Malte ZanderInhalt
Für Angreifer ist die Anmeldeseite eines SaaS-Produkts der direkte Weg zu Kundendaten, Zahlungen und oft in die Systeme der Kunden selbst. Kopien entstehen heute mit Phishing-Kits und KI-Werkzeugen in Minuten, und Proxy-Seiten umgehen klassische Zwei-Faktor-Logins. Finden Sie Kopien über neue Domains, Zertifikatslogs, Kundenmeldungen und Ihre eigenen Logs, lassen Sie sie mit dem Framing Phishing parallel entfernen und machen Sie Phishing mit phishingresistenter Anmeldung wirkungslos.
- Im vierten Quartal 2025 waren SaaS- und Webmail-Anbieter sowie Social-Media-Marken mit je 20,3 % die am stärksten angegriffenen Branchen (APWG).
- Im Juli 2025 fand Okta KI-generierte Nachbauten von Anmeldeseiten mehrerer Marken. Logos und weitere Dateien lagen auf derselben vertrauenswürdigen Plattform (Okta).
- Microsoft führte Adversary-in-the-Middle-Kampagnen gegen mehr als 10.000 Organisationen auf das Open-Source-Kit Evilginx2 zurück (Microsoft).
- CISA stuft Codes aus Apps und Push mit Number Matching als anfällig für Phishing ein und nennt FIDO/WebAuthn als phishingresistent (CISA).
Warum ist Ihre Anmeldeseite das wertvollste Ziel?
Weil hinter einem SaaS-Login selten nur ein Konto steckt. Ein Administratorkonto eines Kunden öffnet dessen Daten, Nutzerverwaltung, Integrationen und oft Zahlungsdaten. Wer es übernimmt, kann weitere Nutzer anlegen, Daten exportieren oder Rechnungen umleiten. Für Angreifer ist das effizienter als jeder Einbruch, und es beginnt mit einer Kopie Ihrer Anmeldeseite.
Dazu kommt Vertrauen. Ihre Kunden kennen Ihr Logo und Ihre Mails und erwarten, sich regelmäßig anzumelden. Eine Mail „Ihre Sitzung ist abgelaufen“ mit einem Link zu einer perfekten Kopie wirkt völlig normal.
Wie arbeiten Angreifer heute?
Schneller und mit weniger Aufwand als noch vor wenigen Jahren:
Phishing-Kits liefern fertige Kopien bekannter Anmeldeseiten. Wie sie funktionieren, erklärt Phishing-Kits.
KI-Werkzeuge bauen eine Anmeldeseite aus einem Screenshot oder einer Beschreibung nach, und die Dateien liegen oft auf Plattformen, denen Filter vertrauen.
Proxy-Seiten reichen Ihre echte Anmeldung live durch und greifen dabei Passwort, Code und Session-Cookie ab. Darum stoppt ein klassischer Zwei-Faktor-Login sie nicht, siehe Warum Zwei-Faktor-Login nicht jede Phishing-Seite stoppt.
Domains, die nach Ihnen aussehen, etwa [ihre-marke]-login.com, sso-[ihre-marke].com oder [kunde].[ihre-marke]-app.com, das letzte Muster gezielt für einzelne Kunden.
Köder, die zu SaaS passen: „Ihre Testphase endet“, „Neue Rechnung verfügbar“, „Ein Dokument wurde für Sie freigegeben“ oder „Ungewöhnliche Anmeldung erkannt“.
Wo finden Sie Kopien Ihrer Anmeldeseite?
An fünf Stellen, die zusammen ein gutes Bild ergeben:
Neu registrierte Domains mit Ihrem Namen, Tippfehlern, Homoglyphen oder Zusätzen wie login, sso, auth oder app.
Certificate-Transparency-Logs, in denen neue TLS-Zertifikate für solche Domains öffentlich erscheinen. Siehe TLS-Zertifikate lesen.
Meldungen Ihrer Kunden, am einfachsten über einen Meldeweg auf der Anmeldeseite und im Hilfebereich.
Support-Tickets zu Anmeldungen, die Kunden nicht erkennen, oder zu Mails, die Sie nie verschickt haben.
Ihre eigenen Logs. Manche Kopien laden Logo, Schrift oder Stylesheet direkt von Ihrem Server, fremde Referer verraten sie. Und gehäufte Anmeldungen aus ungewöhnlichen Netzen können auf eine Proxy-Seite hindeuten.
Woran Ihr Team eine Kopie im Einzelfall erkennt, zeigt Gefälschte Login-Seiten erkennen.
Was tun Sie, wenn Sie eine Kopie finden?
