ALGERIEN / LONDON (IT BOLTWISE) – INTERPOL hat im Rahmen der Operation Ramz die Phishing-as-a-Service-Plattform Sniper Dz zerschlagen und den zentralen Administrator festnehmen lassen. Die Aktion lief über mehrere Monate zwischen Oktober 2025 und Februar 2026 und umfasste Behörden aus 13 Ländern der MENA-Region. Sniper Dz, das offenbar seit mindestens 2015 aktiv war und sich mehrfach umbenannte, hatte Berichten zufolge mehr als 45.000 Opferdaten gesammelt. Für Unternehmen und Security-Teams ist die Meldung vor allem deshalb relevant, weil PhaaS-Modelle die Hürde für gezielte Angriffe senken und damit Sicherheitsprozesse beschleunigt angepasst werden müssen.
INTERPOL meldet einen der klarsten Einsätze gegen „Phishing-as-a-Service“ der vergangenen Jahre: Im Zuge einer international koordinierten Operation wurde die Plattform Sniper Dz außer Betrieb gesetzt und ihr Administrator festgenommen. Laut Group-IB führte die Aktion, die als Operation Ramz bezeichnet wurde, über Monate hinweg zu 201 Festnahmen in 13 Ländern der Middle East and North Africa (MENA)-Region. Die technische Bedeutung der Meldung liegt weniger im Einzelfall als im Modell: PhaaS-Dienste stellen fertige Inhalte, Infrastruktur und Betriebslogik bereit, sodass Kriminelle mit geringerem Aufwand glaubwürdige Phishing-Kampagnen ausrollen können.
Die Behörden gingen dabei zwischen Oktober 2025 und Februar 2026 vor. Sniper Dz war demnach mindestens seit 2015 aktiv und hatte sich im Laufe der Zeit mehrfach umbenannt – unter anderem zu Joker Dz, Storm Dz und Spam Dz. Solche Rebrandings sind in der Praxis ein typisches Muster, um Reputation, blockbasierte Erkennung und Sperrlisten zu umgehen. Im Rahmen der Maßnahme wurde nicht nur die Website abgeschaltet; außerdem beschlagnahmten die Ermittler Hardware, auf der Phishing-Software und zugehörige Skripte liefen. Damit steigt die Chance, Betreiber- und Nutzungsdaten, Konfigurationsdetails und technische Artefakte für weitere Strafverfolgung auszuwerten.
Aus technischer Sicht lohnt sich der Blick auf die Funktionsweise von PhaaS: Im Kern handelt es sich um eine Kombination aus Landingpages, Vorlagen (Templates), Hosting-Ressourcen und Steuerkomponenten, die Anfragen bündeln und Ergebnisse verwertbar machen. In der Meldung heißt es, Sniper Dz habe mehr als 45.000 Datensätze von Opfern gesammelt. Entscheidend ist dabei, dass die „Lieferkette“ des Angriffs verkürzt wird: Wer eine PhaaS-Instanz nutzt, braucht weniger eigenes Engineering, nutzt aber etablierte Workflows. Die Beschlagnahmung von Maschinen und Skripten deutet zudem darauf hin, dass nicht nur Kommunikationsendpunkte, sondern auch die Logik hinter Umleitungen, Datenerfassung und Server-Side-Verarbeitung betroffen war.
Historisch betrachtet folgt der Einsatz einem breiteren Muster aus der Strafverfolgung: Gegenzeitige Operationen gegen Botnetze und Händler-Ökosysteme haben gezeigt, dass der nachhaltigste Effekt entsteht, wenn nicht nur Domains abgeschaltet, sondern die „Betriebssicht“ der Täter zerschlagen wird. Ähnliche Schritte gab es in der Vergangenheit bei Phishing- oder Malware-Ökosystemen, etwa im Umfeld von Emotet- oder Trickbot-nahen Infrastrukturen, bei denen sich Angriffsdaten, Zahlungsflüsse und Wiederverwendungsmuster nur dann reduzieren, wenn auch Logik und Kontrollmechanismen getroffen werden. Operation Ramz adressiert damit einen Teil des Problems, der in vielen Unternehmen erst spät sichtbar wird: Die Angriffsfläche entsteht nicht nur durch einzelne Kampagnen, sondern durch Plattformen, die Kampagnen standardisieren.
Für den Markt ist das Signal klar: PhaaS-Dienste konkurrieren nicht nur untereinander, sondern auch um „Zugriff“ auf Opfersignale – also um die besten Methoden, um E-Mail-Filter zu umgehen, Landingpages zu tarnen und gestohlene Daten gewinnbringend zu monetarisieren. Wenn solche Dienste ausfallen, verschiebt sich die Nutzung kurzfristig auf Nachfolger oder neue Varianten mit ähnlichen Bedienoberflächen. Gerade deshalb lohnt ein Vergleich: Während sich etwa bei klassischen Botnets häufig die technische Payload im Vordergrund steht, ist bei PhaaS der „Produktionsprozess“ die eigentliche Angriffsinnovation. Sicherheitsanbieter können hier ansetzen, indem sie Erkennung stärker an Muster der bereitgestellten Infrastruktur koppeln.
