Das Bundeskriminalamt und die Zentralstelle zur Bekämpfung der Internetkriminalität der Generalstaatsanwaltschaft Frankfurt haben gemeinsam mit US-amerikanischen Strafverfolgungsbehörden die zentrale Infrastruktur des Phishing-Dienstes Kratos zerschlagen. Im Zuge der "Operation Olympus Blade" wurden mehr als 200 Server abgeschaltet und die Plattform vollständig vom Netz genommen. Indonesische Behörden nahmen zudem den mutmaßlichen Entwickler und technischen Administrator des Dienstes fest.

Kratos stellte Cyberkriminellen einen weitgehend einsatzbereiten Baukasten für Phishing-Kampagnen zur Verfügung. Mehr als 1800 Abonnenten sollen den Dienst gemietet und damit monatlich rund 15.000 Kampagnen betrieben haben. Nach Angaben von TrendAI konnte jede einzelne davon Tausende Empfänger erreichen. Die Aktivitäten erstreckten sich auf mehr als 30 Länder, vor allem in Europa und den USA. Das BKA geht davon aus, dass durch die Abschaltung weitere Angriffe auf Hunderttausende potenzielle Opfer verhindert wurden. Seit 2024 soll die Gruppierung mit ihrem Angebot mehr als 300.000 Euro eingenommen haben.

Proxy fängt Sitzungstoken ab

Kratos war nach Erkenntnissen des Sicherheitsanbieters TrendAI eine Weiterentwicklung des seit Oktober 2024 aktiven Phishing-Kits Sneaky2FA. Dieses nutzte das sogenannte Adversary-in-the-Middle-Verfahren, kurz AiTM. Dabei landet das Opfer nicht direkt beim echten Microsoft-Anmeldedienst, sondern zunächst auf einem von den Angreifern kontrollierten Proxy-Server. Dieser bildet die legitime Anmeldeseite nach und leitet die eingegebenen Daten in Echtzeit an Microsoft weiter.

Fordert Microsoft anschließend einen zweiten Faktor an, zeigt auch die Phishing-Seite die entsprechende Abfrage an. Gibt das Opfer beispielsweise einen Einmalcode ein oder bestätigt eine Push-Anfrage, leitet der Proxy-Server auch diese Information weiter. Nach erfolgreicher Anmeldung erhält er das von Microsoft ausgestellte Sitzungstoken beziehungsweise Sitzungscookie und kann damit die authentifizierte Sitzung übernehmen.

Die Angreifer benötigen den zweiten Faktor anschließend nicht erneut. Damit richten sich AiTM-Verfahren insbesondere gegen verbreitete MFA-Methoden wie SMS-Codes, zeitbasierte Einmalpasswörter und Push-Bestätigungen. Phishingresistente Verfahren wie FIDO2-Sicherheitsschlüssel, Windows Hello for Business und Passkeys sind besser geschützt, da ihre kryptografische Anmeldung an die tatsächliche Domain gebunden ist.

Phishing als Mietdienst

Zum Angebot von Kratos gehörten neben den nachgebauten Anmeldeseiten auch Phishing-Domains und Mechanismen, die automatisierte Analysen erschweren sollten. TrendAI nennt unter anderem Antibot-Prüfungen über Cloudflare Turnstile. Im November 2025 ergänzten die Betreiber sogenannte Browser-in-the-Browser-Fenster. Dabei erscheint innerhalb einer Webseite ein täuschend echt nachgebautes Anmeldefenster einschließlich einer vermeintlichen Adresszeile. Dadurch kann selbst die Kontrolle der im Fenster angezeigten URL ins Leere laufen.

Verkauft wurde der Dienst im Abonnement über Telegram. Die Kunden mussten das eigentliche Phishing-Kit nicht selbst entwickeln und konnten auf eine gepflegte Infrastruktur mit regelmäßig aktualisierten Funktionen zurückgreifen. Das Geschäftsmodell senkte die technischen Einstiegshürden und ermöglichte auch weniger versierten Tätern Kampagnen in großer Stückzahl. Die Verteilung der Phishing-Nachrichten selbst gehörte nach bisherigem Kenntnisstand allerdings nicht zum Dienst.

TrendAI beobachtete Sneaky2FA und dessen Entwicklung zu Kratos nach eigenen Angaben seit Dezember 2024. Seit 2025 stellte das Unternehmen dem BKA unter anderem technische Merkmale zur Identifikation der Infrastruktur, Erkenntnisse zu Phishing-Servern und Verwaltungsoberflächen sowie Analysen zu Betreibern und Betroffenen bereit.

Sitzungen konsequent widerrufen

Die Abschaltung dürfte zahlreiche laufende Kampagnen unterbrochen haben. Das grundsätzliche Geschäftsmodell Phishing-as-a-Service besteht jedoch weiter. Bereits im März 2026 gingen Behörden und Sicherheitsunternehmen gegen den vergleichbaren Dienst Tycoon 2FA vor. Der auf Security Awareness spezialisierte Anbieter MetaCompliance verweist daher neben technischen Schutzmaßnahmen weiterhin auf regelmäßige Schulungen und realistische Phishing-Simulationen.

Unternehmen sollten darüber hinaus phishingresistente Anmeldeverfahren zumindest für privilegierte und besonders gefährdete Konten durchsetzen. Ebenso wichtig sind die Überwachung auffälliger Anmeldungen und die schnelle Reaktion auf mögliche Kontenübernahmen. Bei einem Verdacht reicht es nicht aus, lediglich das Passwort zurückzusetzen: Administratoren müssen auch aktive Sitzungen und Token widerrufen, neu registrierte MFA-Verfahren kontrollieren und verdächtige Postfachregeln entfernen.