Smartphone-Sicherheit: iMessage und RCS werden zur Phishing-Falle

Seit Ende Mai 2026 nutzen Hacker verstärkt Apples iMessage und den Rich Communication Services (RCS) für ihre Phishing-Kampagnen. Das Problem: Weil die Kanäle Ende-zu-Ende-verschlüsselt sind, greifen die Sicherheitsfilter der Netzbetreiber nicht mehr.

Banking, PayPal oder WhatsApp – auf dem Smartphone speichern wir heute unsere sensibelsten Daten, während Kriminelle immer raffiniertere Wege nutzen, um diese auszuspähen. Dieser kostenlose Ratgeber zeigt Ihnen in 5 einfachen Schritten, wie Sie Ihr Android-Gerät wirksam gegen Hacker und Datenmissbrauch absichern. 5 sofort umsetzbare Schutzmaßnahmen entdecken

Angreifer umgehen klassische SMS-Filter

Der Wechsel von SMS zu IP-basierten Diensten öffnet Angreifern neue Türen. Während Telekommunikationsanbieter jahrelang Filtersysteme für SMS aufbauten, bleiben verschlüsselte Kanäle ein blinder Fleck. Seit dem 26. Mai beobachten Sicherheitsforscher verstärkt Echtzeit-Kontoübernahmen über diese Wege.

Die klassische SMS stirbt ohnehin aus. In Deutschland sank das Volumen 2025 auf 2,9 Milliarden Nachrichten – 2012 waren es noch 60 Milliarden. Parallel steigen alternative Betrugsformen. Beim sogenannten „Quishing“ – Phishing via QR-Codes – verzeichnen Experten einen Anstieg um 150 Prozent auf 18 Millionen Fälle weltweit.

Täglich werden rund 3,4 Milliarden schädliche Nachrichten über mobile Kanäle versendet. Die Klickraten bei Smishing-Angriffen liegen neunmal höher als bei herkömmlichen E-Mails.

Ein aktuelles Beispiel: Ende Mai identifizierten Sicherheitsexperten eine Betrugsmasche bei Hotelbuchungen. Täter geben sich als Hotelmitarbeiter aus und kontaktieren Opfer über WhatsApp. Unter dem Vorwand eines Abbuchungsfehlers locken sie Nutzer auf gefälschte Online-Banking-Seiten. Die Angriffe basieren oft auf echten Buchungsdaten aus vorangegangenen Datenlecks.

Phishing-as-a-Service untergräbt MFA

Das FBI warnt vor der Plattform „Kali365“ – einem Phishing-as-a-Service-Dienst (PhaaS), der seit April 2026 aktiv ist. Der Dienst umgeht Multi-Faktor-Authentifizierungen (MFA), indem er den OAuth-2.0-Gerätecode-Fluss missbraucht. Vertrieben wird Kali365 über Telegram, die Preise liegen zwischen 230 Euro für einen Monat und 1.850 Euro für ein Jahr.

Die Täter greifen damit hunderte Organisationen in Nordamerika und Europa an – Schwerpunkte sind Fertigung, Gesundheitswesen und Bildung. 34 Designvorlagen in 14 Sprachen erstellen täuschend echte Anmeldeseiten für Dienste wie Microsoft 365. Öffnet ein Nutzer den manipulierten Link auf dem Smartphone, extrahieren die Angreifer Authentifizierungs-Token und übernehmen Unternehmenskonten.

Identitätsbasierte Angriffe nahmen laut Branchenberichten um 32 Prozent zu. Die Industrie setzt daher verstärkt auf phishing-resistente Methoden wie FIDO2-Passkeys. Weltweit sollen bereits rund 5 Milliarden solcher Passkeys aktiv sein.

