Phishing
KnowBe4 beobachtet starken Anstieg von Phishing-Angriffen über .vu-Domains
Phishing-Angreifer entdecken .vu-Domains als neue Infrastruktur
Phishing-Infrastrukturen sind ständig in Bewegung. Sobald bestimmte Domains, Hosting-Anbieter oder Angriffsmuster zuverlässig erkannt und blockiert werden, suchen Cyberkriminelle nach neuen Schlupflöchern. Aktuelle Analysen der KnowBe4 Threat Labs zeigen nun einen deutlichen Trend: Die länderspezifische Top-Level-Domain .vu des pazifischen Inselstaates Vanuatu entwickelt sich zunehmend zu einer neuen Heimat für Phishing-Seiten.
Warum Vanuatu für Cyberkriminelle zunehmend attraktiv wird und weshalb klassische Blocklisten allein nicht mehr ausreichen, erklärt Dr. Martin J. Krämer, CISO Advisor bei KnowBe4 .
Von russischen Domains nach Vanuatu
Damit eine Phishing-Kampagne funktioniert, benötigen Angreifer in der Regel eine gefälschte Website, über die sich Zugangsdaten, persönliche Informationen oder Bankdaten abgreifen lassen. Wird eine solche Seite entdeckt, versuchen Sicherheitsanbieter und betroffene Unternehmen häufig, über Hosting-Provider oder Domain-Registrare einen möglichst schnellen Takedown zu erreichen.
Genau deshalb spielten russische Domains lange Zeit eine wichtige Rolle innerhalb der Phishing-Infrastruktur. Dort waren entsprechende Abschaltungen oftmals schwieriger durchzusetzen.
Zwischen Ende 2024 und Anfang 2025 registrierten die KnowBe4 Threat Labs einen Anstieg von Phishing-Kampagnen mit .ru-Domains um 98 Prozent. Sicherheitsplattformen reagierten darauf und stuften entsprechende Domains zunehmend als riskant ein oder blockierten sie vollständig. Für Cyberkriminelle erhöhte sich damit der Druck, auf weniger auffällige Alternativen auszuweichen. Eine solche Alternative scheint inzwischen gefunden: .vu.
159 Prozent mehr Phishing-Seiten mit .vu
Zwischen April und Juli 2026 beobachteten die KnowBe4 Threat Labs einen Anstieg bösartiger .vu-Phishing-Seiten um 159,6 Prozent. Insgesamt wurden 1.660 eindeutig bösartige Domains identifiziert, die mit mehr als 28 Millionen schädlichen E-Mails in Verbindung standen.
Das Kalkül der Angreifer ist nachvollziehbar: Während etablierte Phishing-Domains inzwischen schnell Aufmerksamkeit erzeugen, fliegt .vu bei vielen Sicherheitsmechanismen bislang noch unter dem Radar.
Viele Reputation-Systeme bewerten Top-Level-Domains unter anderem anhand ihrer bisherigen Aktivität. Da .vu in der Vergangenheit vergleichsweise wenig genutzt wurde und kaum als relevante Phishing-Infrastruktur aufgefallen war, fehlen teilweise entsprechende Risikosignale.
Eine frisch registrierte Domain ohne auffällige Historie kann dadurch zunächst vertrauenswürdig erscheinen – selbst wenn sie bereits kurz darauf für Angriffe eingesetzt wird. Automatisch ausgestellte TLS-Zertifikate können diesen legitimen Eindruck zusätzlich verstärken.
Hinzu kommen vergleichsweise niedrige Einstiegshürden: .vu-Domains können ohne Wohnsitzbeschränkung registriert werden, während WHOIS-Datenschutz die Identität der Betreiber verschleiern kann.
Angriffe verstecken sich hinter legitimen Absendern
Besonders problematisch ist die technische Trennung zwischen Versand- und Phishing-Infrastruktur.
Nach Angaben der KnowBe4 Threat Labs befinden sich 99,9 Prozent der bösartigen .vu-Einträge ausschließlich in Links innerhalb des E-Mail-Textes. Die Domains, über die die Nachrichten selbst versendet werden, können dagegen vollkommen unauffällig sein.
