Allein im 1. Quartal 2026 registrierte die APWG 971.181 Phishing-Angriffe — ein Plus von 13,8 % gegenüber dem Vorquartal. Im selben Monat, im Januar 2026, schaltete Google nach eigenen Angaben eines der größten Residential-Proxy-Netzwerke der Welt ab, nachdem klar wurde, dass über 550 Bedrohungsgruppen binnen einer einzigen Woche ihren Datenverkehr darüber leiteten. Proxys stehen im Phishing-Kampf also auf beiden Seiten der Front.
Genau diese Spannung blenden die meisten Artikel über „Proxys und Phishing“ aus. Entweder heißt es, Proxys seien ein Schutzschild (kaufen Sie unser Proxy-Produkt und bleiben Sie sicher), oder sie gelten als Waffe der Angreifer (haben Sie Angst). Die Wirklichkeit ist komplizierter — und interessanter.
Angreifer nutzen Proxy-Infrastrukturen, um ihre Herkunft zu verschleiern, über vertrauenswürdige IP-Adressen zu rotieren und authentifizierte Sitzungen abzugreifen — selbst trotz MFA. Verteidiger setzen Proxys ein, um verdächtige Links gefahrlos zu prüfen, zu testen, was Phishing-Seiten in verschiedenen Ländern ausspielen, und schädlichen Traffic abzufangen, bevor er die eigenen Systeme erreicht. Dieser Leitfaden beleuchtet beide Seiten und zeigt anschließend einen konkreten Workflow, den Sie wirklich umsetzen können. Kein Schönreden, keine Wunderwaffen.
- Schwierigkeit: Mittel
- Benötigte Zeit: ca. 25 Minuten zum Lesen und Planen; die Umsetzung hängt vom jeweiligen Schritt ab
- Was Sie brauchen: Ein Grundverständnis Ihrer Web-Infrastruktur, Zugriff auf die DNS-Einstellungen Ihrer Domain, einen Chrome-Browser (für Thunderbit-Schritte) und optional ein Konto bei einem Proxy-Anbieter
Was ist Phishing und warum sollte Ihr Unternehmen das ernst nehmen?
Phishing ist ein Täuschungsangriff. Kriminelle setzen auf E-Mails, SMS, gefälschte Login-Seiten, QR-Codes oder manipulierte Websites, um Menschen dazu zu bringen, Zugangsdaten preiszugeben, einen Login zu bestätigen, Schadsoftware zu installieren oder Geld zu überweisen.
Längst geht es nicht mehr nur um eine „schlechte E-Mail“. Modernes Phishing arbeitet mit cloudgehosteten Seiten, gefälschten Microsoft-365-Loginstrecken, QR-Codes und dem Diebstahl von Session-Tokens.
Für Unternehmen steht dabei viel auf dem Spiel. Laut IBM lagen die weltweiten durchschnittlichen Kosten eines Datenlecks 2025 bei 4,4 Mio. USD. Der Internet Crime Report 2025 des FBI verzeichnet rund 453.000 Beschwerden wegen cybergestütztem Betrug mit gemeldeten Schäden von über 17,7 Mrd. USD, wobei Business Email Compromise (BEC) mehr als 3 Mrd. USD davon ausmachte.
Diebstahl von Zugangsdaten, Überweisungsbetrug, Kompromittierung der Lieferkette, regulatorische Strafen — Phishing kann das alles auslösen.
Im Folgenden geht es darum, wie Proxys sowohl in Angriffe als auch in die Verteidigung eingebunden sind und wie eine mehrschichtige, ehrliche Schutzstrategie tatsächlich aussieht.
Die doppelte Natur von Proxys: Ihr Schutz und ihre Waffe
Ein Proxy ist ein Vermittler zwischen Ihrem Gerät und dem Internet. Statt Ihre echte IP-Adresse sieht eine Website die Adresse des Proxys. Stellen Sie sich einen Nachsende-Service für Post vor: Der Empfänger bekommt den Brief von der Weiterleitungsadresse, nicht von Ihrem Zuhause.