Branchenexperten ordnen solche Aktionen meist als Schritt in Richtung „Infrastruktur-Layer“-Bekämpfung ein. In einem Statement von Group-IB wird die Relevanz der Maßnahme sinngemäß betont: Die Plattform habe über Jahre hinweg eine standardisierte Taktik bereitgestellt und damit die Skalierung von Phishing-Angriffen erleichtert. Solche Einschätzungen passen zu aktuellen Entwicklungen, bei denen Security-Teams verstärkt den Übergang von Kampagnen-Detektion hin zur Erkennung von Service-Ökosystemen beobachten. Für die Praxis heißt das: Nicht nur die konkrete Domain, sondern auch wiederkehrende technische Merkmale in Zertifikatsketten, Formular- und Redirect-Mechaniken sowie Server-Side-Skripte müssen in Monitoring-Strategien einfließen.
Auch organisatorisch und regulatorisch hat die Meldung unmittelbare Konsequenzen. Unternehmen, die potenziell Betroffene sind, müssen ihre Incident-Response-Prozesse mit Blick auf Phishing-Umfelder prüfen: Welche Systeme waren exponiert, welche Authentifizierungsdaten wurden möglicherweise abgegriffen, und wie schnell wurden Zugriffe nach einer möglichen Kompromittierung zurückgesetzt? Zudem spielen Datenschutz- und Meldepflichten eine Rolle, weil die Plattform laut Meldung personenbezogene Datensätze in nennenswerter Größenordnung gesammelt haben soll. Wer im Rahmen von Sicherheitsvorfällen Datenabflüsse vermutet, muss Betriebs- und Compliance-seitig schnell entscheiden, welche Nachweise verfügbar sind und wie Betroffene informiert werden.
Ein weiterer Aspekt betrifft die Skalierbarkeit der Gegenmaßnahmen. Abwehr gegen Phishing funktioniert am besten, wenn sie mehrschichtig ist: technische Kontrollen (E-Mail-Sicherheits-Gateways, URL-Reputation, DMARC/DKIM/SPF-Integrität), Endgeräte-Schutz (Browser-Hardening, Credential-Phishing-Schutz) und Prozesssteuerung (Schulung, Meldewege, schnelle Sperrung betroffener Konten). PhaaS verschiebt die Kostenkurve für Angreifer nach unten, wodurch sich die Frequenz von Kampagnen erhöhen kann. Unternehmen sollten deshalb prüfen, ob ihre Erkennung auf Timing und Sequenzen reagiert, nicht nur auf statische Indikatoren. Besonders relevant ist dabei die Frage, wie schnell man neue Indikatoren in SIEM/SOAR-Workflows ausspielen kann.
Für die Zukunft ist damit zu rechnen, dass die Lücke, die eine PhaaS-Plattform hinterlässt, nicht dauerhaft bleibt. Nach einer solchen Zerschlagung entstehen häufig Parallelangebote oder verbundene Strukturen, die in kurzer Zeit ähnliche Leistungen anbieten. Dennoch ist der Einsatz politisch und operativ wertvoll: Er erhöht den Aufwand, zwingt Nutzer zum Umstieg und liefert Ermittlern Material für weitere Fälle. In der Sicherheitsbranche entstehen daraus auch konkrete Entwicklungsmöglichkeiten für Detection Engineering: Korrelationen über Infrastruktur- und Skriptmuster können künftig helfen, „Service“-Abhängigkeiten schneller zu erkennen, bevor sie in großem Stil wieder auftauchen.
Die übergeordnete Botschaft für IT-Leiter und Security-Verantwortliche lautet daher: PhaaS ist nicht nur ein „Phishing-Problem“, sondern ein Plattformproblem. Wenn Kriminelle den Betrieb professionalisieren, müssen Unternehmen ihre Abwehr ebenso industrialisieren. Technisch bedeutet das, dass Teams den Telemetrieumfang ausbauen (DNS/HTTP-Logs, Browser-Events, Authentifizierungsmetriken) und Anomalien stärker im Kontext bewerten. Marktseitig sollten Security-Partner und Dienstleister den Übergang von IOC-basierten Blocklisten zu Verhaltens- und Infrastrukturmodellierung beschleunigen. Und regulatorisch bleibt die Pflicht, bei möglichen Datenabflüssen sauber nachzuweisen, was passiert ist – und wie schnell man reagiert hat.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "INTERPOL stoppt Sniper Dz: Phishing-as-a-Service für 45.000 Opfer außer Betrieb" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "INTERPOL stoppt Sniper Dz: Phishing-as-a-Service für 45.000 Opfer außer Betrieb" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »INTERPOL stoppt Sniper Dz: Phishing-as-a-Service für 45.000 Opfer außer Betrieb« bei Google Deutschland suchen, bei Bing oder Google News!