Ghost Phishing umgeht klassische E-Mail-Sicherheit: Neue Gefahr für Unternehmen in Europa und den USA

Kurzfassung

Eine neue Phishing-Kampagne setzt auf eine Technik, bei der die schädliche Zielseite zunächst unsichtbar bleibt und erst im Browser des Opfers aktiv wird. Dadurch können klassische Prüfmechanismen, die vor allem URLs und bekannte Muster bewerten, ins Leere laufen. Für Unternehmen in Deutschland, Österreich und der Schweiz ist das besonders relevant, weil solche Angriffe auf Microsoft-365-Umgebungen, Zugangsdaten und geschäftskritische Daten abzielen können.

Die Methode zeigt, dass E-Mail-Sicherheit nicht mehr nur am Posteingang endet. Entscheidend wird zunehmend, was im Browser nach dem Klick passiert. Für Security-Teams bedeutet das: Schutzmaßnahmen müssen stärker auf Verhaltensanalyse, Identitätsabsicherung und schnelle Reaktion ausgerichtet werden.

Was ist passiert?

Im Umfeld einer aktuellen Kampagne gegen Unternehmen in den USA und Europa wurde eine Phishing-Variante beobachtet, bei der die eigentliche Angriffsseite zunächst verborgen bleibt. Erst wenn sie im Browser des Opfers entschlüsselt oder aktiviert wird, entfaltet sie ihre Wirkung. Diese Vorgehensweise wird häufig als „Ghost Phishing“ beschrieben, weil der schädliche Inhalt für vorgelagerte Sicherheitsprüfungen kaum sichtbar ist.

Der Kern des Problems: Viele Schutzsysteme bewerten E-Mails und Links anhand von Reputation, URL-Scans oder statischen Merkmalen. Wenn die eigentliche Angriffslogik jedoch erst clientseitig im Browser entsteht, kann der Angriff an diesen Kontrollen vorbeikommen. Das erhöht die Erfolgswahrscheinlichkeit insbesondere dann, wenn Nutzerinnen und Nutzer in kurzer Zeit zur Anmeldung oder Freigabe von Daten bewegt werden.

Technische Details

Nach den vorliegenden Informationen liegt die Schwäche dieser Angriffstechnik darin, dass die gefährliche Komponente nicht unmittelbar beim E-Mail-Eingang sichtbar ist. Stattdessen wird die Seite so vorbereitet, dass sie erst im Browser des Zielsystems aktiv wird. Für Sicherheitslösungen, die nur den Link selbst oder die Ziel-URL prüfen, entsteht damit ein Blind Spot.

Technisch ist das aus Sicht der Angreifer attraktiv, weil sie mehrere Ebenen der Erkennung umgehen können: statische Filter, einfache Sandbox-Analysen und URL-Blocklisten. Sobald die Seite im Browser geladen wird, können dynamische Inhalte, Weiterleitungen oder nachgeladene Elemente die eigentliche Phishing-Funktion auslösen. Für Verteidiger ist das schwierig, weil die Bedrohung erst im Endpunkt und im Nutzerkontext sichtbar wird.

Besonders problematisch ist, dass solche Kampagnen nicht nur auf den Diebstahl von Zugangsdaten abzielen, sondern auch auf den Zugriff auf Cloud-Dienste und sensible Unternehmensinformationen. In Microsoft-365-Umgebungen kann ein kompromittiertes Konto schnell zu weiteren Angriffsschritten führen, etwa zur Ausweitung des Zugriffs, zum Abgreifen interner Kommunikation oder zur Vorbereitung weiterer Betrugsversuche.

Wer ist betroffen?

Im Fokus stehen laut Quellenlage Unternehmen in den USA und Europa. Für den DACH-Raum ist das Risiko hoch, weil Microsoft 365 in vielen Organisationen geschäftskritisch eingesetzt wird und Phishing weiterhin zu den häufigsten Einstiegsvektoren für Angriffe zählt. Besonders gefährdet sind Unternehmen mit hohem E-Mail-Aufkommen, dezentralen Teams und schwach abgesicherten Identitäten.

