Phishing gegen EU-Regierungen Digitale Angriffe heizen Nahostkonflikt an

Anbieter zum Thema

Proofpoint, Ltd.

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Der Konflikt im Nahen Osten hat die Cyberwelt erfasst. Sicherheitsforscher identifizierten zahlreiche Spionage-Kampagnen, die aus dem Iran sowie mit China, Belarus und Pakistan verbundenen Gruppen stammen. Der Ver­fas­sungs­schutz soll mehr Befugnissen gegen diese Angriffe erhalten.

Der aktuelle Konflikt im Nahen Osten hat seinen Weg in den Cyberraum gefunden, davon be­richten derzeit diverse Medien, Sicherheitsforscher und Security-Hersteller. Auch Proofpoint, dessen Sicherheitsforscher berichten, eine Reihe von Cyberspionage-Kampagnen identifiziert zu haben, die direkt mit dem Konflikt in Verbindung stehen würden.

Angriffe, gesponsert von Iran und Russland

Die Lage im Cyberraum nach dem An­griff der USA und Israels auf den Iran

Was bisher bekannt ist

Am 28. Februar 2026 führten die USA und Israel unter der Bezeichnung „Operation Epic Fury" Luftschläge gegen iranische Ziele durch. Der Iran reagierte mit Schlägen gegen US-Ein­rich­tungen in der Region. Verschiedene iranische Hacker-Gruppen haben inzwischen diverse Cyberkampagnen für sich reklamiert. Trotz einer Internetabschaltung durch die iranische Regierung blieben iranische Spionage-Gruppen aktiv.

Seit Kriegsbeginn beobachte Proofpoint darüber hinaus eine deutliche Zunahme von Kam­pagnen anderer staatlich unterstützter Akteure gegen Regierungsorganisationen im Nahen Osten und Europa. Diese Operationen würden sowohl von bekannten Gruppen als auch von bisher unbeobachteten Akteuren mit vermuteter Verbindung zu China, Belarus, Pakistan und der Hamas ausgehen. Die Kampagnen würde systematisch den Konflikt als glaubwürdiges Köder-Thema ausnutzen und häufig kompromittierte Accounts von Regierungsorganisationen einsetzten, um Phishing-E-Mails zu versenden.

Backdoor MiniJunk und Stealer MiniBrowse

Iranische Gruppe greift Verteidigungs- und Luftfahrtindustrie in Europa an

Kampagnen aus dem Belarus

Zwischen dem 3. und 5. März 2026 hätten die Proofpoint-Forscher beobachtet, dass der mit Belarus verbündete Bedrohungsakteur „TA473“, auch unter „Winter Vivern“ bekannt, E-Mails an Regierungsorganisationen in Europa und im Nahen Osten versandt habe. Diese Nachrichten würden wahrscheinlich aus kompromittierten Infrastrukturen stammen und vorgeben, von einem Sprecher des Präsidenten des Europäischen Rates zu stammen. Die Phishing-E-Mails hätten einen HTML-Anhang mit dem Titel „european union statement on the situation in iran and the middle east.html” enthalten.

Würden die Opfer die HTML-Datei öffnen, würden ihnen ein Decoy-Bild angezeigt und eine HTTP-Anfrage an eine URL im Format „hxxps://unityprogressall[.]org/imagecontent/getimgcontent.php?id=<Ziel-E-Mail-Adresse>“ gestellt. Proofpoint habe zum Zeitpunkt der Analyse keine Payloads der nächsten Stufe abrufen können. Wahrscheinlich würden diese HTTP-Anfragen eher zu Tracking-Zwecken als zur Übertragung weiterer schädlicher Payloads dienen.

Netscout DDoS Threat Intelligence Report 1H2024

Anstieg von DDoS-Attacken gefährdet kritische Infrastrukturen in EMEA

Kampagnen aus China

Auch der mutmaßlich mit China verbündete Bedrohungsakteur „UNK_InnerAmbush“ führt laut Proofpoint eine Phishing-Kampagne durch, die sich gegen Regierungsorganisationen im Nahen Osten richte. Die E-Mails würden von der wahrscheinlich kompromittierten E-Mail-Adresse „uzbembish@elcat[.]kg“ versendet und einen Link zu einer Google Drive-URL enthalten. Die erste Welle der Angriffe habe am 1. März 2026 begonnen, einen Tag nach Ausbruch des Kon­flikts. Das Thema, das in einer Phishing-E-Mail der ersten Welle beobachtet worden sei, sei der Tod von Ayatollah Khamenei gewesen. Dabei hätten die Akteure versucht, Bilder, die scheinbar aus dem US-Außenministerium stammen würden, zu verbreiten. Innerhalb späterer Angriffs­wel­len hätte die Gruppe vorgegeben, Beweise dafür zu liefern, dass „Israel sich darauf vor­be­rei­tet, die Öl- und Gasinfrastruktur am Golf anzugreifen, um den Iran dafür zu beschuldigen”.

