Auf den Punkt: Die Zerschlagung von Kratos unterbricht eine PhaaS-Operation, dürfte aber die Phishing-Aktivität insgesamt nur kurzfristig reduzieren, da die Kundenbasis und Konkurrenzprodukte bestehen bleiben.
Deutsche Strafverfolgungsbehörden haben in einer internationalen Operation die Infrastruktur der Phishing-as-a-Service-Gruppe Kratos beschlagnahmt und einen technischen Administrator in Indonesien verhaftet. Sicherheitsexperten warnen jedoch, dass dies nur eine vorübergehende Störung in einem wuchernden PhaaS-Markt darstellt.
An der Aktion gegen Kratos waren Behörden aus Deutschland, den USA, Indonesien und weiteren Ländern beteiligt. Deutsche Behörden erklärten, dass die Kratos-Infrastruktur „vollständig deaktiviert“ wurde und Phishing-Kampagnen, die von Kratos unterstützt werden, „nicht länger durchgeführt werden können“. Die Operation führte zur Beschlagnahme von über 200 Servern und endete mit der Verhaftung eines namenlosen Kratos-Entwicklers und technischen Administrators.
Frank Dickson von IDC weist jedoch auf die strukturellen Schwachstellen solcher Einsätze hin: Die Beschlagnahme von Infrastruktur und eine einzelne Verhaftung entfernen zwar die Technik, nicht aber das Wissen dahinter. Kratos hatte etwa 1.800 Kunden. Diese Kundenbase ist nicht verschwunden, sondern hat lediglich einen Anbieter in einem Markt verloren, in dem Ersatz schnell verfügbar ist. PhaaS-Kits werden routinemäßig geklont, abgewandelt und weiterverkauft. Dickson vergleicht dies mit der Bekämpfung von Schädlingen: „Für jeden Ungeziefer, das man tötet, gibt es hundert, die man nicht sieht.“
Noah Kenney von Digital 520 sieht sogar noch geringere Auswirkungen. Anders als bei der Zerschlagung von Botnets oder Ransomware-Operationen waren die Angreifer nie Teil von Kratos selbst – Kratos war nur ein Anbieter. Die 1.800 Kunden verfügen weiterhin über ihre Zielisten, Versandinfrastruktur und bereits etablierte Zugriffe. Die Werkzeuge sind offline, aber die Akteure bleiben aktiv und suchen nach Ersatzlösungen, die bereits existieren.
Zusätzliche Komplexität ergibt sich aus der Nomenklatur: Verschiedene Sicherheitsfirmen bezeichnen die Kratos-Kits unterschiedlich (Microsoft nennt es „SneakyLog“, andere „Sneaky 2FA“). Diese Uneinigkeit resultiert aus der kontinuierlichen Umbenennung und dem Weiterverkauf – nicht aus seltenen Ereignissen wie Razzien. Kratos spezialisierte sich auf „Adversary-in-the-Middle“-Angriffe und generierte täuschend echt wirkende Microsoft-365-Anmeldeseiten, die Session-Token harvesten und mehrstufige Authentifizierung umgehen. Diese Technik war zentral für viele Business-Email-Compromise-Attacken der letzten zwei Jahre.
Sicherheitsforscher bezeichnen die Operation als „symbolisch“. Die softwarebasierte Natur der Infrastruktur ermöglicht schnelle Wiederaufbau- und Replikationsprozesse – modernes Development und Deployment brauchen dafür nur Tage bis wenige Wochen. Die Nachfrage wird sich wahrscheinlich zu konkurrierenden Anbietern verschieben und das Ökosystem kann sich erholen. Der größte Wert für Behörden liegt in den Informationen, die aus den beschlagnahmten Servern gewonnen werden – besonders die Kundenlisten könnten für weitere Ermittlungen wertvoll sein.
Quelle: www.csoonline.com · Erschienen 23. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.