Fallstudie: MagicCat — Phishing als Mietmodell
Wie aus einer DHL-SMS ein 884.000-fach-Datenraub wurde.
Ein 24-jähriger Chinese baut eine Software, mit der 600 andere Kriminelle in sieben Monaten 884.000 Kreditkarten erbeuten. Marktanteil unter allen Phishing-SMS weltweit: geschätzt 70 bis 80 Prozent. Was die Bank-IT daraus mitnehmen sollte.
Worum es geht
Im Dezember 2023 beginnt in Norwegen, Deutschland, Frankreich und vielen anderen Ländern eine Welle von SMS, iMessages und RCS-Nachrichten: angebliche Paketankündigungen, Zollgebühr-Aufforderungen, Mautnachzahlungen. Wer klickt, landet auf einer optisch perfekt nachgebauten Webseite — DHL, Hermes, Telekom, der GEZ-Rundfunkbeitrag, in anderen Ländern auch Postdienste, Mautbetreiber und Banken. Wer dort Adresse und Kreditkartennummer eingibt, sieht innerhalb von Tagen das Geld vom Konto verschwinden.
Lange war unklar, wer dahintersteckt. Erst eine internationale Recherche von Bayerischem Rundfunk, der norwegischen NRK und Le Monde, gestützt auf monatelange Reverse-Engineering-Arbeit der norwegischen Sicherheitsfirma Mnemonic, deckte 2024 und 2025 ein hochprofessionelles Ökosystem auf. Die dreiteilige BR-Dokumentation „Kings of Scam — Wer klickt, verliert" dokumentiert die Recherche in der ARD Mediathek.
Drei Folgen, ca. 75 Minuten — die zentrale Quelle dieser Fallstudie.
Im Zentrum: eine Software namens MagicCat und ihr Entwickler mit dem Pseudonym Darcula — ein Wortspiel aus dem englischen fishing, das schon im Logo (eine Katze, die nach Fisch jagt) mitschwingt.
Lucy und Fabrice — der menschliche Maßstab
In Folge eins der BR-Doku schildern Lucy und Fabrice aus Berlin, was eine einzige verlorene Sekunde Aufmerksamkeit kostet: 1.650 Euro vom Konto, restlos abgeräumt. Lucy arbeitet in einem Kaufhaus, hat einen freien Tag und versucht parallel mehrere Dinge zu erledigen. Die SMS sieht aus wie eine DHL-Sendungsbestätigung — das Paar bestellt regelmäßig Tiernahrung online, also fügt sich die Nachricht nahtlos in den Alltag ein. Ein Klick, eine Eingabe, fertig.
Diese Geschichte ist nicht spektakulär — und genau das ist der Punkt. Die Stärke von MagicCat liegt nicht in technischer Brillanz, sondern in der industriellen Skalierung der Glaubwürdigkeit.
Das Geschäftsmodell: Phishing-as-a-Service
Darcula selbst stiehlt keine Kreditkartendaten. Er verkauft das Werkzeug, das andere damit klauen lässt. Klassisches Softwaregeschäft, nur eben kriminell:
| Komponente | Ausprägung bei MagicCat |
|---|---|
| Lizenzmodell | Wochen-Miete, mehrere hundert US-Dollar |
| Aktivierung | Zentraler Lizenzserver mit Hostnamen-Trigger |
| Vertrieb | Geschlossene Telegram-Gruppen, Einladungsmodell |
| Support | Darcula selbst beantwortet Bug-Reports und Featurewünsche |
| Release-Zyklen | Regelmäßige Versions-Updates, ab v3.0 (2/2025) mit GenAI |
| Operatoren weltweit | Über 600 Gruppen, geschätzt 30.000+ Telegram-Mitglieder |
| Templates ab Werk | Rund 300 vorgefertigte Marken-Klone |
MagicCat ist damit das, was die ISO 27002 Control 5.7 (Threat Intelligence) als „kommerzialisierte Angreifer-Toolchain" kennzeichnen würde — eine Plattform, die nicht-technische Käufer in die Lage versetzt, Phishing in industriellem Maßstab zu betreiben.
Schätzungen des US-Sicherheitsberaters Ford Merrill, der mehrere Strafverfolgungsbehörden berät: 70 bis 80 Prozent aller weltweiten Phishing-Webseiten im Jahr 2024 sind mit MagicCat oder einem direkten Derivat gebaut. Im Beobachtungszeitraum der Mnemonic-Forscher (Dezember 2023 bis Mitte 2024) erbeuten Operatoren mit MagicCat etwa 884.000 Kreditkartendatensätze bei rund 13 Millionen Klicks.