Genau diese Eigenschaft erzeugt das Problem der Doppelnutzung. Sicherheitsteams setzen Proxys ein, um Bedrohungen zu untersuchen, ohne eine Firmen-IP oder den Rechner eines Analysten preiszugeben. Angreifer nutzen dieselbe Technik, damit ihr schädlicher Traffic so aussieht, als käme er von ganz normalen Nutzern, aus anderen Ländern oder aus vertrauenswürdigen privaten Netzwerken. Die Analyse von Barracuda aus April 2026 bringt es auf den Punkt: Residential-IPs wirken echt, weil sie an reale Heim- oder kleine Geschäftsanschlüsse gebunden sind — und genau deshalb schlagen Betrugssysteme seltener Alarm.
Die meisten Konkurrenzartikel betrachten nur eine Seite. Damit bleibt das Bild unvollständig — und die Abwehr ebenfalls.
So setzen Angreifer Proxys gegen Sie ein
Für Unternehmensverteidiger zählen vor allem drei Angriffsmuster: Anonymität und IP-Rotation, Missbrauch von Residential-Proxys und das Ausweichen auf vertrauenswürdige Plattformen.
AiTM-Phishing (Adversary-in-the-Middle) erklärt
AiTM ist der Angriff, der die Annahme „MFA schützt uns“ aushebelt (so viel vorweg: Klassische MFA übersteht das nicht).
Bei einem AiTM-Angriff schiebt der Angreifer einen Reverse Proxy zwischen das Opfer und eine legitime Login-Seite — etwa Microsoft 365. Der Nutzer sieht einen scheinbar echten Anmeldeprozess, gibt seine Zugangsdaten ein, bestätigt MFA, und der echte Identitätsanbieter stellt ein Session-Cookie aus. Weil aber der gesamte Traffic über den Proxy des Angreifers läuft, fängt dieser das Session-Cookie ab. Damit kann er die Sitzung übernehmen und auf das Konto zugreifen — ohne Passwort, ohne MFA-Abfrage.
Microsofts Analyse von Tycoon2FA, einem der führenden AiTM-Phishing-Kits, zeigt, dass die Betreiber Microsoft-365-, Outlook-, SharePoint-, OneDrive- und Google-Loginseiten nachbauen können. Das Kit erzeugt PDFs und QR-Codes, verwaltet Weiterleitungsketten und protokolliert MFA-Nutzung sowie das Abgreifen von Session-Cookies. Die Infrastruktur stützt sich auf kurzlebige Subdomains und Cloudflare-Hosting, um Blocklisten auszuweichen.
Das ist keineswegs Theorie. AiTM-Kits sind in großem Stil im Einsatz — und sie sind der Hauptgrund, warum „wir haben doch MFA“ keine vollständige Antwort auf Phishing ist.
Missbrauch von Residential-Proxys und IP-Rotation
Residential-Proxy-Netzwerke leiten den Traffic der Angreifer über echte Heim-IP-Adressen und lassen Phishing-Anfragen dadurch legitim wirken, sodass IP-basierte Betrugserkennung ins Leere läuft. Viele Anbieter prüfen kaum, wofür ihre IPs verwendet werden — so entsteht ein Graumarkt.
Das deutlichste Beispiel: Im Januar 2026 schaltete die Google Threat Intelligence Group das Residential-Proxy-Netzwerk IPIDEA ab und schrumpfte den verfügbaren Gerätepool um Millionen. GTIG zählte über 550 einzelne Bedrohungsgruppen, die binnen sieben Tagen Exit-Nodes von IPIDEA nutzten. Die Untersuchung deckte Überschneidungen mit Botnets, SaaS-Zugriffsmissbrauch, Password-Spraying-Angriffen und global agierenden Spionageakteuren auf. Bei vielen Proxy-SDK-Installationen fehlte eine klare Einwilligung der Nutzer.
Die FBI-Warnung zu Residential-Proxys von 2026 führt Phishing, Login mit gestohlenen Zugangsdaten, Brute-Force-Angriffe, Account-Übernahmen, Spam und C2-Verschleierung als kriminelle Einsatzfelder auf.
Hosting auf vertrauenswürdigen Plattformen und Umgehung von Phishing-Kits
Noch eine Umgehungstechnik: Phishing-Seiten werden auf vertrauenswürdigen Plattformen gehostet — etwa SharePoint, Google Docs oder Azure Blob Storage — und profitieren so von deren Domain-Reputation. Microsofts Analyse zu Bedrohungen über Azure Blob Storage zeigt, dass Angreifer dort gefälschte Microsoft-Anmeldeseiten hosten, die sich für Opfer allein an den Zertifikaten kaum als bösartig erkennen lassen.
