Spiderman-Phishing-Kit greift deutsche Bankkunden an

Eine neue, hochgefährliche Phishing-Welle rollt über die Feiertage auf Kunden der Commerzbank zu. Im Kern steht ein automatisiertes Angriffswerkzeug namens “Spiderman”, das die Schwelle für Cyberkriminalität dramatisch senkt.

Während die Verbraucherzentrale bereits am 23. Dezember vor Betrugsmails zur angeblichen photoTAN-Reaktivierung warnte, zeigt die aktuelle Analyse: Es handelt sich nicht um einen Einzelfall, sondern um eine koordinierte Offensive. Das “Spiderman”-Kit ermöglicht es Kriminellen mit geringem technischem Wissen, täuschend echte Login-Seiten der Bank zu erstellen und sensible Daten in Echtzeit abzufangen. Die Angriffe zielen gezielt auf europäische Finanzinstitute, darunter auch Deutsche Bank und ING.

Das “Spiderman”-Kit, das Sicherheitsforscher Anfang Dezember identifizierten, markiert eine gefährliche Entwicklung. Es handelt sich um eine vollautomatisierte Dienstleistung für Betrüger.

Echtzeit-Abfangen von TANs

Die größte Gefahr liegt in der Echtzeit-Interaktion. Gibt ein Opfer seine Zugangsdaten auf der gefälschten Seite ein, werden diese sofort an den Angreifer weitergeleitet. Dieser löst dann einen echten Login-Versuch auf dem originalen Bankportal aus. Das Opfer erhält daraufhin eine Push-Benachrichtigung in seiner echten Banking-App und bestätigt die Transaktion – im Glauben, einer legitimen Aufforderung der Bank zu folgen.

Echtzeit-Phishing wie das “Spiderman”-Kit greift genau dort an, wo klassische Sicherheitswarnungen versagen: direkt bei der TAN‑Bestätigung. Für Unternehmen und Sicherheitsverantwortliche ist jetzt schnelles, strukturiertes Handeln gefragt. Das kostenlose Anti‑Phishing‑Paket erklärt in einer klaren 4‑Schritte-Anleitung, welche technischen Lücken und psychologischen Tricks Täter ausnutzen – plus sofort umsetzbare Maßnahmen zur Prävention und Checklisten für Mitarbeiterschulungen. Jetzt das kostenlose Anti‑Phishing‑Paket herunterladen

Täuschend echte Fälschungen

Das Kit generiert mit einem Klick “pixelgenaue” Kopien der Commerzbank-Website. Selbst erfahrene Nutzer können die Fälschung kaum vom Original unterscheiden. Verbreitet wird die Software über private Signal-Gruppen, von denen einige bereits über 750 Mitglieder zählen – ein Nährboden für die rasante Ausbreitung der Attacken.

Das Muster der aktuellen Betrugswelle

Die aktuellen Mails, die den Phishing-Radar der Verbraucherzentrale auslösen, nutzen klassische Social-Engineering-Tricks. Der Betreff lautet oft “Wichtige Aktualisierung Ihrer photoTAN-App” oder “photoTAN Gerät reaktivieren heute”.

• Erzeugte Dringlichkeit: Die Nachricht behauptet, die photoTAN-Funktion sei deaktiviert oder laufe in 24 Stunden ab, wenn nicht sofort gehandelt wird.
• Gefälschter Link: Ein Button “Erneuerung starten” führt auf die perfekt nachgebaute “Spiderman”-Landingpage.
• Generische Ansprache: Trotz professionellen Layouts bleibt die Anrede oft unpersönlich (“Sehr geehrte Kundin, sehr geehrter Kunde”) – ein wichtiges Warnsignal.

Die Timing der Kampagne kurz vor Weihnachten war wohl kalkuliert: Geringere Personalbesetzung in den Banken und abgelenkte Kunden während der Feiertage erhöhen die Erfolgschancen der Betrüger.

So schützen Sie sich vor den Angriffen

Angesichts der technischen Raffinesse reicht es nicht mehr, nur auf das Schloss-Symbol oder das Design einer Website zu achten. Experten raten zu folgenden konkreten Maßnahmen:

1. Nie auf Links klicken: Seriöse Banken fordern Kunden niemals per E-Mail oder SMS auf, Sicherheitsverfahren über einen Link zu aktualisieren.
2. Über die App prüfen: Bei einer Warnung zur photoTAN schließen Sie die Mail und öffnen Sie die offizielle Commerzbank-App direkt, um Nachrichten im Postfach zu prüfen.
3. URL manuell eingeben: Tippen Sie www.commerzbank.de stets selbst in die Adressleiste des Browsers ein.
4. Verdächtiges melden: Leiten Sie betrügerische Mails an pishing-radar@verbraucherzentrale.de oder das Sicherheitsteam der Bank weiter.

Die Demokratisierung der Cyberkriminalität

Die einfache Bedienbarkeit von Kits wie “Spiderman” bedeutet eine Demokratisierung der Cyberkriminalität. Angriffe, die früher hochspezialisierten Gruppen vorbehalten waren, können nun von einfachen Betrügern ausgeführt werden. Marktbeobachter erwarten, dass Banken die Einführung von FIDO2-Hardware-Keys und Passkeys beschleunigen müssen, um diesen Echtzeit-Angriffen zu begegnen.

Bis dahin gilt für alle Bankkunden: Bei unaufgeforderten Nachrichten zur Kontosicherheit ist äußerste Skepsis geboten. Jede Aufforderung muss über offizielle, unabhängige Kanäle verifiziert werden.

PS: Sie möchten Ihre Organisation und Mitarbeiter besser vor Phishing‑Wellen wie “Spiderman” schützen? Das Anti‑Phishing‑Paket bietet praxisnahe Vorlagen für Mitarbeiterschulungen, branchenspezifische Risikoanalysen (Finanzsektor inklusive) und sofort einsetzbare Checklisten zur Melde- und Reaktionskette. Ideal für Sicherheitsbeauftragte, IT‑Teams und Führungskräfte, die schnelle Abwehrmaßnahmen brauchen. Kostenlosen Anti‑Phishing‑Guide anfordern