Privatpersonen sind bei dieser Angriffswelle nach aktuellem Stand weniger im Zentrum, dennoch bleibt das Grundrisiko bestehen: Wer Phishing-Mails erhält und Anmeldedaten in gefälschte Portale eingibt, kann Konten verlieren oder Folgeangriffe auslösen. Im Consumer-Umfeld ist die Relevanz vor allem dann hoch, wenn dieselben E-Mail-Adressen auch für berufliche oder finanzielle Dienste verwendet werden.

Empfohlene Maßnahmen

Unternehmen sollten ihre Schutzstrategie nicht allein auf URL-Filter und Spam-Erkennung stützen. Sinnvoll sind mehrschichtige Kontrollen, die auch das Verhalten im Browser und die Identität der Nutzer berücksichtigen. Dazu gehören unter anderem:

Mehrfaktor-Authentifizierung für alle kritischen Konten, idealerweise phishing-resistent
Conditional Access und Risikobewertungen für ungewöhnliche Anmeldeversuche
Browser- und Endpunktschutz mit Verhaltensanalyse statt rein statischer Link-Prüfung
Schulung der Mitarbeitenden zu Anmeldeaufforderungen, Dringlichkeit und ungewöhnlichen Login-Seiten
Monitoring auf verdächtige OAuth-Zustimmungen, Weiterleitungen und neue Sitzungen
Schnelle Incident-Response-Prozesse für kompromittierte Konten

Für Privatpersonen gilt: Keine Zugangsdaten über Links aus E-Mails eingeben, sondern Dienste direkt über bekannte Adressen aufrufen. Wer eine unerwartete Aufforderung zur Anmeldung erhält, sollte besonders bei Cloud- und Mailkonten skeptisch sein. Zusätzlich hilft es, Passwörter einzigartig zu halten und einen Passwortmanager zu nutzen.

Einschätzung von CyberSecurity-News.de

Die Relevanz dieser Entwicklung ist hoch. Ghost Phishing zeigt, dass klassische E-Mail-Sicherheitsmodelle an ihre Grenzen kommen, wenn Angriffe erst im Browser sichtbar werden. Für Unternehmen im DACH-Raum ist das vor allem deshalb kritisch, weil die Kombination aus Cloud-Nutzung, Identitätsfokus und hoher Abhängigkeit von E-Mail-Kommunikation einen erfolgreichen Angriff schnell in einen größeren Sicherheitsvorfall verwandeln kann.

Praxisnah betrachtet ist das kein rein theoretisches Problem: Schon der Verlust eines einzelnen Accounts kann ausreichen, um interne Kommunikation mitzulesen, weitere Phishing-Mails aus dem Unternehmen zu versenden oder den Zugang zu sensiblen Dokumenten zu öffnen. Besonders Organisationen ohne starke Identitätskontrollen und ohne saubere Reaktionsprozesse sollten ihre Abwehr jetzt überprüfen.

Unsere Bewertung: mittel bis hoch. Nicht jede Organisation wird unmittelbar betroffen sein, doch die Technik ist ein klares Signal dafür, dass sich Phishing weiter professionalisiert und klassische Schutzmechanismen allein nicht mehr ausreichen.

Fazit

Ghost Phishing ist ein gutes Beispiel dafür, wie sich Angriffe an die Schutzmechanismen moderner Unternehmen anpassen. Wenn die schädliche Seite erst im Browser aktiv wird, reichen reine URL-Checks und einfache E-Mail-Filter oft nicht aus. Unternehmen sollten deshalb Identität, Endpunkt und Nutzerverhalten gemeinsam absichern.

Für den DACH-Raum lautet die wichtigste Lehre: Phishing muss als Identitäts- und Zugriffsrisiko behandelt werden, nicht nur als E-Mail-Problem. Wer hier nachrüstet, reduziert das Risiko eines erfolgreichen Angriffs deutlich.