Cyberangriffe: Neue Phishing-Welle überlistet selbst Profis

Die Abwehr steht unter Druck: Eine neue Generation von Cyberangriffen verbindet Schadsoftware mit ausgeklügelter Psychologie – und macht selbst Sicherheitsexperten das Leben schwer. Die Taktik der Angreifer hat sich fundamental gewandelt: Erst infiltrieren sie Unternehmenssysteme und stehlen echte Kundendaten, dann nutzen sie diese Informationen für täuschend echte Phishing-Attacken über vertrauenswürdige Accounts.

Was diese Angriffe so gefährlich macht? Sie kommen nicht mehr als plumpe Betrugsversuche daher, sondern als perfekte Kopien legitimer Kommunikation. Besonders betroffen: die Hotelbranche. Doch auch mobile Endgeräte geraten zunehmend ins Visier. Die Botschaft ist klar: Traditionelle Wachsamkeit reicht längst nicht mehr aus.

Hotels im Fadenkreuz: Wenn echte Daten zur Waffe werden

Die Angriffskette beginnt harmlos. Eine E-Mail erreicht das Hotel, scheinbar eine gewöhnliche Kundenanfrage über eine Buchungsplattform. Doch was folgt, ist raffiniert: Die Nachricht fordert Mitarbeiter auf, einen vermeintlichen CAPTCHA-Test zu absolvieren – durch Kopieren und Ausführen eines PowerShell-Befehls.

Ein fataler Fehler, wie das französische Sicherheitsunternehmen Sekoia vergangene Woche berichtete. Der Befehl installiert PureRAT, einen Remote-Access-Trojaner, der den Angreifern Vollzugriff auf das Hotelsystem verschafft. Was dann geschieht, ist die eigentliche Bedrohung: Die Kriminellen zapfen die Reservierungssysteme an und kopieren sensible Kundendaten – Namen, Kontaktinformationen, Buchungsdetails.

Apropos Smartphone- und App-Sicherheit – viele Nutzer übersehen grundlegende Schutzmaßnahmen, durch die sich Schadsoftware wie Trojaner oder gefälschte Apps Zugang verschaffen. Ein kostenloses Sicherheitspaket erklärt die 5 wichtigsten Maßnahmen für Android-Geräte, von Berechtigungsprüfung bis zu sicheren Einstellungen für Banking-Apps, mit leicht verständlichen Schritt-für-Schritt-Anleitungen. Gratis-Ratgeber: 5 Schutzmaßnahmen für Ihr Android herunterladen

Stufe zwei des Angriffs ist noch perfider. Mit den gestohlenen Informationen ausgestattet, kontaktieren die Täter nun die Hotelgäste direkt. Die E-Mails stammen scheinbar vom Hotel selbst oder von Booking.com – denn sie werden über die kompromittierten, legitimen Accounts verschickt. Der Inhalt: Eine dringende Zahlungskorrektur sei erforderlich. Weil die Nachrichten echte Buchungsdetails enthalten, fällt kaum ein Opfer den Betrug.

Mobile Malware: Wenn Hilfs-Funktionen zum Einfallstor werden

Die Bedrohung beschränkt sich längst nicht auf Desktop-Systeme. Android-Geräte werden zum bevorzugten Ziel einer neuen Malware-Generation, die fundamentale Betriebssystem-Funktionen missbraucht.

Der neueste Trojaner tarnt sich als News-App oder digitale Ausweisanwendung. Die eigentliche Gefahr lauert in einer scheinbar harmlosen Anfrage: Zugriff auf die Bedienungshilfen von Android. Diese Funktion, eigentlich für Menschen mit Einschränkungen gedacht, wird zur Universalwaffe. Sie erlaubt der Schadsoftware, Bildschirminhalte zu lesen, Schaltflächen zu betätigen und Formulare auszufüllen – komplett ohne Wissen des Nutzers.

Die Masche ist simpel und effektiv: Sobald das Opfer seine Banking-App öffnet, legt die Malware gefälschte Login-Masken über die echte Oberfläche. Die eingegebenen Zugangsdaten landen direkt bei den Angreifern. Um die Entdeckung zu verzögern, unterdrückt der Trojaner systematisch alle Benachrichtigungen und Töne.