Phishing-Kits bringen außerdem eigene Tarnlogik mit. Die Analyse von Cofense zu Phishing-Kits dokumentiert Geofencing, Filterung nach User-Agent und Sprache, CAPTCHA, das Erkennen von Entwicklertools und Weiterleitungen auf legitime Seiten. Passt ein Besucher nicht ins gewünschte Opferprofil — falsches Land, falscher Browser oder als Sicherheitsscanner erkannt — bekommt er nur eine harmlose Ansicht oder einen 404 zu sehen.
Wer von einer einzelnen Firmen-IP oder aus einem Cloud-Rechenzentrum scannt, übersieht solche Seiten. Das Kit ist gezielt darauf ausgelegt, sich vor Ihnen zu verstecken.
So nutzen Verteidiger Proxys zur Abwehr
Auf der Verteidigungsseite erfüllen Proxys vier praktische Aufgaben:
-
Anonyme URL- und Domain-Prüfung. Verdächtige Links laufen über einen kontrollierten Proxy, sodass das Ziel die Proxy-IP sieht — und nicht das Notebook eines Mitarbeiters oder das Firmennetzwerk. Das senkt das direkte Risiko und schafft einen reproduzierbaren Untersuchungsprozess.
-
Threat-Intel-Sammlung. Rotierende Proxys eignen sich, um Phishing-Infrastruktur, Domain-Listen, öffentliche Threat-Feeds oder neu registrierte Domains zu crawlen, ohne nach ein paar Anfragen blockiert zu werden. (Stets im Rahmen von Recht und Nutzungsbedingungen.)
-
Geo-verteilte Phishing-Erkennung. Mit Proxys in mehreren Regionen prüfen Sie, ob sich eine verdächtige URL in den USA, der EU, APAC oder einem anderen Zielmarkt unterschiedlich verhält. So lassen sich Kits mit Geofencing oder User-Agent-Filterung enttarnen — also genau die Umgehungstechniken, die oben beschrieben sind.
-
Reverse-Proxy-/WAF-Betrieb. Reverse Proxys sitzen vor Ihren eigenen Domains. Sie verhindern zwar nicht, dass Mitarbeitende auf Phishing-Links klicken, schützen aber Ihre Web-Anwendungen vor Bot-Traffic, Credential Stuffing, schädlichen Payloads und missbräuchlichen Zugriffsmustern.
Warum MFA allein gegen Proxy-basiertes Phishing versagt
Diese Diskussion habe ich in Dutzenden IT-Foren verfolgt: „Wir haben MFA, also sind wir abgesichert.“ Wer schon einmal selbst einen AiTM-Vorfall aufgearbeitet hat, sieht das völlig anders.
Der Ablauf ist denkbar einfach. Das Opfer schließt MFA in einem vermeintlich echten Login-Prozess ab. Der echte Identitätsanbieter stellt ein Session-Token aus. Der Angreifer fängt dieses Token über seinen Reverse Proxy ab.
Die Authentifizierung war erfolgreich — doch die Sitzung gehört nun dem Angreifer. Ein bloßer Passwort-Reset reicht möglicherweise nicht, solange aktive Sitzungen und vom Angreifer geänderte MFA-Einstellungen bestehen bleiben. Microsoft hält ausdrücklich fest, dass betroffene Unternehmen Session-Cookies widerrufen und vom Angreifer vorgenommene MFA-Änderungen zurücksetzen müssen — zusätzlich zu den üblichen Maßnahmen.
SMS-Codes, OTP-Apps, Push-Bestätigungen — all das lässt sich abgreifen, wenn der Nutzer es innerhalb eines vom Angreifer kontrollierten Prozesses eingibt. MFA hat ihre Aufgabe erfüllt. Das Problem ist nur: Der Angreifer hat die ganze Zeit mitgelesen.
Was AiTM-Phishing tatsächlich stoppt
FIDO2 / Passkeys. Die FIDO Alliance erläutert, dass Passkeys von Grund auf phishing-resistent sind: keine Passwörter, die gestohlen werden könnten, und keine Anmeldedaten, die sich wiederverwenden ließen. Das kryptografische Schlüsselpaar ist an den Origin der legitimen Domain gebunden, sodass der Proxy des Angreifers die Challenge nicht einfach nachbilden kann. CISA bestätigt, dass FIDO und PKI die einzigen weit verbreiteten, nicht-proprietären MFA-Methoden sind, die Credential-Phishing verhindern.