Klassische Filtermechanismen, die vor allem die Reputation des Absenders analysieren, greifen damit zu kurz.
Die Angreifer versuchen außerdem gezielt, bestehende Schutzmechanismen zu umgehen. Die Analyse deutet unter anderem auf Kampagnen hin, die auf die Umgehung von Multi-Faktor-Authentifizierung ausgerichtet sind. Lange Firmennamen und komplex aufgebaute Subdomains sollen zusätzlich Marken- und URL-Filter täuschen. 20 Tage reichen für Millionen Phishing-Mails
Die Infrastruktur muss dabei nicht dauerhaft bestehen.
Im Durchschnitt bleiben die beobachteten Phishing-Domains lediglich rund 20 Tage aktiv. Für Cyberkriminelle kann dieses Zeitfenster jedoch vollkommen ausreichend sein, um Millionen Nachrichten zu verschicken.
Als Köder dienen beispielsweise vermeintliche Rechnungen, Dokumentenbenachrichtigungen oder Hinweise zu Benutzerkonten. Entscheidend ist deshalb weniger die langfristige Lebensdauer einer Domain als die Geschwindigkeit, mit der eine Kampagne skaliert werden kann.
Genau hier zeigt sich eine Schwäche rein reaktiver Sicherheitsmodelle: Wird eine Domain erst dann blockiert, wenn ausreichend Reputation und Bedrohungsdaten vorhanden sind, kann ein erheblicher Teil der Kampagne bereits abgeschlossen sein.
Blocklisten allein reichen nicht mehr aus
Für Sicherheitsverantwortliche bedeutet die Entwicklung, dass die Reputation einzelner Top-Level-Domains nicht isoliert betrachtet werden sollte.
KnowBe4 empfiehlt unter anderem, bekannte .vu Indicators of Compromise (IoCs) sowohl auf E-Mail-Gateways als auch auf DNS-Ebene zu blockieren. Besteht innerhalb eines Unternehmens kein legitimer geschäftlicher Bedarf für .vu-Domains, kann darüber hinaus eine generelle Sperrung entsprechender Verbindungen geprüft werden.
SIEM-, DNS- und E-Mail-Protokolle sollten außerdem rückwirkend auf verdächtige Aktivitäten untersucht werden – insbesondere für den Zeitraum seit April 2026.
Gleichzeitig sollte die Analyse eingebetteter URLs stärker gewichtet werden. SPF, DKIM und DMARC bleiben wichtige Bausteine für die Absicherung der E-Mail-Kommunikation, können jedoch allein nicht verhindern, dass Nachrichten mit legitimen oder bislang unauffälligen Absendern auf bösartige Webseiten verweisen.
Phishing-Abwehr muss schneller werden als der Domain-Wechsel
Der Wechsel von .ru zu .vu zeigt ein grundsätzliches Problem moderner Phishing-Abwehr: Angreifer benötigen keine dauerhaft sichere Infrastruktur. Sie brauchen lediglich ein kurzes Zeitfenster, in dem ihre Domains weniger auffällig erscheinen als etablierte Phishing-Adressen.
Deshalb sollten technische Schutzmaßnahmen mit kontinuierlicher Sensibilisierung der Beschäftigten kombiniert werden. Mitarbeiter müssen erkennen können, wann Links, ungewöhnliche Domains oder vermeintlich legitime Nachrichten genauer geprüft werden sollten – und verdächtige E-Mails möglichst schnell melden.
Moderne Digital-Workforce-Security-Ansätze verbinden hierzu automatisierte und personalisierte Phishing-Simulationen mit technischen Anti-Phishing-Systemen. KI-gestützte Analyseverfahren und Crowdsourcing können zusätzlich dazu beitragen, bislang unbekannte Angriffsmuster schneller zu identifizieren.
Die entscheidende Lehre aus der aktuellen .vu-Welle lautet deshalb nicht, künftig einfach eine weitere Top-Level-Domain auf Blocklisten zu setzen. Unternehmen müssen ihre Phishing-Abwehr so ausrichten, dass sie auch dann funktioniert, wenn Cyberkriminelle ihre Infrastruktur erneut wechseln.