Eine verwandte Malware-Familie namens HyperRat geht noch einen Schritt weiter: Sie fordert bei der Installation eine erschreckende Anzahl an Geräteberechtigungen an – und erhält sie oft, weil die Apps über gefälschte Websites beworben werden, die Vertrauen suggerieren.

KI-Hype und Job-Suche: Die neuen Köder

Cyberkriminelle haben ein feines Gespür für Zeitgeist. In einer Warnung vom 6. November 2025 machte Googles Trust & Safety-Team auf eine besorgniserregende Entwicklung aufmerksam: Die Zahl gefälschter KI-Services explodiert.

Die Täter erstellen täuschend echte Websites und Apps, die kostenlosen oder exklusiven Zugang zu begehrten KI-Tools versprechen. Über manipulierte Werbung und gekaperte Social-Media-Konten locken sie ihre Opfer an. Das Ergebnis: Malware-Downloads oder gestohlene Login-Daten auf Phishing-Seiten.

Parallel dazu florieren betrügerische Job-Angebote. Mit detailgetreuen Kopien offizieller Karriereseiten und gefälschten Recruiter-Profilen imitieren Betrüger bekannte Unternehmen. Die Kampagnen zielen auf Arbeitssuchende, die über Phishing-Mails und irreführende Anzeigen angesprochen werden.

Besonders perfide? Die Bewerbungsgespräche. Opfer laden vermeintliche Interview-Software herunter, die sich als Remote-Access-Trojaner oder Info-Stealer entpuppt. Nutzen Bewerber dabei ihre Firmengeräte, öffnen sie den Angreifern Tür und Tor ins Unternehmensnetzwerk.

Strategiewechsel: Geduld zahlt sich aus

Was bedeutet diese Entwicklung konkret? Einen fundamentalen Wandel in der Angreifer-Strategie. Statt auf schnelle Beutezüge setzen Kriminelle zunehmend auf mehrstufige Kompromittierungen.

Der erste Einbruch dient nicht dem sofortigen Gewinn, sondern sammelt Munition für die nächste Angriffswelle. Mit PureRAT infiltrierte Unternehmen liefern einen Schatz an Daten, der nachfolgende Phishing-Kampagnen exponentiell effektiver macht. Die traditionelle Verteidigungslinie bricht zusammen: Wenn die Phishing-Mail vom vertrauenswürdigen Geschäftspartner kommt und verifizierbare Informationen enthält – wie soll man da noch unterscheiden?

Noch heimtückischer wird es, wenn Angreifer die kompromittierten E-Mail-Server eines Unternehmens nutzen, um dessen Partner und Mitarbeiter anzugreifen. Die US-Cybersecurity-Behörde CISA listet Phishing weiterhin als primäre Eintrittsmethode für komplexe Angriffsketten.

Zero Trust: Die einzige Antwort auf die Bedrohung

Wie geht es weiter? Die Verschmelzung von Phishing, Malware und Social Engineering wird sich beschleunigen. Besonders Unternehmen mit wertvollen Kundendaten – Hotels, Einzelhandel, Dienstleister – müssen sich darauf einstellen, dass sie nicht das Endziel, sondern der Brückenkopf zum Kunden sind.

Der Missbrauch legitimer Gerätefunktionen wie Androids Bedienungshilfen dürfte zunehmen. Nutzer müssen App-Berechtigungen kritischer hinterfragen als je zuvor.

Die Komplexität moderner Angriffe erfordert mehrschichtige Sicherheitskonzepte. Ein einzelner Verteidigungspunkt reicht nicht mehr. Unternehmen brauchen fortgeschrittene E-Mail-Filter, Endpoint Detection and Response (EDR) gegen Malware und kontinuierliche Mitarbeiterschulungen.

Für Verbraucher gilt: Zero Trust – selbst bei scheinbar legitimen Nachrichten. Zahlungsaufforderungen oder Kontoprobleme sollten niemals über Links in E-Mails bearbeitet werden. Stattdessen: Website direkt aufrufen oder die offizielle App nutzen. Misstrauen wird zur wertvollsten Währung im digitalen Zeitalter.

PS: Sie möchten Ihr Android-Gerät jetzt praktisch absichern? Holen Sie sich das kostenlose Sicherheitspaket mit den 5 wichtigsten Schutzmaßnahmen – inklusive Checklisten, einfachen Anleitungen und Tipps, wie Sie gefälschte Apps und Berechtigungsfallen erkennen. Jetzt das Android-Sicherheits-Paket gratis anfordern