Zertifikatsbasierte Authentifizierung. Für Unternehmen geeignet, in der Einführung aufwendiger, aber ebenso phishing-resistent, weil sie auf Geräte-Zertifikaten statt auf vom Nutzer eingegebenen Codes beruht.
Conditional-Access-Richtlinien. In Microsoft-Umgebungen kann Conditional Access kompatible Geräte, vertrauenswürdige Standorte, risikobasierte Prüfungen oder phishing-resistente Authentifizierungsstärke erzwingen — und so den Wert eines gestohlenen Session-Tokens drücken, selbst wenn der Angreifer eines ergattert.
All das ergänzt Proxys, ersetzt sie aber nicht. Das Ziel ist eine mehrschichtige Verteidigung.
Praktische Optionen für KMU mit knappem Budget
Der naheliegende Einwand lautet: „Intune, MDM, Hardware-Keys — das ist doch nur etwas für Enterprise-Budgets.“ Stimmt. Hier der pragmatische Budgetweg:
- Passkeys im Browser. Die meisten modernen Browser unterstützen Passkeys nativ. Keine Hardware-Anschaffung nötig. Fangen Sie bei Admin-, Finanz- und HR-Konten an.
- Kostenlose DMARC-Einrichtung. SPF-, DKIM- und DMARC-Einträge lassen sich kostenlos veröffentlichen. Google Workspace und Microsoft 365 liefern integrierte Einrichtungsanleitungen.
- Defensive Domain-Registrierung. Registrieren Sie häufige Tippfehler und ähnlich aussehende Domains für Ihre Marke. Die meisten Registrare verlangen etwa 10–15 USD pro Domain und Jahr. Versehen Sie jede dieser Domains mit DMARC-Reject-Richtlinien.
- Gezieltes Training. Schulen Sie Mitarbeitende besonders auf AiTM-Köder: gefälschte Microsoft-365-Loginseiten, geteilte Fake-Dokumente, QR-Codes, Device-Code-Betrug und „dringende“ Payroll-/Lieferanten-Workflows.
Betrachten Sie es als „jetzt anfangen, später ausbauen“. Schon eine teilweise Einführung senkt das Risiko spürbar.
Welcher Proxy-Typ eignet sich am besten, um Phishing zu vermeiden?
Verschiedene Proxy-Typen erfüllen unterschiedliche Anti-Phishing-Zwecke. Der falsche Typ kostet nur Geld oder erzeugt blinde Flecken.
| Proxy-Typ | Bester Anti-Phishing-Anwendungsfall | Vorteile | Nachteile | Kosten |
|---|---|---|---|---|
| Datacenter | Massenhafte URL-Prüfung, Domain-Monitoring | Schnell, günstig, hohe Volumen | Von ausgefeilten Phishing-Kits leicht erkennbar | Niedrig |
| Residential | Geo-gezielte Phishing-Erkennung, Tests aus Nutzersicht | Wirkt wie echter Traffic, umgeht Geo-Blocks | Langsamer, teurer, ernsthafte Fragen zur ethischen Herkunft | Hoch |
| Rotierend | Threat-Intel-Crawling, Dauerüberwachung | Vermeidet IP-Sperren bei langen Crawl-Sessions | Komplexeres Setup, wechselnde Latenz | Mittel |
| Reverse Proxy / WAF | Schutz der eigenen Web-Präsenz | Filtert eingehende Bedrohungen, Bot-Erkennung, DDoS-Schutz | Hilft nicht bei der Erkennung von ausgehendem Phishing | Mittel |
Hinweis zur ethischen Herkunft. Der Fall Google/IPIDEA und die FBI-Warnung machen beide deutlich, dass Residential-Proxy-Netzwerke aus kompromittierten Geräten, irreführenden SDKs, versteckten VPN-Bedingungen oder Malware entstehen können. Bevor Sie Residential-Proxy-Traffic einkaufen, verlangen Sie vom Anbieter transparente Einwilligung der Nutzer, Opt-out-Möglichkeiten, Nachvollziehbarkeit und ein klares Abuse-Handling. Anbieter, die in der Sicherheitsforschung bereits negativ aufgefallen sind (PacketStream, das inzwischen eingestellte 911 Proxy), sollten Sie mit äußerster Vorsicht behandeln.
