der Vorgang sicher ist — besonders wenn der Login über einen Link in einer E-Mail initiiert wurde

  • Datenbank mit 800 Millionen Gesichtern im Netz

    VonJ. Benjamin Espagné

    Eine Datenbank mit 800 Millionen Datensätzen — Fotos von Gesichtern und Nummernschildern — stand monatelang ungeschützt im Internet. Die Daten stammten von Überwachungskameras des chinesischen Herstellers Xinai Electronics und waren weder durch Passwörter noch durch sonstige Zugriffsbeschränkungen gesichert. Jeder, der die Adresse kannte, konnte die Daten über den Browser abrufen.

    Xinai Electronics: Zutrittskontrolle ohne Datenschutz

    Xinai Electronics betreibt ein weitreichendes Netz von Kameras in ganz China. Die Systeme bieten Zugangskontrollen für Personen und Fahrzeuge — an Arbeitsplätzen, Parkhäusern, Schulen und Baustellen. Laut Techcrunch nutzt das Unternehmen die Daten auch zur Anwesenheitsüberwachung von Mitarbeitern für Gehaltsabrechnungszwecke. Cloud-basierte Kennzeichenscanner ermöglichen Parkhausbetreibern die automatisierte Gebührenerhebung ohne Personal vor Ort.

    Auf der eigenen Webseite behauptete Xinai, die Daten seien „sicher auf Unternehmensservern” abgelegt. Die Realität sah anders aus.

    Ungeschützte Datenbank auf Alibaba-Server

    Der IT-Sicherheitsforscher Anurag Sen entdeckte die ungeschützte Datenbank auf einem von Alibaba gehosteten Server in China. Die Datenbank wuchs täglich und enthielt zum Zeitpunkt der Entdeckung mehrere hundert Millionen Datensätze mit vollständigen URLs zu Bilddateien auf Xinai-Domains. Weder die Datenbank noch die Bilddateien waren passwortgeschützt.

    Konkret enthielt die Datenbank:

    • Hochauflösende Gesichtsfotos — Bauarbeiter beim Betreten von Baustellen, Bürobesucher beim Einchecken
    • Personenbezogene Daten — Name, Alter, Geschlecht, Einwohner-ID-Nummern
    • Fahrzeugkennzeichen — erfasst durch Kameras in Parkhäusern, Einfahrten und Büroeingängen

    Erpresser waren schneller als der Hersteller

    Sen war nicht der Einzige, der die Datenbank fand. In einer undatierten Lösegeldforderung behauptete ein Erpresser, den Inhalt gestohlen zu haben, und forderte einige hundert Dollar in Kryptowährung für die Wiederherstellung. Die angegebene Blockchain-Adresse erhielt laut Techcrunch keine Zahlungen. Ob tatsächlich Daten entwendet oder gelöscht wurden, blieb unklar.

    Mitte August 2022 verschwand die Datenbank aus dem Netz — ob durch Xinai selbst oder den Hoster, ist nicht bekannt.

    Chinas Datenschutzgesetz: Theorie und Praxis

    Seit dem 1. November 2021 gilt in China das Personal Information Protection Law (PIPL) — das erste umfassende Datenschutzgesetz des Landes. Es sieht vor, dass Unternehmen vor der Erhebung personenbezogener Daten die Einwilligung der Betroffenen einholen müssen. Staatliche Stellen sind davon allerdings ausgenommen.

    Der Xinai-Vorfall reiht sich in eine Serie massiver Datenlecks in China ein. Im Juli 2022 wurde bekannt, dass die Shanghaier Polizei rund eine Milliarde Datensätze verloren hatte — einer der größten bekannten Datenabflüsse weltweit. Die Durchsetzung des Datenschutzgesetzes bleibt offensichtlich weit hinter dem Anspruch zurück.

    Einordnung: Was dieser Fall für europäische Unternehmen bedeutet

    Der Fall Xinai illustriert ein Problem, das nicht auf China beschränkt ist: Biometrische Daten in Cloud-Systemen ohne angemessene Zugriffskontrollen. Auch in Europa setzen Unternehmen zunehmend auf Gesichtserkennung für Zutrittskontrollen, Zeiterfassung und Besuchermanagement. Die DSGVO stellt biometrische Daten unter besonderen Schutz (Art. 9) — aber technischer Schutz muss der rechtlichen Einordnung folgen.

    Drei Lehren aus dem Xinai-Vorfall:

    • Cloud-Datenbanken mit biometrischen Daten brauchen Zugriffsbeschränkungen, Verschlüsselung und Monitoring — nicht nur ein Versprechen auf der Unternehmenswebseite
    • Drittanbieter-Risiko: Wer Zutrittskontrollen an externe Dienstleister auslagert, muss deren Datenhaltung prüfen — nicht nur deren Funktionalität
    • Datenminimierung: 800 Millionen Datensätze in einer einzigen, wachsenden Datenbank ohne Aufbewahrungsfrist ist ein Designfehler, kein Feature

Keine weiteren News.

Keine weiteren News.

Sicherheitslücken schließen. Risiken senken. Jetzt handeln!

Unsere Experten zeigen Ihnen live, wie wir Angriffe erkennen, stoppen und Ihr Unternehmen schützen.

Blog

Aktuelle Sicherheitsereignisse