Phishing
Fortra warnt vor massivem Anstieg von Phishing-Angriffen mit RMM-Tools
Phishing-Angriffe mit Fernwartungssoftware explodieren: Fortra registriert Anstieg um 475 Prozent
Cyberkriminelle setzen zunehmend auf eine Angriffsmethode, bei der nicht klassische Schadsoftware, sondern legitime IT-Werkzeuge zum Sicherheitsrisiko werden. Eine aktuelle Analyse von Fortra zeigt einen Anstieg von Phishing-Angriffen mit integrierter Fernwartungssoftware um 475 Prozent. Besonders im Visier stehen Geschäftskunden von Banken, deren Computer und Konten Angreifer mithilfe manipulierter Support-Angebote übernehmen wollen.
Die Bedrohung entwickelt sich damit über den klassischen Diebstahl von Zugangsdaten hinaus. Statt ausschließlich gefälschte Login-Seiten einzusetzen, kombinieren Angreifer Phishing mit sogenannten Remote Monitoring and Management Tools (RMM). Diese Programme ermöglichen IT-Administratoren normalerweise den Fernzugriff auf Computer, werden inzwischen jedoch zunehmend für kriminelle Aktivitäten missbraucht.
Laut einer aktuellen Bedrohungsanalyse von Fortra vom 8. Oktober 2026 registrierte das Unternehmen in den ersten neun Monaten des Jahres 2026 bereits 475 Prozent mehr Phishing-Angriffe unter Einbindung von RMM-Software als im gesamten Vorjahr. Der Schwerpunkt der untersuchten Kampagnen liegt auf nordamerikanischen Finanzinstituten und insbesondere auf Geschäftskonten.
Wenn legitime Fernwartung zum Einfallstor wird
Das Besondere an dieser Angriffsmethode ist die gezielte Zweckentfremdung vertrauenswürdiger Software. RMM-Anwendungen wie AnyDesk gehören in vielen Unternehmen zum administrativen Alltag. Sie ermöglichen technischen Support, Fernwartung und die zentrale Verwaltung von Endgeräten.
Genau dieses Vertrauen nutzen Cyberkriminelle aus.
Da die eingesetzten Programme grundsätzlich legitim sind, werden sie von einfachen Sicherheitsmechanismen häufig nicht als Bedrohung erkannt. Klassische Schutzmaßnahmen, die hauptsächlich nach schädlichen Anwendungen suchen, können dadurch umgangen werden.
Hinzu kommt ein entscheidender Unterschied zu herkömmlichen Phishing-Attacken: Während beim klassischen Credential Phishing meist Zugangsdaten abgegriffen werden, verschaffen sich Angreifer bei Phishing-to-RMM-Kampagnen direkten Zugriff auf das Endgerät. Damit können sie ihre Aktivitäten auch nach dem ursprünglichen Angriff fortsetzen.
Gefälschter Bank-Support als Ausgangspunkt
Der Angriff beginnt häufig mit einer vermeintlich dringenden Sicherheitswarnung. Betroffene erhalten einen Anruf, eine E-Mail oder eine SMS, die auf angebliche Probleme mit ihrem Bankkonto hinweist.
Die Nachricht führt auf eine manipulierte Webseite, die dem Internetauftritt des jeweiligen Finanzinstituts nachempfunden ist. Dort steht eine vermeintliche Live-Chat-Funktion des Kundensupports bereit. Was nach einer gewöhnlichen Hilfestellung aussieht, ist tatsächlich der nächste Schritt der Angriffskette. Sobald das Opfer den Chat öffnet, startet automatisch der Download einer Fernwartungssoftware. Die Phishing-Seite erkennt zuvor das verwendete Betriebssystem und stellt die passende Programmversion bereit.
Besonders häufig beobachteten die Sicherheitsforscher dabei den Einsatz von AnyDesk.
Anschließend begleiten die Angreifer ihre Opfer durch die Installation. Unter dem Vorwand einer notwendigen Sicherheitsüberprüfung fordern sie einen Verbindungsschlüssel an, mit dem sie auf das betroffene Gerät zugreifen können.
Aus einer vermeintlichen Support-Anfrage wird damit eine aktive Fernzugriffssitzung unter Kontrolle der Angreifer
Vom Datendiebstahl bis zur dauerhaften Systemkontrolle
Ist der Fernzugriff eingerichtet, eröffnen sich den Angreifern weitreichende Möglichkeiten. Sie können Aktivitäten auf dem kompromittierten Computer beobachten, Zugangsdaten ausspähen und persönliche oder geschäftliche Informationen abgreifen. Darüber hinaus besteht die Gefahr, dass zusätzliche Fernzugriffsmöglichkeiten eingerichtet oder weitere Schadprogramme installiert werden.
Auch Ransomware-Infektionen sind grundsätzlich möglich. Alternativ können kompromittierte Systeme für spätere Angriffskampagnen genutzt oder die Zugriffsrechte auf kriminellen Marktplätzen verkauft werden.
