Sicherheitsforscher von Rapid7 haben den Vorhang gelüftet, wie moderne Phishing-Operationen aufgebaut sind, nachdem sie einen offen zugänglichen Server mit 1.048 Dateien entdeckten, der mit einer laufenden Kampagne gegen Opfer in Mexiko verbunden ist. Der Fund verknüpft eine KI-gestützte Phishing-Pipeline direkt mit Malware, die über WebDAV ausgeliefert wird – ein Protokoll, von dem die meisten noch nie gehört haben, das Angreifer jedoch zunehmend nutzen, um Schaddateien an Schutzmaßnahmen vorbei zu schleusen.

Die Entdeckung ist weniger wegen der Opferzahl bedeutsam, sondern vielmehr wegen dessen, was sie offenbart: einen funktionierenden Bauplan, wie generative KI-Tools heute in die Phishing-Lieferkette eingebettet sind – vom Erstellen der Köder bis zur Auslieferung der Schadsoftware.

Was Rapid7 auf dem offenen Server fand

Laut den Untersuchungen von Rapid7 war der offene Server nicht so abgesichert, wie es eine operative Angreiferinfrastruktur sein sollte. Diese Fehlkonfiguration ermöglichte es den Forschern, 1.048 Dateien zu sammeln – praktisch eine Momentaufnahme des Werkzeugkastens, mit dem ein Angreifer eine aktive Phishing- und Malware-Kampagne gegen Ziele in Mexiko betrieb.

Offene Command-and-Control- oder Staging-Server sind in der Threat-Intelligence-Welt nichts Ungewöhnliches. Angreifer machen genauso Fehler wie Verteidiger, und wenn sie einen Server ungeschützt lassen, erhalten Forscher einen seltenen Einblick in die Maschinerie hinter einer Kampagne, statt nur deren Nachwirkungen zu sehen. In diesem Fall umfasste diese Maschinerie Hinweise auf eine KI-gestützte Phishing-Pipeline, was bedeutet, dass die Betreiber an irgendeiner Stelle im Prozess der Erstellung oder Verfeinerung ihrer Köder große Sprachmodelle einsetzten.

Einblick in die KI-gestützte Phishing-Pipeline

Der Einsatz von KI beim Phishing ist keine neue Theorie; er hat sich in diesem Jahr zu einem dokumentierten Muster über mehrere Kampagnen hinweg entwickelt. Was die Ergebnisse von Rapid7 besonders macht, ist die direkte Verbindung zwischen einer LLM-gestützten Content-Pipeline und einer funktionierenden Malware-Lieferkette auf WebDAV-Basis – und nicht nur isolierte Beispiele KI-generierter Phishing-E-Mails.

Dies spiegelt einen breiteren Wandel wider, der in der gesamten Branche dokumentiert ist. Kampagnen wie VENOMOUS#HELPER, bei der mehr als 80 US-Organisationen über legitime Tools zur Fernüberwachung und -wartung kompromittiert wurden, zeigen, wie Angreifer zunehmend auf vertraute Alltagstechnologie setzen, um unentdeckt zu bleiben. KI-gestützte Inhaltserstellung folgt derselben Logik: Sie erlaubt Angreifern, überzeugende, gut geschriebene und lokalisierte Köder in großem Maßstab zu produzieren, ohne fließende Sprachkenntnisse oder großen manuellen Aufwand – die Hürde für eine glaubwürdige Kampagne sinkt.

Warum WebDAV der bevorzugte Auslieferungsmechanismus ist

WebDAV (Web Distributed Authoring and Versioning) ist ein Protokoll, das es Nutzern ermöglicht, Dateien auf einem entfernten Webserver zu verwalten und zu bearbeiten, ähnlich einem über HTTP erreichbaren Netzlaufwerk. Da es in Windows integriert und in legitimen Geschäftsumgebungen weit verbreitet ist, löst der Datenverkehr zu WebDAV-Servern nicht immer Alarmglocken aus, so wie es der Download einer unbekannten ausführbaren Datei tun würde.

Genau diese Vertrautheit macht es für Angreifer attraktiv. Eine bösartige, auf einer WebDAV-Freigabe gehostete Datei kann in einer Phishing-E-Mail oder einem Dokument so referenziert werden, dass es wie ein routinemäßiger Dateizugriff aussieht. So kann die Schadsoftware an Nutzern vorbeigelangen – und in einigen Fällen auch an Sicherheitswerkzeugen, die nicht darauf ausgelegt sind, WebDAV-Verbindungen genau zu prüfen.

Dies passt zu einem Muster, das sich durch die großen Vorfälle des Jahres zieht. Wie der Verizon 2026 Data Breach Investigations Report feststellte, haben Software-Schwachstellen Passwörter als häufigsten Einstiegspunkt für Sicherheitsverletzungen überholt, doch Social Engineering und der Missbrauch vertrauenswürdiger Protokolle bleiben entscheidende Begleittaktiken, die Angreifer an der ersten Verteidigungslinie vorbeibringen, bevor ein technischer Exploit zum Einsatz kommt.

Was das für Sie bedeutet

Wenn Sie in Mexiko leben oder mit Organisationen zusammenarbeiten, die dort tätig sind, ist diese Kampagne eine direkte Mahnung, unerwartete Links zu Dateifreigaben und Login-Aufforderungen mit Misstrauen zu begegnen, selbst wenn sie professionell und ausgefeilt wirken. KI-gestützte Phishing-Inhalte sind gezielt darauf ausgelegt, die grammatikalischen und stilistischen Fehler zu beseitigen, die früher ein verlässliches Warnsignal waren.

Für alle anderen besteht die übergeordnete Lehre darin, dass sich Phishing-Kits schneller weiterentwickeln, als die meisten Nutzer lernen, sie zu erkennen. Die Übersicht über die größten Cyberangriffe 2026 zeigt ein durchgängiges Thema: Angreifer professionalisieren ihre Werkzeuge, oft schneller, als die verteidigenden Organisationen ihre Schulungen und Erkennungsmethoden anpassen können.

Konkrete Handlungsempfehlungen

  • Seien Sie misstrauisch gegenüber unerwarteten Links zu Dateifreigaben oder Dokumenten, selbst wenn die E-Mail oder Nachricht gut geschrieben und legitim erscheint.
  • Verifizieren Sie ungewöhnliche Aufforderungen, freigegebene Dateien zu öffnen, über einen zweiten Kanal – etwa einen Telefonanruf oder eine separate Messaging-App – bevor Sie klicken.
  • Halten Sie Endpoint-Security und E-Mail-Filter aktuell, denn die Auslieferung über WebDAV kann Abwehrmaßnahmen umgehen, die nur auf gängige Anhangstypen ausgelegt sind.
  • Unternehmen sollten prüfen, welche Protokolle – einschließlich WebDAV – im Netzwerk erlaubt sind, und den Zugriff dort einschränken, wo er betrieblich nicht notwendig ist.
  • Bleiben Sie informiert, wie sich KI-gestützte Phishing-Techniken weiterentwickeln, denn die sprachliche und persönliche Anpassung der Köder wird sich voraussichtlich weiter verbessern.

Der von Rapid7 aufgedeckte offene Server bietet einen seltenen, konkreten Einblick, wie KI-Werkzeuge in reale Phishing-Operationen integriert werden, statt ein theoretisches Risiko zu bleiben. Zu verstehen, wie diese KI-gestützten Phishing-Kampagnen aufgebaut sind, ist der erste Schritt, sie zu erkennen, bevor sie erfolgreich sind.