Phishing-as-a-Service
Phishing-as-a-Service bezeichnet fertige Betrugsbaukästen, die Kriminelle im Internet mieten, um damit gefälschte Log-in-Seiten zu betreiben und Passwörter abzugreifen. Die Technik wird dabei wie ein normaler Software-Dienst verkauft – inklusive Abo, Support und Bedienoberfläche.
Beim Phishing versuchen Betrüger, an fremde Zugangsdaten zu kommen. Sie schicken eine E-Mail, die aussieht wie von der Bank, und verlinken auf eine nachgebaute Anmeldeseite. Wer dort seinen Benutzernamen und sein Passwort eintippt, schickt beides direkt an die Täter. Früher musste man solche gefälschten Seiten selbst programmieren. Heute kann man sie mieten: Anbieter stellen fertige Baukästen bereit, gegen eine monatliche Gebühr. Genau dieses Geschäftsmodell heißt Phishing-as-a-Service.
Warum Betrug plötzlich kein Programmierwissen mehr braucht
Die entscheidende Veränderung ist nicht technischer, sondern wirtschaftlicher Natur. Wer früher eine überzeugende Fälschung der Sparkassen-Seite bauen wollte, brauchte Kenntnisse in Webentwicklung, einen Server und eine Möglichkeit, Massenmails zu verschicken. Jede dieser Hürden hat viele potenzielle Täter abgehalten. Ein Mietbaukasten räumt alle drei auf einmal weg.
Sicherheitsforscher nennen das eine Senkung der Einstiegshürde. Die Folge ist messbar: Die Zahl der gemeldeten Phishing-Seiten liegt weltweit im Bereich von über einer Million pro Quartal. Ein großer Teil davon stammt aus wenigen bekannten Baukästen. Man erkennt sie daran, dass tausende Seiten denselben Aufbau und dieselben Fehler im Quelltext haben.
Für Unternehmen verschiebt das die Bedrohungslage. Man verteidigt sich nicht mehr gegen einzelne geschickte Angreifer, sondern gegen eine Industrie mit Arbeitsteilung. Die einen entwickeln die Software, die anderen benutzen sie. Wer den Entwickler ausschaltet, legt gleichzeitig hunderte Kunden lahm – deshalb konzentrieren sich Ermittlungen zunehmend auf die Anbieter.
Was in so einem Mietbaukasten steckt
Ein typisches Paket enthält vier Bestandteile. Erstens Vorlagen für gefälschte Seiten, oft für hunderte bekannte Marken. Zweitens ein Versandsystem für die Köder-Mails. Drittens Server, auf denen die Fälschungen laufen. Viertens eine Übersichtsseite, auf der der Mieter die erbeuteten Daten sortiert einsehen kann.
Technisch besonders relevant ist ein Trick gegen die Zwei-Faktor-Anmeldung. Damit ist gemeint, dass man neben dem Passwort noch einen Code aus einer App eingeben muss. Moderne Baukästen arbeiten deshalb als Zwischenstation: Sie leiten jede Eingabe des Opfers in Echtzeit an die echte Bankseite weiter und schicken deren Antwort zurück. Das Opfer sieht die echte Seite, bemerkt nichts – und die Täter greifen dabei nicht nur das Passwort ab, sondern auch die fertige Anmeldesitzung.
Die Anbieter selbst treten auf wie normale Software-Firmen. Es gibt Preisstufen, Rabatte für längere Laufzeiten und einen Support-Kanal bei technischen Problemen. Manche werben sogar mit Updates, wenn eine Bank ihr Design ändert. Verkauft wird das über geschlossene Foren und Chatgruppen, nicht über die offen zugängliche Suchmaschine.
Woran man die Masche im Posteingang erkennt
Im Alltag begegnet einem das Ergebnis, nicht der Baukasten. Typisch sind SMS über ein angeblich festhängendes Paket, Mails über eine gesperrte Streaming-Zahlung oder Nachrichten von der eigenen Schule oder Firma. Der wichtigste Prüfpunkt bleibt die Adresse im Browser: Sie muss exakt zur echten Domain gehören, nicht nur ähnlich aussehen. Ein Schlosssymbol allein sagt nichts, denn auch Betrugsseiten haben Verschlüsselung.
Ein verbreiteter Irrtum ist, dass Zwei-Faktor-Anmeldung automatisch schützt. Gegen einfache Fälschungen hilft sie, gegen die beschriebenen Echtzeit-Baukästen nur bedingt. Deutlich sicherer sind Verfahren, die an die konkrete Internetadresse gebunden sind – etwa Passkeys oder Hardware-Sicherheitsschlüssel. Sie verweigern die Freigabe, wenn die Adresse nicht stimmt.
In Wirtschaftsnachrichten taucht der Begriff meist im Zusammenhang mit Razzien oder Quartalsberichten von Sicherheitsfirmen auf. Bekannte Namen solcher Dienste waren etwa LabHost oder 16shop, beide wurden von Ermittlern abgeschaltet. Der Begriff ist außerdem Teil einer größeren Entwicklung: Auch Erpressungssoftware wird inzwischen als Ransomware-as-a-Service vermietet. Kriminalität kopiert damit schlicht das Abo-Modell der legalen Softwarebranche.