Für die meisten kleinen und mittleren Unternehmen gilt: Starten Sie mit Datacenter-Proxys für Massenprüfungen und einem Reverse Proxy/WAF für Ihre eigenen Domains. Residential-Proxys ergänzen Sie nur, wenn Sie Geo-Tests brauchen und den Anbieter gründlich geprüft haben.
Schritt für Schritt: So vermeiden Sie Phishing mit Proxys (ein praxisnaher Workflow)
Die meisten Artikel bleiben in der Theorie stecken. Jeder Schritt hier unten enthält eine Tool-Empfehlung und genug Details, damit Sie ihn an Ihr IT-Team weiterreichen oder selbst umsetzen können.
Schritt 1: Neu registrierte Lookalike-Domains überwachen
Angreifer registrieren Domains, die Ihrer Marke ähneln, bevor sie ihre Kampagnen starten: thunderb1t.com, thunderbit-login.com, thunderbit-support.net.
Solche Domains früh aufzuspüren, gehört zu den wertvollsten Abwehrmaßnahmen überhaupt.
So geht’s:
- Legen Sie eine Watchlist mit Markenbegriffen, Produktnamen, Namen von Führungskräften und Login-bezogenen Wörtern an (z. B. „login“, „portal“, „invoice“, „payment“).
- Fragen Sie täglich die Certificate-Transparency-(CT-)Logs über crt.sh ab. Dort durchsuchen Sie Zertifikatsdatensätze nach Domain oder Organisationsname. CT-Logs erfassen öffentlich vertrauenswürdige Zertifikate, sodass neu ausgestellte Zertifikate für Lookalike-Domains dort auftauchen.
- Markieren Sie Domains mit geringer Zeichen-/Edit-Distanz zu Ihrer Marke, verdächtigen TLDs (.xyz, .top, .click) oder Login-/Payment-Begriffen.
- Rendern Sie markierte Seiten über einen Proxy oder eine Sandbox — niemals über den Browser eines Mitarbeiters.
Thunderbit-Bezug: Die Batch-Extract-API von Thunderbit verarbeitet pro Job bis zu 100 verdächtige URLs und rendert mit renderMode: "full" auch JavaScript-lastige Phishing-Klone. Sie definieren ein JSON-Schema für die gewünschten Daten — Seitentitel, ob ein Login-Formular vorhanden ist, Domain des Formular-Targets, SSL-Aussteller, Redirect-Kette, finale URL. Die CLI-Variante fügt sich sauber in eine cron-basierte Überwachung ein:
thunderbit batch extract --file suspicious-urls.txt --schema phishing-signals.json --render-mode full
Wer nicht aus der Technik kommt, kann die Thunderbit Chrome-Erweiterung nutzen, um verdächtige Seiten mit wenigen Klicks zu scrapen und zu prüfen — ideal, wenn Sie nur einige wenige URLs sichten statt eine geplante Pipeline aufzusetzen.
Erwartetes Ergebnis: Ein täglicher oder wöchentlicher Bericht über neu registrierte Lookalike-Domains mit strukturierten Metadaten, bereit zur Priorisierung.
Thunderbit für die Prüfung verdächtiger URLs testen
Schritt 2: Verdächtige Links über Datacenter-Proxys leiten
Bevor jemand in Ihrem Unternehmen auf einen verdächtigen Link klickt, analysieren Sie ihn über einen kontrollierten Pfad. Sichtbar ist dabei nur die Proxy-IP, nicht das Gerät des Mitarbeiters oder das Firmennetzwerk.
So geht’s:
- Für schnelle Checks nutzen Sie urlscan.io (eine Web-Sandbox, in der Sie das Scan-Land wählen können) oder VirusTotal (prüft URLs gegen Dutzende Antivirus-Produkte und Blocklisten).
- Für interne Skripte oder Analysen mit höherem Volumen leiten Sie die Anfragen über einen Datacenter-Proxy:
curl -x http://proxy.example.com:8080 -I "https://suspicious.example"
- Für live gehostete Phishing-Seiten verwenden Sie eine wegwerfbare VM oder Browser-Sandbox. Geben Sie keine Zugangsdaten ein. Erfassen Sie Weiterleitungskette, Seitentitel, Ziel-URL, Formular-Posts, Skripte und Screenshots.
