LOTS
KnowBe4 warnt vor zunehmendem Missbrauch legitimer SaaS-Plattformen für Phishing-Angriffe
Living Off Trusted Services: Wenn echte Plattformen zur Angriffswaffe werden
Cyberkriminelle müssen bekannte Marken nicht mehr imitieren – sie nutzen zunehmend deren echte Infrastruktur für Phishing-Angriffe. Dienste wie DocuSign, SharePoint, Google Drive oder Dropbox werden damit zu Einfallstoren für Datendiebstahl und Malware. Eine aktuelle Analyse von KnowBe4 Threat Labs zeigt, wie Angreifer das Vertrauen in etablierte SaaS-Plattformen systematisch ausnutzen und klassische E-Mail-Sicherheitsmechanismen umgehen.
Martin Krämer, CISO-Advisor bei KnowBe4 , erklärt, warum Unternehmen ihre E-Mail-Sicherheitsstrategien überdenken müssen und wie Mitarbeitende solche Angriffe erkennen können.
Living Off Trusted Services: Vertrauen wird zur Sicherheitslücke
Ein seriöser Absender ist längst kein Garant mehr für einen sicheren Inhalt. Cyberkriminelle haben ihre Methoden weiterentwickelt und setzen zunehmend auf eine Angriffstechnik, die als „Living Off Trusted Services “ (LOTS) bezeichnet wird. Statt bekannte Marken lediglich durch gefälschte Absenderadressen oder nachgeahmte Webseiten zu imitieren, missbrauchen sie die tatsächliche Infrastruktur etablierter Cloud-Dienste.
Die Strategie ist ebenso einfach wie wirkungsvoll: Angreifer nutzen legitime Funktionen von Plattformen wie DocuSign, SharePoint, Adobe Sign, Dropbox oder Google Drive, um authentisch wirkende Benachrichtigungen zu verschicken. Für Empfänger unterscheiden sich diese Nachrichten auf den ersten Blick kaum von regulären Geschäftsvorgängen.
Damit verschiebt sich die Bedrohungslage. Während klassische Phishing-Angriffe häufig an manipulierten Absenderadressen oder verdächtigen Domains zu erkennen waren, stammen LOTS-Nachrichten tatsächlich aus der Infrastruktur vertrauenswürdiger Anbieter.
Fast jede zehnte Bedrohungs-E-Mail nutzt legitime Dienste
Wie stark sich diese Angriffsmethode etabliert hat, verdeutlicht eine aktuelle Untersuchung von KnowBe4 Threat Labs.
Zwischen Juni und August 2026 analysierten die Sicherheitsexperten rund 544.000 Bedrohungs-E-Mails. Bei etwa 53.000 Nachrichten identifizierten sie LOTS-Techniken. Damit nutzte nahezu jede zehnte untersuchte Bedrohungs-E-Mail die Infrastruktur legitimer Dienste.
Bereits der im April 2026 veröffentlichte „Phishing Threat Trends Report Vol. 7 “ hatte auf die zunehmende Bedeutung dieser Angriffsmethode hingewiesen. Die aktuelle Untersuchung liefert nun detaillierte Einblicke in die betroffenen Plattformen und deren Missbrauch.
Besonders häufig setzen Angreifer auf das Thema Dokumentenfreigabe. Mit 39,2 Prozent ist es der am weitesten verbreitete Köder innerhalb der analysierten Phishing-Nachrichten.
Allerdings ist zwischen zwei Angriffsmustern zu unterscheiden: Viele Phishing-Mails täuschen lediglich eine Dokumentenfreigabe vor, ohne tatsächlich die Infrastruktur des jeweiligen Dienstes zu nutzen. Bei LOTS-Angriffen hingegen werden die legitimen Benachrichtigungsfunktionen der Plattformen unmittelbar für die Verbreitung schädlicher Inhalte missbraucht.
Gerade diese Kombination aus authentischer Infrastruktur und manipuliertem Inhalt macht die Angriffe besonders gefährlich.
DocuSign und QuickBooks besonders stark betroffen
Die Untersuchung zeigt eine deutliche Konzentration auf wenige Plattformen. Allein DocuSign und QuickBooks waren für nahezu zwei Drittel der erfassten LOTS-Phishing-Nachrichten verantwortlich.
Bei DocuSign registrierten die Forscher über den gesamten Untersuchungszeitraum hinweg einen kontinuierlichen Anstieg. Diese Entwicklung deutet darauf hin, dass es sich nicht um kurzfristige Angriffskampagnen handelt, sondern um einen zunehmend systematischen Missbrauch der Plattform.
Auch Adobe und Dropbox verzeichneten steigende Angriffszahlen. Das Volumen entsprechender Angriffe über Dropbox hat sich im Untersuchungszeitraum nahezu verdreifacht.
Die Vorgehensweise folgt dabei häufig demselben Muster: Cyberkriminelle registrieren zunächst ein kostenloses Konto bei einem vertrauenswürdigen Anbieter. Anschließend nutzen sie dessen reguläre Funktionen, um Dokumentenanfragen, Rechnungen oder Zahlungsbestätigungen zu versenden.
