Die Tycoon2FA-Plattform gilt als einer der gefährlichsten Akteure in der globalen Phishing-Landschaft. Seit ihrer Entdeckung vor etwa zwei Jahren durch Sekoia hat sich die Phishing-as-a-Service-Plattform zu einem bevorzugten Werkzeug für Cyberkriminelle entwickelt. Das Besondere: Tycoon2FA implementiert sogenannte Adversary-in-the-Middle-Mechanismen, die es ermöglichen, die Zwei-Faktor-Authentifizierung zu umgehen – eine der wichtigsten Schutzmaßnahmen moderner Online-Konten.
Bei dem Polizeieinsatz am 4. März 2026 gelang es Microsoft und den europäischen Behörden, 330 Domains zu beschlagnahmen, die das Rückgrat der Plattform bildeten. Kurzfristig zeigte sich auch ein Effekt: Die täglichen Phishing-Aktivitäten sanken auf 25 Prozent des Vor-Disruption-Niveaus. Doch bereits Tage später meldete CrowdStrike, dass Tycoon2FA wieder auf Pre-Disruption-Levels aktiv war.
Die rasche Rückkehr verdeutlicht ein grundlegendes Problem bei der Cyberkriminalitätsbekämpfung: Ohne physische Festnahmen der Betreiber oder materielle Beschlagnahmen können Kriminelle ihre Infrastruktur schnell ersetzen. Tycoon2FA nutzte teilweise noch alte, nicht beschlagnahmte Infrastruktur und registrierte zeitnah neue Phishing-Domains und IP-Adressen.
Die Post-Compromise-Aktivitäten zeigen das volle Spektrum der Bedrohung. Cyberkriminelle nutzen die Plattform für Business-Email-Compromise-Attacken (BEC), Email-Thread-Hijacking, Cloud-Account-Übernahmen und die Verbreitung bösartiger SharePoint-Links. Nach der Disruption verlagerten sie sich auf Malware-URLs, Shortener-Services und sogar kompromittierte Domains.
Für deutsche Unternehmen ist dies eine realistische Bedrohung. Besonders Mittelständler mit Microsoft 365-Infrastrukturen sind attraktive Ziele. Die neu angewendeten Techniken – versteckte Postfachordner, spezielle Inbox-Regeln zur Verschleierung von Betrugsmails – sind schwer zu erkennen und bereiten umfassende Kompromittierungen vor.
CrowdStrike betont einen kritischen Punkt: Solange die Nachfrage nach Phishing-Services hoch bleibt, werden neue Plattformen entstehen oder alte wieder auferstehen. Ein nachhaltiger Erfolg erfordert nicht nur technische Maßnahmen, sondern auch die strafrechtliche Verfolgung der Betreiber. Die bisherige Strategie zeigt ihre Grenzen.