Der technische Ablauf in fünf Phasen
Der MagicCat-Scam ist ein Lehrstück für die Cyber Kill Chain, weil hier praktisch jede klassische Verteidigungslinie elegant umgangen wird. Fünf Phasen, jede mit einer eigenen technischen Pointe — und die Cyber-Kill-Chain-Stufe als Tag links daneben.
Der Real-Time-Datenklau ist der eigentliche Schock der Mnemonic-Recherche. Wer einmal verstanden hat, wie das Streaming-Modell funktioniert, sieht klassische Phishing-Verteidigung in einem anderen Licht. Drei Ebenen lohnen den Blick:
1. Architektur — wer redet mit wem
Das Modell ist konzeptuell ein Chatroom mit zwei Raumtypen:
jedes Opfer landet im default-Raum, alle
eingegebenen Daten werden vom Server in den admin-Raum
weitergeleitet, wo ein oder mehrere Operatoren live mitlesen. Der Operator
kann von dort aus Steuer-Events zurück senden — die Phishing-Seite
reagiert clientseitig darauf, blendet z. B. ein neues TAN-Eingabefeld
oder einen Apple-Pay-Bestätigungs-Dialog ein.
2. Der Tech-Stack im Detail
Populäre Echtzeit-Bibliothek auf Node.js-Basis. WebSocket
als primärer Transport, Long-Polling als Fallback. Event-getriebenes
API (socket.emit(...), socket.on(...)) und
eingebautes Rooms-Konzept — perfekt fürs Chatroom-Modell.
Rabbit: Stream Cipher aus dem eSTREAM-Projekt (128-Bit-Schlüssel). Heute kaum noch genutzt — AES-GCM ist Standard. crypto-js: JavaScript-Bibliothek, läuft komplett im Browser. Heißt: jeder kann den Schlüssel aus dem JS extrahieren.
Wer die Socket.IO-URL und den Klartext-Schlüssel kennt, kann
jedem Raum beitreten — auch dem admin. Es gibt
keine echte Authentifizierung. Mnemonic nutzt genau das, um
den Live-Stream der Operatoren mitzulesen.
3. Wie Mnemonic den Schlüssel geknackt hat
- Phishing-Seite über Mobilfunk-Hotspot in den Desktop-Browser geladen (Phase-2-Filter umgangen), DevTools geöffnet.
- Im Network-Tab: alle Socket.IO-Frames sind als chiffrierte Strings sichtbar — aber durchgehend lesbare Struktur.
- JavaScript-Source de-obfuskiert: Variablen-Namen
verraten, dass
CryptoJS.Rabbitverwendet wird. Der Schlüssel ist als Konstante im Code hinterlegt. -
Schlüssel extrahiert, eigener Socket.IO-Client gebaut, dem
admin-Raum beigetreten — und einen Live-Strom hunderter Opfer-Daten mitgeschnitten. - Forensisches Ergebnis: 884.000 Kreditkartendatensätze über sieben Monate, plus die Adressen, Telefonnummern und TAN-Folgen.
Aus Bank-IT-Sicht ist das alles weniger ein Kryptographie-Problem als ein architektonisches: clientseitige „Verschlüsselung" ist immer Obfuskation, keine Vertraulichkeit. Phishing-Verteidigung muss deshalb auf Transaktions- und Authentifizierungs-Ebene greifen, nicht auf Inhalts-Ebene des Phishing-Frames.
Vom Paketdienst zur Bank — die deutsche Smishing-Landschaft
In der NRK-Recherche gibt es eine Excel-Tabelle aller MagicCat-Marken-Templates. Für Deutschland sind dort vor allem DHL, Deutsche Telekom, Hermes und die Rundfunkbeitrag-Webseite abgebildet. Banken-Templates für deutsche Institute sind im MagicCat-Set bemerkenswert unterrepräsentiert — anders als für britische, französische oder US-Institute.
Das heißt aber nicht, dass deutsche Banken aus dem Schneider sind. Die Verbraucherzentrale NRW dokumentiert kontinuierlich Smishing-Wellen, die exakt nach dem MagicCat-Muster funktionieren, aber andere Phishing-Kits nutzen:
| Bank | Typische Smishing-Geschichte | Charakteristisches Lockmittel |
|---|---|---|
| Postbank | „Ihr BestSign-Verfahren läuft aus" | Reaktivierungsfrist mit Deadline |
| Commerzbank | „Ihre photoTAN-Geräteaktivierung endet am ..." | Geräte-Erneuerung |
| Volks- und Raiffeisenbanken | „Ihr SecureGo+ wurde gesperrt" | Sicherheits-Sperrung |
| Sparkassen | „Bitte steigen Sie auf pushTAN 2.0 um" | Migrationsfrist |
Das technische Vorgehen ist baugleich mit MagicCat: SMS mit knapper Deadline, Link auf optisch perfekte Bank-Webseite, schrittweise Datenabfrage, in Echtzeit weitergeleitet an den Operator, der parallel im echten Online-Banking arbeitet.