Angesichts von Millionen gehackter Konten pro Quartal wird die herkömmliche Anmeldung mit Passwort zum massiven Sicherheitsrisiko. Erfahren Sie in diesem kostenlosen Experten-Report, wie Sie mit der neuen Passkey-Technologie Ihre Konten bei Amazon, WhatsApp und Co. endlich unknackbar machen. Kostenlosen Passkey-Ratgeber jetzt anfordern

Banking-Trojaner auf dem Vormarsch

Die Zahl der Banking-Trojaner explodiert. Im ersten Quartal 2026 stiegen die dokumentierten Fälle um 196 Prozent auf 1,24 Millionen. Der Mamont-Trojaner ist dabei besonders dominant – er verursacht schätzungsweise 70 Prozent aller Angriffe auf Android-Geräte.

Die Kampagne „Trapdoor“ zeigt das Ausmaß: Angreifer platzierten 455 getarnte Apps im Google Play Store. Diese wurden 24 Millionen Mal heruntergeladen und generierten bis zu 480 Millionen betrügerische Werbeauktionen pro Tag, bevor Google sie entfernte.

Auch die Technik der Malware entwickelt sich weiter. Sicherheitsgruppen meldeten den ersten KI-generierten Zero-Day-Exploit. Eine künstliche Intelligenz identifizierte eine Logiklücke in einem Server-Administrations-Tool und erstellte eigenständig ein Skript zur Umgehung der Zwei-Faktor-Authentifizierung.

Parallel verbreitet sich die Malware „PROMPTSPY“, die PIN-Codes und Entsperrmuster auf dem Endgerät ausspäht. Bleibt die Schwachstelle CVE-2026-25262 im Qualcomm BootROM – sie lässt sich laut Berichten nicht per Software-Patch beheben.

Rechtsstreit um Verschlüsselung

Die technische Debatte wird von rechtlichen Konflikten begleitet. Am 23. Mai deckten Sicherheitsforscher auf, dass WhatsApp bestimmte Chat-Datenbanken auf Apple-Geräten unverschlüsselt speichert. Diese seien innerhalb des App-Group-Containers für andere Meta-Anwendungen zugänglich.

Bereits am 21. Mai reichte der Bundesstaat Texas Klage gegen Meta ein. Der Vorwurf: Das Unternehmen habe Nutzer über die vollständige Sicherheit ihrer Kommunikation getäuscht. Meta wies die Vorwürfe zurück.

Behörden reagieren mit internationalen Operationen. Bei der Interpol-Aktion „FRONTIER+ III“ wurden mehr als 3.000 Verdächtige festgenommen und Vermögenswerte in Höhe von 752 Millionen US-Dollar eingefroren.

Apple gab an, im Jahr 2025 Betrugsschäden von 2,2 Milliarden US-Dollar durch präventive Maßnahmen verhindert zu haben. Mit dem Update iOS 26.4.1 aktivierte der Konzern am 24. Mai einen automatischen Diebstahlschutz – an unbekannten Orten erzwingt er eine Sicherheitsverzögerung von einer Stunde.

KI als Schutzschild

Die Branche blickt auf die Entwicklerkonferenz WWDC Anfang Juni. Apple wird dort iOS 27 vorstellen. Erwartet wird, dass generative KI eine zentrale Rolle bei der Absicherung spielt – tiefe Integrationen sollen betrügerische Kommunikationsmuster direkt auf dem Gerät erkennen.

Der regulatorische Druck der EU durch den Digital Markets Act (DMA) zwingt die Industrie zu mehr Flexibilität. Google stellt den Versand von SMS-Zwei-Faktor-Codes ein. WhatsApp führt Nutzernamen und Inkognito-Modi ein.

Für Unternehmen gilt die dringendste Empfehlung: den „Device Code Flow“ in Cloud-Umgebungen blockieren. So schützen sie sich gegen automatisierte Phishing-Dienste wie Kali365. Ob die neuen KI-Abwehrsysteme mit der Entwicklung der automatisierten Angreifer mithalten können, werden die kommenden Monate zeigen.

de | wissenschaft | 69420677 |