- Reichen Sie niemals echte Unternehmenszugänge ein. Und behandeln Sie öffentliche Scans mit Vorsicht — manche Dienste machen eingereichte URLs sichtbar, wenn diese nicht als privat oder nicht gelistet konfiguriert sind.
Erwartetes Ergebnis: Eine sichere Einschätzung von Ziel, Verhalten und Indikatoren des Links — ohne Risiko für Ihr Unternehmen.
Schritt 3: Geo-verteilte Proxys nutzen, um zielgerichtete Phishing-Kampagnen zu erkennen
Manche Phishing-Kits spielen schädliche Inhalte nur Besuchern aus einem bestimmten Land oder mit einer bestimmten Spracheinstellung aus. Cofense dokumentiert, dass Geolocation-Filterung häufig zum Einsatz kommt: Besucher aus der „falschen“ Region bekommen eine harmlose Seite oder einen 404 zu sehen, während die Zielgruppe das Formular zum Abgreifen der Zugangsdaten erhält.
So geht’s:
- Testen Sie verdächtige Links aus den Regionen, in denen Ihre Mitarbeitenden, Kundinnen und Kunden sowie Ihre Finanzteams tatsächlich arbeiten. Sitzt Ihr Unternehmen in den USA, hat aber ein Büro in Großbritannien, testen Sie beides.
- Vergleichen Sie finale URLs, Screenshots, Seitentitel, Formulare und HTTP-Statuscodes je Region.
- Variieren Sie User-Agent und Spracheinstellungen bei QR-Code- oder Mobile-Ködern — manche Kits filtern auch danach.
- Eskalieren Sie URLs, die an einem Ort harmlose Inhalte, an einem anderen aber Login-Formulare zeigen. Das ist ein starkes Phishing-Signal.
Erwartetes Ergebnis: Erkennung geo-zielgerichteter Kampagnen, die bei einem Scan von nur einem Standort unsichtbar geblieben wären.
Schritt 4: Reverse Proxy oder WAF für Ihre eigenen Domains einsetzen
Jetzt wechseln wir von der Erkennung ausgehender Bedrohungen zur Abwehr eingehender Angriffe. Reverse Proxys und WAFs sitzen vor Ihren Web-Anwendungen und prüfen den eingehenden Traffic, bevor er Ihre Server erreicht.
So geht’s:
- Lenken Sie das DNS Ihrer Domain auf einen Reverse-Proxy-Anbieter. Cloudflare ist für KMU die zugänglichste Option — DNS, CDN, WAF und Regeln in einer Oberfläche. Für bei AWS gehostete Anwendungen funktioniert AWS WAF gut, wenn Sie ohnehin CloudFront, ALB oder API Gateway einsetzen.
- Aktivieren Sie verwaltete WAF-Regeln. Diese blockieren bekannte bösartige IPs, filtern Bot-Traffic und erkennen Muster von Credential Stuffing.
- Aktivieren Sie Ratenlimits für Login-, Passwort-Reset- und Kontaktformulare.
- Ergänzen Sie Bot- oder Challenge-Regeln für risikoreiche Endpunkte.
- Werten Sie WAF-Ereignisse wöchentlich aus — nicht nur einmal einrichten und vergessen.
Erwartetes Ergebnis: Eingehender schädlicher Traffic wird gefiltert, bevor er Ihre Server erreicht. Credential-Stuffing-Versuche gegen Ihre Login-Seiten werden blockiert oder per Challenge gestoppt.
Schritt 5: Laufende Überwachung automatisieren und terminieren
Phishing ist keine einmalige Prüfung. Täglich entstehen neue Domains, Kits und Infrastrukturen — also braucht auch das Monitoring einen festen Rhythmus:
- Täglich: CT-Scan auf Lookalike-Domains und Warteschlange verdächtiger Domains.
- Täglich oder stündlich (für risikoreiche Marken): Sandbox-Prüfung neu entdeckter URLs.
- Wöchentlich: Auswertung aggregierter DMARC-Reports und Musteranalyse von Spoofing.
- Wöchentlich: WAF-Ereignisse auf Credential Stuffing und Bot-Spitzen prüfen.
- Monatlich: Fortschritt beim Rollout phishing-resistenter MFA prüfen.
- Quartalsweise: Finanz- und HR-Workflows gegen realistische AiTM- und BEC-Szenarien testen.
