Cyber-Kriminalität
Strafverfolgungsbehörden schalten den Phishing-Dienst „Kratos“ aus
Das BKA und die ZIT haben haben in Zusammenarbeit mit US-Behörden die „Phishing-as-a-Service“-Plattform (PhaaS) Kratos außer Gefecht gesetzt. TrendAI lieferte dafür seit 2025 Threat Intelligence, Infrastruktur-Fingerprinting sowie Analysen zu den Tätern.
Save to Folio
Wichtigste Erkenntnisse
- Kratos, die Phishing-as-a-Service-Plattform (PhaaS), ist für einen Großteil der jüngsten Diebstähle von Microsoft-365-Anmeldedaten verantwortlich und wurde vom BKA und dem ZIT (in Zusammenarbeit mit US-Behörden) im Rahmen einer Operation namens „Olympus Blade“ zerschlagen.
- Über 1.800 kriminelle Abonnenten hatten sich Zugang zu Kratos gemietet und nutzten die Plattform, um schätzungsweise 15.000 Phishing-Kampagnen pro Monat durchzuführen. Mehr als 200 Server wurden abgeschaltet, und die Zahl der Opfer in über 30 Ländern – vor allem in Europa und den Vereinigten Staaten – beläuft sich seit Ende 2024 auf mehrere Hunderttausend.
- TrendAI™ unterstützte die Ermittlungen durch die Bereitstellung von Bedrohungsinformationen, Infrastruktur-Fingerprinting, Opferprofilierung und der Analyse der hinter Kratos stehenden Akteure.
Am 20. Juli 2026 haben das Bundeskriminalamt (BKA) und die in Frankfurt ansässige Zentralstelle zur Bekämpfung der Internetkriminalität (ZIT) in Zusammenarbeit mit US-Behörden die zentrale Infrastruktur hinter Kratos außer Gefecht gesetzt. Die „Phishing-as-a-Service“-Plattform (PhaaS) wurde für groß angelegten Diebstahl von Microsoft-365-Anmeldedaten genutzt. Indonesische Behörden nahmen zudem den Entwickler und den technischen Administrator des Dienstes fest. Die Behörden schalteten mehr als 200 Server ab und nahmen die Infrastruktur der Plattform vollständig offline.
Über 1.800 kriminelle Abonnenten hatten sich Zugang zu „Kratos“ erkauft und nutzten die Service-Plattform, um schätzungsweise 15.000 Phishing-Kampagnen pro Monat durchzuführen, von denen jede Tausende von Empfängern erreichen konnte. Die Opfer stammten aus mehr als 30 Ländern (vor allem aus Europa und den Vereinigten Staaten), und die Gesamtzahl der Opfer seit Ende 2024 geht in die Hunderttausende. Nach Angaben von BKA und ZIT hatte die Gruppe seit 2024 mehr als 300.000 Euro (ca. 342.000 USD) eingenommen.
Kratos ist nicht neu. Das Kit ist die direkte Weiterentwicklung von Sneaky2FA, einem „Adversary-in-the-Middle“ (AiTM)-Phishing-Kit, das seit Oktober 2024 auf Microsoft 365-Konten abzielt. Sneaky2FA leitete aktive Authentifizierungssitzungen zwischen einem Opfer und den echten Anmeldeservern von Microsoft weiter, sodass der Betreiber sowohl Anmeldedaten als auch Sitzungs-Token beim Durchlaufen abfangen konnte. Damit wurde die MFA umgangen, anstatt nur ein Passwort zu erbeuten.
Das Kit wurde über ein Telegram-basiertes Abonnementmodell verkauft und bot Partnern einen schlüsselfertigen Service. Inbegriffen waren Phishing-Domains und Anti-Bot-Prüfungen (darunter Cloudflare Turnstile). Im November 2025 wurden „Browser-in-the-Browser“-Anmeldefenster (BitB) hinzugefügt, die überzeugend genug waren, um Nutzer zu täuschen, die darauf geschult waren, die Adressleiste zu überprüfen.
Dieses Geschäftsmodell – das Vermieten des Kits und die Übertragung der Kampagnenausführung an Dritte – ermöglichte es auch weniger erfahrenen Betreibern, das von BKA und ZIT beschriebene Ausmaß bei Angriffen zu erreichen.
Aktionen gegen Kratos
TrendAI™ verfolgt Sneaky2FA und dessen Weiterentwicklung zu Kratos seit Dezember 2024 und tauscht seit 2025 Informationen mit der BKA aus. In diesem Zeitraum stellten wir Methoden zur Identifizierung der Kratos-Infrastruktur und zur Erkennung von Phishing-Panels bereit, zusammen mit Beobachtungen zur Opferprofilanalyse und regelmäßigen Infrastruktur-Updates.
Im März 2025 beobachteten wir einen Telegram-Kanal, der für das „Phishing-as-a-Service“-Angebot von Kratos warb. Weitere Untersuchungen ließen darauf schließen, dass Kratos wahrscheinlich eine Umbenennung von Sneaky2FA ist. Wir führten eine eingehende Untersuchung der Betreiber und Komplizen durch und teilten unsere Erkenntnisse dem BKA mit.
Bei dieser Aktion lief dasselbe Kooperationsmodell, das bereits im März 2026 zur Zerschlagung von Tycoon 2FA beigetragen hatte. Auch da hatten wir im Vorfeld durch kontinuierliche Überwachung gesammelte Bedrohungsinformationen an Europol weitergeleitet. Die kontinuierliche Verfolgung der Infrastruktur eines Kits und ihrer generationsbedingten Veränderungen im Laufe der Zeit ermöglicht es, den Strafverfolgungsbehörden handfeste Informationen zu liefern, auf deren Grundlage sie handeln können – und nicht nur eine Momentaufnahme.
Fazit
Eine Plattform mit dieser Reichweite in einer einzigen koordinierten Aktion offline zu nehmen und gleichzeitig ihre Entwickler festzunehmen, ist ein bedeutendes Ergebnis. Carsten Meywirth, Leiter der Abteilung für Cyberkriminalität beim BKA, bezeichnete dies als bahnbrechende Leistung und als klares Signal an andere Cyberakteure.
Wie bei vielen anderen Maßnahmen zur Bekämpfung der Cyberkriminalität resultieren die besten Ergebnisse aus der Zusammenarbeit zwischen Strafverfolgungsbehörden und der privaten Sicherheitsbranche. TrendAI™ ist stolz darauf, ein langjähriges und aktives Mitglied dieser Gemeinschaft zu sein und dazu beizutragen, die Welt für den Austausch digitaler Informationen sicherer zu machen.