Phishing-Kit

Ein Phishing-Kit ist ein vorgefertigtes Paket aus Dateien und Skripten — kleinen Programmen, die eine bestimmte Aufgabe automatisch ausführen —, das alles enthält, was man braucht, um eine gefälschte Website zu betreiben. Diese Website sieht täuschend echt aus: Sie imitiert zum Beispiel die Anmeldeseite einer Bank, eines E-Mail-Anbieters oder eines Online-Shops. Wer dort seinen Benutzernamen und sein Passwort eingibt, schickt diese Daten direkt an die Angreifer. Der entscheidende Punkt ist, dass das Kit fertig gebaut ist. Man kauft es im Darknet — einem Teil des Internets, der mit normalen Browsern nicht erreichbar ist — und richtet es auf einem gemieteten Server ein, oft in wenigen Minuten.

Phishing als Massenware

Früher musste jemand, der eine Phishing-Seite betreiben wollte, selbst programmieren können. Phishing-Kits haben das geändert. Sie senken die technische Einstiegshürde so weit, dass praktisch jeder zum Angreifer werden kann. Das ist der Grund, warum Phishing heute eine der häufigsten Formen von Internetkriminalität ist.

Gleichzeitig gibt es einen eigenen Markt um die Kits herum. Manche Entwickler verkaufen sie einmalig, andere vermieten sie im Abonnement — ein Geschäftsmodell, das an legitime Software erinnert. Einige Kits enthalten sogar eine Hintertür: Der ursprüngliche Entwickler bekommt automatisch eine Kopie jeder gestohlenen Zugangsdaten, ohne dass der Käufer des Kits es merkt.

Aufbau und Arbeitsweise eines Kits

Ein typisches Phishing-Kit besteht aus drei Teilen. Der erste Teil ist die gefälschte Webseite selbst: HTML-Dateien und Bilder, die das Aussehen einer echten Seite nachbauen, oft einfach aus dem Original herauskopiert. Der zweite Teil ist ein Skript, das die eingegebenen Daten abfängt und an eine E-Mail-Adresse oder einen Telegram-Kanal der Angreifer weiterleitet. Der dritte Teil sind Hilfsdateien, die Sicherheitsmechanismen umgehen sollen — zum Beispiel Filter, die bekannte Phishing-Seiten blockieren.

Modernere Kits gehen noch weiter. Sie können sogenannte Echtzeit-Angriffe durchführen: Wenn das Opfer seine Zugangsdaten eingibt, loggt das Kit sich damit sofort beim echten Dienst ein und fängt auch den zweiten Sicherheitscode ab — also die Zahl, die per SMS geschickt wird. Damit umgeht es die Zwei-Faktor-Authentifizierung, einen Schutzmechanismus, der eigentlich genau solche Angriffe verhindern soll.

Die fertige gefälschte Seite braucht schließlich eine glaubwürdige Adresse. Angreifer registrieren deshalb Domains, die der echten ähneln — etwa « paypa1.com » statt « paypal.com » —, und versenden dann Massen-E-Mails, die Nutzer auf diese Seite locken.

Phishing-Kits in Medien, Sicherheitsberichten und Alltag

Sicherheitsforscher entdecken regelmäßig neue Kits und analysieren sie öffentlich. Unternehmen wie Google, Microsoft oder Cloudflare veröffentlichen jährlich Berichte, in denen sie die am häufigsten missbrauchten Marken auflisten — ganz oben stehen fast immer große Banken, Paketdienste und Streaming-Anbieter, weil sie besonders viele Nutzer haben und damit besonders lohnende Ziele sind.

Im Alltag begegnet man den Ergebnissen solcher Kits, auch wenn man den Begriff selbst nicht kennt: die vermeintliche DHL-SMS mit einem Paket-Link, die gefälschte Netflix-Mail wegen einer angeblich abgelaufenen Zahlung oder die täuschend echte Sparkassen-Seite, auf die eine Suchanzeige führt. All das sind häufig keine selbst gebauten Angriffe, sondern Kits von der Stange.

Für die IT-Sicherheitsbranche sind Phishing-Kits auch ein Forschungsgegenstand: Weil jedes Kit bestimmte Muster hinterlässt — zum Beispiel charakteristische Dateinamen oder Code-Strukturen —, können Analysten damit verschiedene Angriffswellen ein und demselben Entwickler zuordnen, ähnlich wie ein Kriminalist eine Handschrift erkennt.