Thunderbit-Bezug: Die geplanten Scraping- und CLI/API-Workflows von Thunderbit können wiederkehrendes Monitoring für nicht-technische Operations-Teams übernehmen. Der beste Anwendungsfall ist nicht „Thunderbit verhindert Phishing im Alleingang“, sondern „Thunderbit hilft Operations-Teams, strukturierte Signale aus verdächtigen Seiten und Domain-Monitoring-Quellen zu sammeln, ohne einen eigenen Scraper von Grund auf bauen zu müssen.“ Die Ergebnisse lassen sich zur Team-Transparenz nach Google Sheets oder Airtable einspeisen oder per einfacher Integration an Slack schicken.
Erwartetes Ergebnis: Ein durchgehender Monitoring-Kreislauf, der neue Bedrohungen innerhalb von Stunden statt Wochen erkennt.
Was Proxys nicht abfangen: E-Mail mit DMARC, SPF und DKIM absichern
Diesen Teil verschweigen Ihnen Proxy-Anbieter oft: Proxys sind nur eine Verteidigungsebene. E-Mail-basiertes Phishing, das gar keinen Proxy berührt, braucht einen eigenen Schutz.
Viele Phishing-Angriffe kommen über gefälschte Absenderadressen. Ein Proxy fängt diese nicht ab.
SPF mit Hard Fail einrichten
SPF (Sender Policy Framework) ist ein DNS-Eintrag, der festlegt, welche IPs E-Mails im Namen Ihrer Domain versenden dürfen. Konfigurieren Sie -all (Hard Fail) statt ~all (Soft Fail), damit nicht autorisierte Absender konsequent abgewiesen werden.
Häufiger Fehler: Man vergisst, alle legitimen Versanddienste zu berücksichtigen — CRM, Marketing-Plattform, Transaktionsmailer, Helpdesk. Prüfen Sie Ihre Versandquellen, bevor Sie den Eintrag veröffentlichen.
DKIM-Signierung einführen
DKIM (DomainKeys Identified Mail) versieht ausgehende E-Mails mit einer kryptografischen Signatur. Der Empfänger prüft damit, ob die Nachricht unterwegs verändert wurde. Sowohl Google Workspace als auch Microsoft 365 liefern integrierte Anleitungen zur DKIM-Einrichtung. Das dauert rund 15 Minuten.
DMARC auf Reject durchsetzen
DMARC (Domain-based Message Authentication, Reporting & Conformance) sagt empfangenden Servern, was zu tun ist, wenn SPF- oder DKIM-Prüfungen scheitern. Den entscheidenden Schritt überspringen die meisten Organisationen: von p=none (nur überwachen) auf p=reject (fehlerhafte Nachrichten blockieren) umstellen — nachdem die legitimen Mailflüsse geprüft wurden.
Viele Unternehmen lassen DMARC dauerhaft auf p=none stehen — Sichtbarkeit ohne Schutz. Das ist, als würde man eine Überwachungskamera anbringen, die Tür aber nie abschließen.
Defensive Registrierung von Lookalike-Domains
Registrieren Sie vorausschauend häufige Tippfehler und ähnlich aussehende Domains Ihrer Marke. Versehen Sie diese defensiven Domains mit DMARC-Reject-Richtlinien, damit sie sich nicht für gefälschte E-Mails missbrauchen lassen. Für 10–15 USD pro Domain und Jahr ist das eine der günstigsten Maßnahmen mit dem größten Effekt — und viele kleine Unternehmen übersehen sie komplett.
Alles zusammenführen: Eine mehrschichtige Abwehr gegen Phishing
Kein einzelnes Werkzeug stoppt Phishing. Erst das Zusammenspiel macht die Verteidigung belastbar. Praxis-Checkliste:
Outbound (Bedrohungen untersuchen):
- Proxy-basierte URL-Prüfung für verdächtige Links
- Domain-Monitoring über CT-Logs und Batch-Extraktion
- Geo-verteilte Tests für regional zielgerichtete Kampagnen
Inbound (eigene Systeme schützen):
- Reverse Proxy / WAF für Ihre Web-Domains
- DMARC/SPF/DKIM für die E-Mail-Authentifizierung
- Defensive Registrierung von Lookalike-Domains
Authentifizierung (Konten schützen):
- FIDO2 / Passkeys für phishing-resistente MFA
- Conditional-Access-Richtlinien (konforme Geräte, risikobasierte Prüfungen)
- Verfahren für Überwachung und Widerruf von Session-Tokens
Menschen (die letzte Sicherheitslinie):
- Schulungen speziell zu AiTM-Ködern, QR-Codes und BEC-Szenarien
- Klare Meldekultur — verdächtige Nachrichten einfach und ohne Nachteile melden können
- Regelmäßige Tests von Finanz- und HR-Workflows gegen realistische Phishing-Szenarien
Dieser Ansatz folgt dem NIST Cybersecurity Framework und seinem Prinzip der Verteidigung in der Tiefe: mehrere voneinander unabhängige Schichten, sodass der Ausfall einer Schicht nicht gleich zur vollständigen Kompromittierung führt.