Fortra entdeckte im Rahmen seiner Untersuchungen zudem GitHub-Repositories, die neben RMM-Programmen weitere Schadsoftware enthielten. Die Funde verdeutlichen, dass die missbrauchten Fernwartungsprogramme teilweise Bestandteil einer umfangreicheren Angriffsinfrastruktur sind.
Angreifer passen ihre Infrastruktur kontinuierlich an
Die von Fortra untersuchten Kampagnen zeigen außerdem, wie schnell Cyberkriminelle auf Gegenmaßnahmen reagieren.
Erstmals beobachteten die Sicherheitsforscher entsprechende Angriffe auf US-Finanzinstitute im dritten Quartal 2025. Zuvor waren ähnliche Methoden vor allem bei Angriffen unter dem Deckmantel angeblicher IT-Dienstleister sowie bei einzelnen internationalen Bankenkampagnen aufgefallen.
Im ersten Quartal 2026 erreichten die Aktivitäten einen deutlichen Höhepunkt.
Dabei verwendete eine Gruppe von Angreifern zunehmend standardisierte Phishing-Vorlagen. Einzelne Bestandteile konnten einem Bedrohungsakteur mit dem Namen GhostDrainer zugeordnet werden. Die gefälschten Webseiten imitierten den Kundensupport von Banken und veranlassten Betroffene, AnyDesk unmittelbar von der offiziellen Herstellerseite herunterzuladen.
Für die massenhafte Bereitstellung der Phishing-Seiten nutzten die Angreifer unter anderem die kostenlose Entwicklungsplattform Firebase.
Nachdem AnyDesk auf das Missbrauchsmuster aufmerksam gemacht worden war, schränkte der Anbieter direkte Downloads ein, wenn diese über Firebase-Domains ausgelöst wurden. Die Maßnahme zeigte zunächst Wirkung und reduzierte die Anzahl neu beobachteter Angriffe. Allerdings reagierten die Cyberkriminellen schnell.
Sie verlagerten die Bereitstellung der ausführbaren Dateien auf eigene, bösartig registrierte Infrastrukturen und experimentierten mit weiteren Hosting-Diensten, darunter Cloudflares Plattform workers.dev. Später verschleierten sie die Download-Adressen zusätzlich durch externe Weiterleitungen und eingebettete iFrames.
Die Entwicklung zeigt ein bekanntes Muster moderner Cyberkriminalität: Wird ein Angriffsweg blockiert, passen die Täter ihre Infrastruktur an, ohne die eigentliche Angriffsmethode grundsätzlich verändern zu müssen.
Warum herkömmliche Sicherheitsmaßnahmen nicht ausreichen
Die zunehmende Verbindung von Phishing und Fernwartungssoftware stellt Unternehmen vor eine besondere Herausforderung.
Nicht jede Remote-Management-Anwendung ist verdächtig. In vielen IT-Umgebungen sind solche Programme sogar unverzichtbar.
Deshalb reicht es nicht aus, bekannte Schadsoftware zu erkennen und zu blockieren. Sicherheitsverantwortliche müssen auch kontrollieren, welche legitimen Anwendungen auf welchen Systemen eingesetzt werden dürfen. Fortra empfiehlt insbesondere die Einführung verbindlicher Freigabelisten für zugelassene RMM-Programme.
Nicht autorisierte Installationen sollten konsequent verhindert werden.
Darüber hinaus müssen Unternehmen ihre Beschäftigten und insbesondere Nutzer geschäftlicher Bankkonten für gefälschte Support-Anfragen sensibilisieren.
Ein wichtiger Bestandteil ist dabei die Aufklärung darüber, wie echte Kundenbetreuer und IT-Support-Mitarbeiter kommunizieren und welche Zugriffsrechte sie tatsächlich benötigen. Ergänzend sollten mehrstufige Schutzmaßnahmen zum Einsatz kommen, die Phishing-Nachrichten erkennen, gefährliche Webseiten blockieren und gefälschte Domains möglichst frühzeitig identifizieren.
Fazit: Die Gefahr steckt zunehmend in vertrauenswürdigen Anwendungen
Die Fortra-Analyse verdeutlicht eine grundlegende Veränderung moderner Phishing-Angriffe. Cyberkriminelle verlassen sich nicht mehr ausschließlich auf gefälschte Anmeldeseiten oder klassische Malware. Stattdessen kombinieren sie Social Engineering mit legitimen Fernwartungswerkzeugen und versuchen, Anwender aktiv zur Freigabe ihrer Systeme zu bewegen.
Besonders problematisch ist dabei, dass die verwendete Software häufig bereits Teil etablierter IT-Prozesse ist. Für Unternehmen bedeutet dies, dass sie ihre Sicherheitsstrategie stärker auf die Kontrolle legitimierter Anwendungen, ungewöhnlicher Fernzugriffe und verdächtiger Benutzerinteraktionen ausrichten müssen.