Takedown und Kontoschutz laufen parallel:
Beweise sichern: vollständiger Link, Screenshots auf Desktop und Mobil, Köder-Mail mit Headern, Domain-, DNS- und Hostingdaten. Siehe Beweise einer Fake-Website sichern.
Als Phishing melden, parallel an Hoster, Registrar, DNS-Anbieter und Google Safe Browsing. Phishing-Meldungen haben bei Hostern höchste Priorität. Liegt die Seite hinter einem CDN, hilft Phishing-Seite hinter Cloudflare melden.
Betroffene Konten absichern: Sessions und Tokens widerrufen, Passwörter zurücksetzen und prüfen, ob neue MFA-Geräte, Nutzer oder API-Schlüssel angelegt wurden.
Kunden informieren, sachlich und mit klaren Schritten. Eine Vorlage enthält Kunden vor einer Fake-Website warnen.
Den Fall offen halten. Kits laufen oft unter vielen Domains gleichzeitig, siehe Fälle verknüpfen.
Wie machen Sie Phishing wirkungslos?
Indem Sie dafür sorgen, dass gestohlene Eingaben nichts mehr nützen:
Phishingresistente Anmeldung anbieten, etwa Passkeys oder Sicherheitsschlüssel nach FIDO/WebAuthn. Sie binden die Anmeldung an Ihre echte Domain, eine Kopie kann sie nicht weiterreichen.
Für Administratorkonten verpflichtend machen, zumindest für Konten mit Zugriff auf Nutzerverwaltung, Zahlungen und Integrationen.
Eine einzige Login-Adresse auf Ihrer eigenen Domain, die sich nie ändert und überall gleich genannt wird.
Keine Login-Links in Mails. Wer weiß, dass Sie nie direkt zur Anmeldung verlinken, misstraut jeder Mail, die es tut.
Eine Sicherheitsseite mit Ihren offiziellen Domains und einem Meldeweg für verdächtige Links.
Wie hilft AI Fraud Protect?
AI Fraud Protect findet Lookalike-Domains und nachgebaute Anmeldeseiten mit Ihrem Namen. Der Domain-Scanner prüft nach Zeitplan bis zu 20.000 Varianten Ihrer Domains, mit Tippfehlern, Homoglyphen und Zusätzen wie login, und über das Melde-Widget auf Ihrer Anmeldeseite melden Kunden einen verdächtigen Link in einem Schritt. Die KI vergleicht jeden Fund mit Ihrer echten Anmeldeseite auf Desktop und Mobil und nennt, was kopiert wurde. Für Phishing gibt es ein eigenes Framing, das Beweispaket entsteht automatisch, und jede Meldung an Hoster, Registrar, DNS-Anbieter und Google prüft und versendet ein Mensch.
Starten Sie den kostenlosen Fraud-Scan für einen Kurzreport innerhalb von 48 Stunden oder fragen Sie eine Demo an, um Erkennung, Beweise und Takedown in der App zu sehen.
Häufige Fragen
Schützen Passkeys vor Login-Phishing?
Ja, gegen die üblichen Phishing-Seiten und Proxys. Ein Passkey funktioniert nur auf der Domain, für die er angelegt wurde. Auf einer Kopie unter fremder Domain gibt es nichts abzugreifen.
Müssen wir Kunden informieren, wenn Konten übernommen wurden?
Das hängt von Verträgen und Recht ab, etwa von Pflichten nach Datenschutzrecht. Klären Sie das mit Rechtsabteilung und Datenschutz. Das ist keine Rechtsberatung. Betroffene Kunden direkt und früh zu informieren, ist fast immer sinnvoll.
Was, wenn die Kopie bei einem großen Cloud-Anbieter liegt?
Dann melden Sie dort, über das Abuse-Formular des Anbieters. Je genauer der Link und die Belege, desto leichter findet der Anbieter die Seite in seinem Netz. Melden Sie trotzdem parallel an Registrar und Google Safe Browsing.
Wie oft sollten wir nach Kopien suchen?
Laufend. Neue Domains entstehen jeden Tag, deshalb gehören ein Scan nach Zeitplan und ein ständig offener Meldeweg für Kunden zusammen.
Quellen
APWG Phishing Activity Trends Report, Q4 2025, veröffentlicht am 18. Februar 2026
Okta Threat Intelligence: v0 als Werkzeug für Phishing-Seiten, 1. Juli 2025
Microsoft Security: AiTM-Phishing als Einstieg in Finanzbetrug, 12. Juli 2022
CISA: Implementing phishing-resistant MFA, Oktober 2022