Malte ZanderInhalt
Phisher kopieren die Login-Seiten von Lernplattformen, weil dort viele Konten mit Namen, Zahlungsdaten und Zertifikaten liegen und weil Mitarbeitende oft weitreichende Rechte haben. Typisch sind Lookalike-Domains mit Begriffen wie campus, lms oder login und Mails wie „Ihr Kurszugang läuft ab“. Weiterbildungsanbieter schützen sich mit einer einzigen Login-Adresse auf der eigenen Domain, phishingresistentem Login für Mitarbeitende, Monitoring und schnellen Takedowns.
- Logins sind das Hauptziel: Im vierten Quartal 2025 waren Social-Media-Marken sowie SaaS- und Webmail-Anbieter mit je 20,3 % die am stärksten angegriffenen Branchen (APWG).
- Im Juli 2025 berichtete Okta, dass Angreifer das KI-Werkzeug v0 nutzten, um Anmeldeseiten mehrerer Marken nachzubauen (Okta).
- Microsoft beobachtete eine Adversary-in-the-Middle-Kampagne gegen mehr als 10.000 Organisationen, die Zwei-Faktor-Logins durch den Diebstahl von Session-Cookies umging (Microsoft).
- Die US-Cybersicherheitsbehörde CISA stuft Codes aus Apps und Push mit Number Matching als anfällig für Phishing ein (CISA).
Warum zielen Phisher auf Lernplattformen?
Weil ein einziges Login viel öffnet. In einem Teilnehmerkonto liegen Name, Adresse, oft Zahlungsdaten, Kursfortschritt und Zertifikate. Ein Konto von Dozierenden oder Verwaltung reicht häufig bis zu Teilnehmerlisten, Noten und Einstellungen der Plattform. Dazu kommt, dass Weiterbildungsanbieter regelmäßig Mails mit Links an viele Menschen schicken. Eine gefälschte Mail im selben Ton fällt kaum auf.
Für Angreifer ist das ein bekanntes Muster. Logins zählen zu den am häufigsten angegriffenen Zielen überhaupt, und eine Lernplattform sieht für Teilnehmende ähnlich aus wie jede andere Anmeldeseite, die sie nur ab und zu nutzen.
Wie sieht ein gefälschter LMS-Login aus?
Meist ist er eine fast perfekte Kopie Ihrer Anmeldeseite auf einer fremden Domain. Typisch sind diese Merkmale:
Domains mit Ihrem Namen und einem Zusatz wie campus, lms, login, portal oder kurs, oft mit einer anderen Endung als Ihre echte Adresse.
Ein Köder per Mail oder Messenger: „Ihr Kurszugang läuft ab“, „Ihr Zertifikat steht zum Download bereit“ oder „Bitte bestätigen Sie Ihre Rechnung“.
QR-Codes auf gedruckten Unterlagen oder Aushängen, die zur Kopie statt zur echten Plattform führen. Siehe Quishing.
Proxy-Seiten, die Ihre echte Plattform live durchreichen und dabei Passwort, Code und Session abgreifen. Warum das auch bei Zwei-Faktor-Login funktioniert, erklärt Warum Zwei-Faktor-Login nicht jede Phishing-Seite stoppt.
KI-gebaute Kopien, die in Minuten entstehen und oft auf vertrauenswürdigen Plattformen liegen.
Woran erkennen Teilnehmende und Mitarbeitende die Fälschung?
Vor allem an der Adresse, und das sollten Sie ihnen einfach machen. Geben Sie eine Regel aus, die sich merken lässt: Die Plattform immer über ein Lesezeichen oder Ihre Website öffnen, nie über einen Link in einer Mail. Ein Passwortmanager hilft zusätzlich, denn er füllt Zugangsdaten auf einer fremden Domain nicht automatisch aus. Wenn er plötzlich nichts vorschlägt, ist das ein Warnsignal.
Mehr Merkmale, an denen sich Kopien erkennen lassen, zeigt Gefälschte Login-Seiten erkennen.
Was tun Anbieter, wenn eine Fälschung auftaucht?
Schnell und in dieser Reihenfolge:
Beweise sichern: vollständiger Link, Screenshots, Köder-Mail mit Headern, Domain- und Hostingdaten. Siehe Beweise einer Fake-Website sichern.
Als Phishing einordnen. Phishing-Meldungen haben bei Hostern höchste Priorität.
Parallel melden: Hoster, Registrar, DNS-Anbieter und Google Safe Browsing. Die Browser-Warnung schützt, bevor die Seite weg ist, siehe Google Safe Browsing.
Konten absichern: Passwörter betroffener Konten zurücksetzen, aktive Sessions beenden und Anmeldungen der letzten Tage auf ungewöhnliche Orte prüfen.
