INTERPOL zerschlägt Sniper Dz: Schlag gegen Phishing-as-a-Service mit 201 Festnahmen

Kurzfassung

Eine von INTERPOL koordinierte internationale Aktion hat die mutmaßliche Phishing-as-a-Service-Plattform Sniper Dz erheblich gestört. Nach Angaben der berichtenden Sicherheitsforscher war der Dienst über viele Jahre aktiv. Im Rahmen der als Operation Ramz bezeichneten Maßnahme kam es zwischen Oktober 2025 und Februar 2026 in mehreren Staaten der MENA-Region zu insgesamt 201 Festnahmen. Unter den Festgenommenen soll sich auch ein zentraler Administrator der Plattform befinden.

Für deutsche Unternehmen ist der Vorgang trotz des regionalen Schwerpunkts relevant: Phishing-as-a-Service senkt die Einstiegshürden für Cyberkriminelle deutlich und ermöglicht breit angelegte Kampagnen gegen Unternehmen weltweit. Die Zerschlagung einzelner Infrastrukturen ist daher ein wichtiges Signal, beseitigt das Grundproblem aber nicht dauerhaft.

Was ist passiert?

Nach den vorliegenden Informationen wurde Sniper Dz im Rahmen einer länderübergreifenden Strafverfolgungsoperation ins Visier genommen. Die Aktion wurde von INTERPOL geführt und durch Behörden aus insgesamt 13 Ländern im Nahen Osten und Nordafrika unterstützt. Ziel war offenbar die Störung einer über lange Zeit betriebenen Plattform, die Phishing-Werkzeuge und zugehörige Dienste bereitgestellt haben soll.

Besonders bemerkenswert ist die Zahl der Festnahmen. Mit 201 Verhaftungen deutet der Einsatz darauf hin, dass nicht nur einzelne Betreiber, sondern ein breiteres Ökosystem aus Administratoren, Unterstützern oder mutmaßlichen Nutzern adressiert wurde. Laut den verfügbaren Angaben wurde auch eine Person identifiziert und festgenommen, die als wesentlicher Administrator von Sniper Dz beschrieben wird.

Solche Maßnahmen sind aus Sicht der Verteidigung bedeutsam, weil sie operative Infrastrukturen, Vertriebswege und Vertrauensbeziehungen innerhalb krimineller Plattformen unterbrechen können. Erfahrungsgemäß entstehen in diesem Umfeld jedoch häufig Nachfolgeangebote oder Ausweichstrukturen.

Technische Details

Sniper Dz wird als Phishing-as-a-Service-Plattform eingeordnet. Dieses Modell funktioniert ähnlich wie ein krimineller Online-Dienst: Betreiber stellen Werkzeuge, Vorlagen, Hosting-nahe Funktionen oder Verwaltungsoberflächen bereit, sodass auch weniger technisch versierte Täter Phishing-Kampagnen durchführen können. Dadurch skaliert die Bedrohung erheblich.

Die Quelle nennt Sniper Dz als über etwa ein Jahrzehnt aktive Plattform. Konkrete technische Einzelheiten zu eingesetzten Kits, Zielmarken, Authentifizierungsumgehungen oder unterstützten Kampagnentypen liegen in den verfügbaren Informationen nicht im Detail vor. Deshalb ist bei der Einordnung Vorsicht geboten. Allgemein gilt jedoch: PhaaS-Angebote beschleunigen die Erstellung überzeugender Login-Seiten, die Verteilung von Ködernachrichten und die Auswertung abgegriffener Zugangsdaten.

Für Unternehmen ist vor allem relevant, dass moderne Phishing-Dienste häufig nicht mehr nur einfache Passwortdiebstähle unterstützen. In der Praxis zielen entsprechende Kampagnen oft auf geschäftliche E-Mail-Konten, Cloud-Zugänge, VPN-Accounts oder Identitäten mit privilegierten Rechten. Damit steigt das Risiko für nachgelagerte Angriffe wie Kontoübernahmen, Business-E-Mail-Compromise oder Datenabfluss.

Wer ist betroffen?

Unmittelbar betroffen sind Organisationen und Privatpersonen, deren Zugangsdaten über Phishing-Kampagnen abgegriffen werden sollten oder bereits kompromittiert wurden. Da PhaaS-Plattformen typischerweise international genutzt werden, ist eine geografische Begrenzung des Risikos kaum anzunehmen. Auch deutsche Unternehmen können daher Ziel solcher Dienste sein, selbst wenn die Strafverfolgung in einer anderen Region erfolgt.

