Was die Anrufer tatsächlich taten

Googles eigenes Threat-Intelligence-Team identifizierte eine Vishing-Kampagne von vier verwandten Gruppen, die es unter den Namen Falcon, Helix, Pink und Redact führt und die nach Einschätzung von Google unter einem gemeinsamen Dach namens UNC6671 agieren könnten. TechCrunch berichtete über die Ergebnisse am 6. August 2026.

Die Methode war im Kern direkt und wenig technisch: Die Angreifer riefen Mitarbeiter auf deren privaten Mobiltelefonen an, nicht auf der Diensttelefonnummer, und gaben sich entweder als Kollege oder als Mitglied des internen IT-Helpdesks aus. Die Opfer wurden zu einer Website geleitet, die dem echten Login-Portal ihres Arbeitgebers täuschend ähnlich sah, und gaben dort Benutzername, Passwort und den Code aus ihrer MFA-App ein.

Genau dieser letzte Schritt zählt. Die gefälschte Seite leitete Zugangsdaten und MFA-Code in Echtzeit an den Angreifer weiter, sodass dieser sich innerhalb desselben Zeitfensters, in dem der Code noch gültig war, im echten System anmelden konnte - eine Technik, die als Echtzeit-MFA-Relay oder Phishing-in-the-Middle bekannt ist. Die Kampagne lief über die ersten Monate 2026. Wallets der Gruppen erhielten in diesem Zeitraum rund 10 Millionen Dollar in Bitcoin, und auf eine Kompromittierung folgte in der Regel eine Erpressungsforderung zwischen 750.000 und 3 Millionen Dollar.

Warum Private Equity und kein Händler mit Kundendatenbank

Die in der Berichterstattung genannten Organisationen sind Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody's und TPG. Das ist keine zufällige Auswahl großer Unternehmen, sondern eine Liste großer US-amerikanischer Finanz- und Private-Equity-Häuser, ausgewählt nach einer Logik, die es wert ist, klar benannt zu werden.

Die meisten Berichte über Datenschutzverletzungen gehen davon aus, dass Angreifer Masse wollen: eine Datenbank mit Millionen Kundendatensätzen zum Verkauf oder für Erpressung. Private-Equity- und Vermögensverwaltungsfirmen besitzen davon vergleichsweise wenig. Was sie stattdessen besitzen, ist konzentrierte Befugnis - eine kleine Zahl von Mitarbeitern, oft eine Handvoll je Firma, die eine Überweisung freigeben, eine Transaktion gegenzeichnen oder eine erhebliche Summe ohne zweite Unterschrift bewegen können. Genau diese Konzentration war das eigentliche Ziel der Angreifer.

Das ist eine andere Logik der Zielauswahl, als sie die meisten Berichte über Sicherheitsvorfälle unterstellen, und sie erklärt, warum ein Telefonanruf und keine an Tausende Postfächer verschickte Phishing-Mail das richtige Werkzeug war. Man muss keine Datenbank kompromittieren, wenn die Kompromittierung von drei oder vier bestimmten Personen schneller und leiser zum gleichen Ergebnis führt.

Warum der Anruf Ihre gesamte Sicherheitsarchitektur aussticht

Multi-Faktor-Authentifizierung, Single Sign-on, Endpoint-Detection und E-Mail-Filter sind alle so gebaut, dass sie sich zwischen eine schädliche Datei, einen Link oder einen Anmeldeversuch und Ihre Systeme schieben. Keines davon steht zwischen einem Menschen und einem Telefonanruf. Ein Anruf, der sich als Kollege oder IT-Helpdesk ausgibt, berührt diese gesamte Infrastruktur gar nicht - er geht direkt an die eine Komponente, die kein Software-Update patchen kann: einen Menschen unter leichtem Druck, der helfen möchte.

Das erklärt auch, warum der in Echtzeit gestohlene MFA-Code schwerer wog als das Passwort. Ein gestohlenes Passwort allein ist gegen eine gut konfigurierte MFA meist wertlos. Passwort und live weitergeleiteter MFA-Code innerhalb derselben Sitzung hebeln diesen Schutz dagegen vollständig aus, denn aus Sicht des Systems sieht die Anmeldung genauso aus wie die des echten Mitarbeiters mit seinem eigenen zweiten Faktor, nur Sekunden versetzt.

Die Lösung ist ein Protokoll, kein Produkt

Es gibt kein Produkt zu kaufen, das diese Lücke schließt, weil die Lücke nicht technischer Natur ist. Jede Organisation, in der eine kleine Zahl von Mitarbeitern große Finanztransaktionen freigeben kann - was auf die meisten Private-Equity-, Vermögensverwaltungs- und Treasury-Funktionen zutrifft, aber auch auf viele gewöhnliche mittelständische Unternehmen -, sollte ein Verifizierungsprotokoll außerhalb des ursprünglichen Kanals einrichten und tatsächlich einsüben, für jeden unerwarteten Anruf von der IT oder einem Kollegen, der nach Zugangsdaten, einem MFA-Code oder dringendem Handeln fragt.

Das Protokoll selbst ist einfach: auflegen und unter einer bekannten internen Nummer zurückrufen, die man selbst nachgeschlagen hat, nicht unter einer, die während des Anrufs genannt wurde. Niemals ein Passwort oder einen MFA-Code über einen Link eingeben, der während eines Anrufs übermittelt wurde, wie überzeugend die Seite auch aussieht. Dringlichkeit selbst sollte als Warnsignal gelten - echter IT-Support braucht selten in den nächsten zwei Minuten einen laut vorgelesenen Zugangscode.

Die Lehre reicht weit über den Finanzsektor hinaus. Jedes Unternehmen in der EU oder im Vereinigten Königreich mit einer kleinen Zahl besonders befugter Personen - Freigeber im Finanzwesen, IT-Administratoren, Führungskräfte mit Überweisungsvollmacht - entspricht demselben Zielprofil, von dem die Angreifer ausgingen. In Deutschland und der übrigen EU sollten Unternehmen, die bereits unter DORA oder die Meldepflichten nach NIS2 fallen, eine erfolgreiche Vishing-Kompromittierung genau als jene Art von Vorfall behandeln, den diese Regelwerke zu erkennen und zu melden verlangen.

Weiterlesen: KI wählte den Exploit, CISA setzt 2 Tage Frist  |  Wechseln Sie jeden CI-Schlüssel vom 4. August