Für Teams, die verdächtige URLs untersuchen, Bedrohungsdaten scrapen oder Domains im großen Maßstab überwachen müssen, kann Thunderbits AI Web Scraper den Workflow beschleunigen — als Chrome-Erweiterung für Nicht-Techniker, als API/CLI für technische Teams. Ein Sicherheitsprodukt im engeren Sinn ist es nicht, einen Platz im Werkzeugkasten von Analysten verdient es trotzdem. Mehr dazu finden Sie unter Web Scraping ohne Programmierung oder bei den Ansätzen zum AI Web Scraping in unserem Blog.
KI-Web-Scraping für Threat Monitoring nutzen Get Started Free
FAQs
Wie nutzen Angreifer Proxys für Phishing-Angriffe?
Angreifer setzen Residential- und Rotating-Proxys ein, um ihre echte IP zu verbergen, über vertrauenswürdige Adressen zu rotieren, IP-basierte Betrugserkennung zu umgehen und AiTM-Reverse-Proxys zu betreiben, die authentifizierte Sitzungen abfangen — sogar dann, wenn das Opfer MFA bereits abgeschlossen hat. Die IPIDEA-Operation im Januar 2026 zeigte, dass über 550 Bedrohungsgruppen ein einziges Residential-Proxy-Netzwerk nutzten.
Wie verhindert ein Reverse Proxy Phishing und Website-Kompromittierung?
Ein Reverse Proxy sitzt vor Ihren Webservern und prüft den eingehenden Traffic, bevor er Ihre Infrastruktur erreicht. Er blockiert bekannte schädliche IPs, filtert Bot-Traffic, begrenzt Login-Versuche und erkennt Credential-Stuffing- oder phishingbezogene Aktivitäten. Mitarbeitende davor zu bewahren, auf ausgehende Phishing-Links zu klicken, leistet er allerdings nicht.
Können Proxys Phishing vollständig verhindern?
Nein. Proxys sind eine wichtige Ebene, aber E-Mail-basiertes Phishing braucht DMARC/SPF/DKIM, und Session-Hijacking durch AiTM-Angriffe erfordert phishing-resistente MFA wie FIDO2/Passkeys. Eine mehrschichtige Verteidigung aus Proxys, E-Mail-Authentifizierung, phishing-resistenten Anmeldedaten und Mitarbeiterschulung ist unverzichtbar.
Was ist AiTM-Phishing und warum stoppt MFA es nicht?
AiTM-Phishing (Adversary-in-the-Middle) schiebt einen Reverse Proxy zwischen Opfer und echte Login-Seite und fängt das Session-Token ab, nachdem MFA abgeschlossen wurde. Klassische MFA stoppt das nicht, weil der Angreifer nicht das Passwort stiehlt, sondern die authentifizierte Sitzung. FIDO2/Passkeys sind gegen diesen Angriff resistent, weil die kryptografische Challenge an die legitime Domain gebunden ist und sich nicht über den Proxy des Angreifers wiederverwenden lässt.
Welcher Proxy-Typ ist am besten für die Phishing-Erkennung?
Datacenter-Proxys eignen sich am besten für Massen-URL-Scans (schnell und günstig). Residential-Proxys sind erste Wahl für geo-gezielte Tests (realistisch, aber teurer — auf ethische Herkunft prüfen). Reverse Proxys/WAFs eignen sich am besten zum Schutz der eigenen Websites. Am stärksten ist eine Kombination, abhängig davon, was Sie erkennen oder schützen wollen.
Thunderbit für Threat Monitoring und AI-Scraping testen Get Started Free
Mehr erfahren