Teilnehmende informieren, klar und ohne Panik. Eine Vorlage enthält Kunden vor einer Fake-Website warnen.
Datenschutz einbinden, wenn Konten übernommen wurden. Ob Meldepflichten greifen, klärt Ihre Datenschutzstelle.
Für die ersten Stunden hilft ein fester Ablauf, siehe Phishing in Ihrem Namen: Notfallplan für die ersten 24 Stunden.
Wie beugen Sie vor?
Mit fünf Maßnahmen, die Phishing schwerer und Fälschungen leichter erkennbar machen:
Eine einzige Login-Adresse auf Ihrer eigenen Domain, etwa lernen.ihre-marke.de. Läuft Ihre Plattform bei einem Hersteller, nutzen Sie eine eigene Domain, sofern er das anbietet.
Phishingresistenter Login für Mitarbeitende. CISA nennt FIDO/WebAuthn und PKI-basierte Verfahren als phishingresistent. Beginnen Sie bei Konten mit Verwaltungsrechten.
Keine Login-Links in Mails. Verweisen Sie auf die Plattform, statt direkt auf die Anmeldeseite zu verlinken. Dann wirkt jede Mail mit Login-Link verdächtig.
Monitoring auf Lookalike-Domains mit Ihrem Namen und Zusätzen wie campus, lms oder login.
Ein Meldeweg auf der Login-Seite, über den Teilnehmende einen verdächtigen Link in einem Schritt melden.
Ein zusätzlicher Hinweis für Ihre IT: Manche Kopien laden Logo oder Stylesheet direkt von Ihrem Server. Ein Blick auf fremde Referer in den Server-Logs kann solche Kopien früh verraten.
Wie hilft AI Fraud Protect?
AI Fraud Protect findet Lookalike-Domains und nachgebaute Anmeldeseiten Ihrer Lernplattform. Der Domain-Scanner prüft nach Zeitplan Varianten Ihrer Domains, mit Tippfehlern, Homoglyphen und Zusätzen wie login, und über das Melde-Widget auf Ihrer Login-Seite melden Teilnehmende einen verdächtigen Link in einem Schritt. Die KI vergleicht jeden Fund mit Ihrer echten Anmeldeseite auf Desktop und Mobil und nennt, was kopiert wurde. Für Phishing gibt es ein eigenes Framing, das Beweispaket entsteht automatisch, und jede Meldung an Hoster, Registrar, DNS-Anbieter und Google prüft und versendet ein Mensch.
Starten Sie den kostenlosen Fraud-Scan für einen Kurzreport innerhalb von 48 Stunden oder fragen Sie eine Demo an, um Erkennung, Beweise und Takedown in der App zu sehen.
Häufige Fragen
Schützt Zwei-Faktor-Login vor LMS-Phishing?
Nur teilweise. Proxy-Seiten können Codes und Session-Cookies in Echtzeit abgreifen. Phishingresistente Verfahren wie FIDO/WebAuthn binden den Login an die echte Domain und stoppen diese Angriffe. Für Teilnehmende ist ein Passwortmanager ein guter erster Schritt.
Unsere Lernplattform läuft auf der Domain des Herstellers. Ist das ein Problem?
Es erschwert die Erkennung, denn Teilnehmende können eine Kopie auf einer ähnlichen Domain kaum vom Original unterscheiden. Nutzen Sie eine eigene Domain, wenn der Hersteller das erlaubt, und veröffentlichen Sie die genaue Adresse.
Müssen wir Teilnehmende informieren, wenn Konten übernommen wurden?
Oft ist das sinnvoll und je nach Fall auch Pflicht, etwa nach Datenschutzrecht. Klären Sie das mit Ihrer Datenschutzstelle. Das ist keine Rechtsberatung.
Wie schnell muss ein Takedown gehen?
So schnell wie möglich. In einer Studie mit mehr als 286.000 Phishing-URLs lag die Lebensdauer im Median bei nur 5,46 Stunden (Lee u. a., WWW 2025). Melden Sie deshalb parallel an Hoster, Registrar und Google Safe Browsing. Die Browser-Warnung schützt, während die Entfernung läuft.
Quellen
APWG Phishing Activity Trends Report, Q4 2025, veröffentlicht am 18. Februar 2026
Okta Threat Intelligence: v0 als Werkzeug für Phishing-Seiten, 1. Juli 2025
Microsoft Security: AiTM-Phishing als Einstieg in Finanzbetrug, 12. Juli 2022
CISA: Implementing phishing-resistant MFA, Oktober 2022
Lee u. a.: Studie zur Lebensdauer von Phishing-Seiten, The Web Conference 2025