Ein seriöser Absender ist noch kein Garant für seriösen Inhalt. Nach Erkenntnissen von KnowBe4-ThreatLabs missbrauchen Angreifer seit Jahren seriöse Dienste wie Docusign, Sharepoint, Adobe-Sign, Dropbox und Google-Drive, um das Vertrauen in diese Dienste auszunutzen. Diese Vorgehensweise wird als „Living Off Trusted Services“ (LOTS) bezeichnet: Angreifer imitieren nicht mehr nur bekannte Marken, sondern missbrauchen zunehmend die Infrastruktur etablierter Dienste.
Im „Phishing Threat Trends Report Vol. 7“ von KnowBe4, veröffentlicht im April 2026, zeigt das KnowBe4-ThreatLab erstmals auf, wie sich diese Maschen verbreiten. Von den 544.000 registrierten Bedrohungs-E-Mails zwischen Juni und August 2026 entfielen allein 53.000 auf LOTS-Techniken – das ist fast jede zehnte der erfassten Bedrohungs-E-Mails.
Betrachtet man den Inhalt der Phishingmails allein, benutzen Cyberkriminelle zum Großteil den Köder „Dokumentfreigabe“ (39,2 %). Die meisten dieser „Dokumentfreigabe“-Köder kommen allerdings nie mit der tatsächlichen Plattforminfrastruktur in Berührung. LOTS-Techniken, bei denen tatsächlich die Infrastruktur der Plattform genutzt wird, bilden hingegen einen kleineren Anteil am Gesamtvolumen, der sich stark auf eine Handvoll Plattformen konzentriert.
Durch die Nutzung renommierter SaaS-Plattformen umgehen Cyberkriminelle effektiv sichere E-Mail-Gateways (Secure-E-Mail-Gateways, SEGs) und herkömmliche Spamfilter, um in großem Umfang Zugangsdaten zu stehlen und schädliche Payloads zu verbreiten. Sie machen sich dabei der allgegenwärtige Präsenz der genutzten Dienste im täglichen Geschäftsbetrieb zunutze. Da diese Unternehmensdienste tief in die routinemäßigen Abläufe von Organisationen integriert sind, genießen die von ihnen generierten automatisierten Benachrichtigungen eine hohe Glaubwürdigkeit, was die Wahrscheinlichkeit drastisch erhöht, dass Empfänger auf bösartige Aufforderungen reagieren.
Docusign und Quickbooks häufig als Service-Köder ausgenutzt
Cyberkriminelle nutzen systematisch renommierte SaaS-Plattformen wie Docusign, Sharepoint, Adobe-Sign, Google-Drive und Dropbox als Waffe. Allein auf Docusign und Quickbooks entfallen fast zwei Drittel des Volumens an Phishingmails im untersuchten Zeitraum. Der stetige Anstieg bei Docusign deutet eher auf anhaltenden Missbrauch als auf eine kurzlebige Kampagne hin. Adobe und Dropbox zeigen ähnliche Wachstumsmuster. Ein derart beständiges Wachstum von Monat zu Monat ist ein deutliches Anzeichen dafür, dass Angreifer aktiv auf diese Plattform vorstoßen.
Der Angriffsablauf ist auf allen Plattformen nahezu identisch: eine kostenlose Registrierung, eine echt wirkende Benachrichtigung und eine Weiterleitung, die ausschließlich vom Angreifer gesteuert wird. Was sich von einer Kampagne zur nächsten ändert, ist lediglich der Markenname in der E-Mail sowie die beobachteten Phishingthemen.
Augenscheinlich bergen Plattformen zur gemeinsamen Nutzung von Dokumenten das höchste Risiko – nicht, weil die Angriffe besonders ausgeklügelt sind, sondern weil Unternehmen ihnen so großes Vertrauen entgegenbringen. Diese E-Mails mit Benachrichtigungsinhalt landen regelmäßig auf den SEG-Zulassungslisten eines Unternehmens, wodurch es sehr wahrscheinlich ist, dass jede von einer dieser Plattformen generierte Benachrichtigung im Posteingang landet, unabhängig davon, wer sie ausgelöst hat.
Phishing-E-Mails mit Service-Köder als Nutzer erkennen
Wenn Nutzer eine unerwartete Dokumentenanfrage, Rechnung oder Dateifreigabe erhalten – unabhängig davon, ob sie den Absender kennen oder nicht, sollten sie zunächst auf Dringlichkeit achten und den Zeitpunkt hinterfragen. Formulierungen, die dazu auffordern, innerhalb eines bestimmten Zeitraums zu agieren sowie überraschende Rechnungen, Unterschriftsanforderung oder Zahlungsbestätigungen sind einen zweiten Blick wert.
Bevor Nutzer einen Link anklicken, sollten sie mit der Maus darüber fahren und sich anzeigen lassen, ob die Ziel-Domain der Schaltfläche mit der Plattform übereinstimmt. Mit diesem einfachen Mittel lässt sich die Echtheit der Nachricht im Zweifel über einen bereits etablierten und vertrauenswürdigen Kanal überprüfen. Sie können den Absender anrufen, sich direkt bei der Plattform anmelden oder sich an die IT-Abteilung wenden. Sie sollten auf keinen Fall Anmeldedaten eingeben und oder einen QR-Code als Reaktion auf eine E-Mail einscannen, wenn sie diese nicht erwartet haben. Verdächtige E-Mails sollten an die IT-Abteilung gemeldet werden.
#KnowBe4