Besonders gefährdet sind Unternehmen mit starker Cloud-Nutzung, verteilten Belegschaften und vielen externen Identitäten, etwa in Microsoft-365-, Google-Workspace- oder vergleichbaren SaaS-Umgebungen. Ebenfalls kritisch sind Organisationen mit schwacher MFA-Durchdringung, unzureichender E-Mail-Authentifizierung oder fehlender Überwachung von Anmeldeanomalien.

Für den Mittelstand in Deutschland ist die Relevanz hoch, weil Phishing-as-a-Service Angriffe professionalisiert und verbilligt. Dadurch steigt die Wahrscheinlichkeit, dass auch kleinere und mittlere Unternehmen in automatisierte oder opportunistische Kampagnen geraten.

Empfohlene Maßnahmen

Unternehmen sollten den Vorfall zum Anlass nehmen, ihre Schutzmaßnahmen gegen identitätsbasierte Angriffe zu überprüfen. Priorität haben technische Kontrollen, die den Missbrauch gestohlener Zugangsdaten erschweren oder frühzeitig erkennbar machen.

Empfehlenswert sind insbesondere:

Phishing-resistente Multi-Faktor-Authentifizierung einführen, wo möglich etwa mit FIDO2 oder passkey-basierten Verfahren.
Conditional Access und risikobasierte Anmelderichtlinien für Cloud-Dienste aktivieren.
E-Mail-Schutzmechanismen wie SPF, DKIM und DMARC konsequent umsetzen und überwachen.
Login- und Identitätsereignisse zentral protokollieren, um ungewöhnliche Anmeldestandorte, Token-Missbrauch oder MFA-Auffälligkeiten zu erkennen.
Sicherheitsbewusstsein gezielt trainieren, insbesondere für gefälschte Login-Seiten, dringliche Zahlungsaufforderungen und Konto-Warnmeldungen.
Privilegierte Konten trennen, minimieren und besonders absichern.
Incident-Response-Pläne für kompromittierte Benutzerkonten vorbereiten, inklusive Passwort-Reset, Session-Invalidierung und forensischer Prüfung.

Falls bereits verdächtige Phishing-Vorfälle aufgetreten sind, sollten Unternehmen prüfen, ob Zugangsdaten, Sitzungs-Cookies oder OAuth-Freigaben missbraucht wurden. Gerade bei Cloud-Konten reicht ein bloßer Passwortwechsel nicht immer aus.

Einschätzung von CyberSecurity-News.de

Die Operation ist ein sichtbarer Erfolg internationaler Zusammenarbeit gegen cyberkriminelle Dienstleistungsmodelle. Dass eine mutmaßlich langjährig aktive Plattform gestört und ein größerer Personenkreis festgenommen wurde, ist ein wichtiges Signal an Betreiber und Nutzer ähnlicher Angebote.

Aus Verteidigersicht sollte die Wirkung dennoch realistisch bewertet werden. Die Abschaltung oder Störung einzelner PhaaS-Strukturen reduziert kurzfristig die Angriffsfläche, beseitigt aber nicht die Nachfrage nach Phishing-Werkzeugen. In der Regel verlagern sich Akteure auf alternative Plattformen, geschlossene Kanäle oder neue Marken. Die strategische Relevanz liegt daher weniger in einem dauerhaften Ende des Problems als in der Erhöhung von Kosten, Risiko und Unsicherheit für Täter.

Für deutsche Unternehmen ergibt sich daraus eine klare Botschaft: Strafverfolgung ist wichtig, ersetzt aber keine eigene Resilienz. Wer Identitäten, E-Mail-Sicherheit und Reaktionsfähigkeit nicht verbessert, bleibt auch nach erfolgreichen Polizeiaktionen verwundbar.

Fazit

Der Schlag gegen Sniper Dz zeigt, dass internationale Behörden koordinierte Maßnahmen gegen Phishing-as-a-Service umsetzen können. Die hohe Zahl an Festnahmen unterstreicht die Bedeutung des Falls. Für Unternehmen in Deutschland ist das Ereignis vor allem deshalb relevant, weil PhaaS die Eintrittsbarrieren für Phishing massiv senkt und Angriffe global skaliert.

Die wichtigste Lehre lautet: Schutz vor Phishing darf nicht bei Awareness enden. Entscheidend sind belastbare Identitätsschutzmaßnahmen, saubere E-Mail-Authentifizierung, gute Sichtbarkeit auf Anmeldeereignisse und klar vorbereitete Reaktionsprozesse. Nur so lässt sich das Risiko aus professionell organisierten Phishing-Ökosystemen wirksam begrenzen.