Hack-for-Hire

Silk Typhoon: Chinas gefährlichste Hacker-Gruppe enttarnt

Kampagnen aus Pakistan

Am 5. März 2026 habe ein mutmaßlich mit Pakistan verbundener Akteur namens „UNK_Robot­Dreams“ Spearp-Pishing-E-Mails an Büros nahöstlicher Regierungsorganisationen in Indien versandt. Die E-Mail seien von der Outlook-Freemail-Adresse „jscop.mea.gov.in@out­look[.]com“ verschickt worden, die sich als indisches Außenministerium ausgab. Sie habe den Betreff „Gulf Security Alert: Iran Retaliation Impacts“ (Sicherheitswarnung für den Golf: Auswirkungen der iranischen Vergeltungsmaßnahmen) gehabt und sich auf den Irankrieg bezogen, um die Glaubwürdigkeit und Dringlichkeit zu erhöhen. Die E-Mails hätten einen PDF-Anhang mit einem unscharfen Köderbild und einem gefälschten Adobe Reader-Button enthalten.

Geopolitische Konflikte

Google untersucht Risiken für Rüstungsunternehmen

Strategische Bedeutung der Angriffe

Die Analysten von Proofpoint haben die Angriffskampagnen hinsichtlich ihrer strategischen Bedeutung eingeordnet. Sie gehen davon aus, dass die beobachteten Operationen ein Muster verfolgen, bei dem staatlich geförderte Cyber-Akteure den Konflikt sowohl als Köder für Social-Engineering-Angriffe als auch als Anlass zur verstärkten Informationssammlung über nah­öst­liche Regierungen nutzen würden. Dies deute darauf hin, dass mehrere Staaten gezielt In­for­ma­tionen über die Entwicklung des Konflikts, seine regionalen Auswirkungen und geopolitischen Implikationen sammeln würden.

Die Lage im Iran haben nicht nur Sicherheitsforscher im Blick. Auch das Bundesamt für Ver­fassungsschutz (BfV) ist sich der Bedrohung durch den Staat im Nahen Osten. Wie die Deutsche Presse-Agentur (DPA) berichtet, soll der Verfassungsschutz hybride Angreifer künftig aktiv stö­ren können, auch solche aus dem Iran. Noch in diesem Jahr soll das BfV mit zusätzlichen Be­fug­nis­sen für die Bekämpfung von Spionage, Sabotage und Terrorismus ausgestattet werden. Nach Informationen der DPA geht es unter anderem darum, dass die Sicherheitsbehörde bei einem Cyberangriff nicht nur auslesen und verstehen können soll, was ein ausländischer Ge­heim­dienst vorhat, sondern den Angriff auch stören beziehungsweise die Einsatzmittel des An­grei­fers manipulieren darf. Bundesinnenminister Alexander Dobrindt (CSU) hat in den zurück­lie­gen­den Wochen mehrfach betont, der Verfassungsschutz solle ein „echter Ge­heim­dienst“ werden.

Cyberspionage

Hybride Angriffe auf Europas Drohnenindustrie

Neues Zentrum Hybrid

Im Bundesinnenministerium verspricht man sich außerdem viel von der geplanten Einrichtung eines Gemeinsamen Abwehrzentrums für hybride Bedrohungen, in dem sich künftig An­ge­hö­ri­ge der Nachrichtendienste mit den Polizeibehörden von Bund und Ländern sowie Betreibern von Stromnetzen und anderen großen Anlagen austauschen sollen. Im Bedarfsfall soll auch die Bundeswehr dazukommen können.

Das Zentrum orientiert sich an vergleichbaren Kooperationsplattformen, die es bereits gibt, etwa für den Austausch zu potenziell gefährlichen Islamisten. Allerdings können In­for­ma­tio­nen, die als geheim eingestuft sind, wohl nicht geteilt werden, wenn Wirtschaftsvertreter mit am Tisch sitzen. Denn die haben nicht die gleiche Überprüfung durchlaufen wie die Beamten der Sicherheitsbehörden.

Unter hybrider Kriegsführung wird eine Kombination aus militärischen, wirtschaftlichen, geheimdienstlichen und propagandistischen Mitteln verstanden, mit der auch die öffentliche Meinung beeinflusst werden kann. Auch staatlich gelenkte Cyberattacken zählen dazu. Am aktivsten ist hier aktuell Russland. Das BfV hat aber auch den Iran im Blick, der in Deutschland nicht nur seine eigenen Landsleute ausspäht. Als sehr aktiv, auch im Cyberraum, gilt zudem China, das nach Einschätzung des Verfassungsschutzes stark bemüht ist, bei seinen Spionage­operationen unentdeckt zu bleiben.

Ashen Lepus

Hamas-nahe Gruppe greift diplomatische Einrichtungen an

Mehr Austausch mit der Polizei

In Sicherheitskreisen geht man davon aus, dass es leichter wäre, Gefahren einzuhegen, wenn künftig mehr Erkenntnisse bei der Polizei ankommen würden. Nach dpa-Informationen gibt es zudem Überlegungen, dass das BfV noch stärker als bisher Methoden und laufende Aktionen offenzulegen könnte, um bestimmte Akteure dadurch auszubremsen. Das gibt es vereinzelt jetzt schon, zuletzt etwa in einer Warnung vor Phishing-Attacken über den Messengerdienst Signal oder in Veröffentlichungen zu Technologie-Klau durch China.

Cybersecurity Forecast 2026 von Google

Europa wird stärker in den Fokus staatlicher Cyberangriffe rücken

(ID:50784940)