Die Benachrichtigung selbst stammt tatsächlich von der legitimen Plattform. Erst durch einen eingebetteten Link oder eine Weiterleitung gelangen die Empfänger auf eine vom Angreifer kontrollierte Webseite.
Dort sollen sie beispielsweise ihre Zugangsdaten eingeben, eine vermeintliche Rechnung bestätigen oder eine schädliche Datei herunterladen.
Der entscheidende Unterschied zu herkömmlichem Phishing liegt somit nicht unbedingt in der technischen Komplexität, sondern in der Glaubwürdigkeit des verwendeten Kommunikationskanals.
Nicht die Echtheit des Absenders entscheidet über die Sicherheit einer Nachricht, sondern die Vertrauenswürdigkeit der dahinterstehenden Handlung
Warum klassische E-Mail-Sicherheit an ihre Grenzen stößt
LOTS-Angriffe stellen Unternehmen vor ein grundlegendes Problem: Viele der missbrauchten Plattformen sind fest in die täglichen Geschäftsprozesse integriert.
Dokumentenfreigaben, elektronische Signaturen und automatisierte Rechnungsbenachrichtigungen gehören zum normalen Arbeitsalltag. Entsprechend hoch ist das Vertrauen, das Mitarbeitende solchen Nachrichten entgegenbringen.
Hinzu kommt, dass Benachrichtigungen etablierter SaaS-Anbieter häufig von Secure Email Gateways (SEGs) als vertrauenswürdig eingestuft werden. Teilweise befinden sich entsprechende Absender oder Domains sogar ausdrücklich auf den Zulassungslisten der Unternehmen. Dadurch können Angreifer Sicherheitskontrollen umgehen, die primär auf verdächtigeAbsender, manipulierte Domains oder bekannte Phishing-Merkmale reagieren.
Denn bei LOTS ist die Absenderinfrastruktur legitim. Die eigentliche Manipulation findet innerhalb des übermittelten Inhalts oder in nachgelagerten Weiterleitungen statt.
Für die Sicherheitsarchitektur von Unternehmen bedeutet das eine wichtige Veränderung: Die Reputation eines Cloud-Dienstes allein reicht nicht mehr aus, um die Vertrauenswürdigkeit einzelner Nachrichten zu beurteilen.
Phishing erkennen: Auch echte Benachrichtigungen kritisch prüfen
Die zunehmende Verbreitung von LOTS-Angriffen macht deutlich, dass sich auch das Sicherheitsbewusstsein der Mitarbeitenden weiterentwickeln muss.
Besondere Aufmerksamkeit verdienen unerwartete Dokumentenanfragen, Rechnungen, Unterschriftsaufforderungen oder Zahlungsbestätigungen – selbst dann, wenn sie scheinbar von einem bekannten Geschäftspartner oder einer etablierten Plattform stammen.
Ein typisches Warnsignal ist künstlich erzeugter Zeitdruck. Formulierungen, die eine sofortige Freigabe, dringende Zahlung oder kurzfristige Bestätigung verlangen, sollen Empfänger zu unüberlegten Reaktionen bewegen.
Vor dem Anklicken eines Links sollte dessen tatsächliche Zieladresse überprüft werden. Am Desktop lässt sich diese häufig durch das Bewegen des Mauszeigers über die entsprechende Schaltfläche anzeigen. Allerdings kann auch eine zunächst legitime URL über Weiterleitungen zu einer betrügerischen Webseite führen.
Bei Zweifeln empfiehlt es sich deshalb, die betreffende Plattform direkt über die bekannte Webadresse aufzurufen, statt den Link aus der E-Mail zu verwenden. Auch eine telefonische Rückfrage beim vermeintlichen Absender oder die Kontaktaufnahme mit der IT-Abteilung kann helfen, betrügerische Anfragen frühzeitig zu erkennen. Grundsätzlich sollten Nutzer bei unerwarteten Nachrichten weder Zugangsdaten eingeben noch QR-Codes scannen oder unbekannte Dateien herunterladen. Verdächtige Nachrichten gehören zudem an die zuständige IT-Sicherheitsabteilung gemeldet.
Die eigentliche Herausforderung: Vertrauen muss überprüfbar bleiben
LOTS-Phishing verdeutlicht einen grundlegenden Wandel in der Cyberkriminalität. Angreifer versuchen nicht mehr ausschließlich, technische Schutzmaßnahmen durch gefälschte Identitäten zu überwinden. Sie nutzen gezielt jene digitalen Dienste, denen Unternehmen bereits vertrauen.
Für Sicherheitsverantwortliche entsteht daraus eine neue Herausforderung: Legitime Kommunikationskanäle dürfen nicht automatisch mit legitimen Geschäftsvorgängen gleichgesetzt werden. Technische E-Mail-Schutzmaßnahmen bleiben unverzichtbar, müssen jedoch durch kontextbezogene Risikoanalysen, die Überprüfung von Weiterleitungen und kontinuierliche Sensibilisierung der Mitarbeitenden ergänzt werden.