Für die Bank-IT bedeutet das: Die operative Bedrohungslage ändert sich nicht dadurch, dass MagicCat die deutsche Postbank nicht im Standard-Template hat. Sie ändert sich dadurch, dass ähnliche Toolchains existieren und ähnliche Dienste anbieten. Die Verteidigung muss generisch sein, nicht templatespezifisch.
Was Bank-IT daraus mitnimmt
Die Fallstudie ist für mehrere Module dieser Academy einschlägig:
Klassische URL-Reputation und E-Mail-Gateway-Filter greifen nicht, wenn der Phishing-Link nur aus Mobilfunknetzen lädt. Verteidigung verlagert sich auf den Endpoint (Mobile Threat Defense), auf den Mobile Carrier (SMS-Filterung beim Provider) und auf transaktionale Erkennung im Bankensystem (verdächtige Geo-Diskrepanz: Apple-Pay-Karte aus DE wird in Bangkok genutzt).
MagicCat zeigt, wie Phishing-as-a-Service als ausgelagerte Wertschöpfungskette funktioniert. Die Frage „Wer ist Angreifer?" hat keine einfache Antwort mehr — Entwickler, Vermieter, Operator und Geldwäscher sind organisatorisch getrennt.
Die 1. Linie muss Fraud-Detection auf Transaktionsebene haben, die ungewöhnliche Apple-Pay-Provisionierungen erkennt. Die 2. Linie definiert die Richtlinien für Mobile-Authentifizierung und entscheidet, ob SMS-TANs noch zeitgemäß sind. Die 3. Linie prüft, ob die definierten Maßnahmen tatsächlich greifen — etwa über Mystery-Shopping und Tabletop-Übungen mit MagicCat-Szenarien.
Wenn ein Kunde meldet, dass nach einer SMS Geld weg ist, ist das ein klassischer S2- oder S3-Vorfall nach der ISO-27035-Klassifizierung. Je nach Anzahl betroffener Kunden und Transaktionsvolumen kann ein orchestrierter MagicCat-Sturm auf eine deutsche Bank schnell die DORA-Schwellen für einen schwerwiegenden IKT-Vorfall überschreiten — mit Erstmeldepflicht an die BaFin innerhalb von vier Stunden.
Die rechtliche Sackgasse
Eine der zentralen Erkenntnisse der BR-Doku formuliert die ehemalige Oberstaatsanwältin Anne Brorhilker, heute Co-Geschäftsführerin der Bürgerbewegung Finanzwende: Die Ermittlungs-Kompetenzen deutscher Behörden enden an der deutschen Grenze, die Kriminalität nicht.
Das Bundeskriminalamt bestätigte gegenüber dem BR, dass das Netzwerk seit Oktober 2024 bekannt sei und beobachtet werde — konkrete Ermittlungen liefen aber nicht, weil die internationale polizeiliche Zusammenarbeit ohne vertragliche Grundlage scheitere. Auf der zivilrechtlichen Seite gibt es 2025 Bewegung: Google reichte im Dezember 2025 in den USA Klage gegen Darcula ein, mit dem ausdrücklichen Ziel, Domains und Infrastruktur gerichtlich beschlagnahmen zu lassen.
Für die Bank-IT ist die Konsequenz unbequem, aber klar: Auf eine staatliche Lösung lässt sich nicht warten. Verteidigung muss in der eigenen Architektur stattfinden — bei der Authentifizierung, der Transaktionserkennung, der Kundenkommunikation und im Vorfallmanagement.
Ausblick: Magic Mouse
Im Sommer 2025 wird die nächste Generation sichtbar. Magic Mouse, vermutlich von einer eigenständigen Entwicklergruppe gebaut, nutzt das gleiche Templatebasis-Fundament wie MagicCat und stiehlt nach Mnemonic-Schätzungen rund 650.000 Kreditkartendatensätze pro Monat. Das Modell ist robust gegen einzelne Takedowns: Wenn Darcula als Person verschwindet, läuft die Maschine weiter — weil sie nie an einer Person hing, sondern an einem Geschäftsmodell.
MagicCat ist nicht nur eine Geschichte über einen 24-jährigen Entwickler in Henan. Es ist eine Geschichte darüber, wie Cyberkriminalität von der Einzeltat zur Plattform-Ökonomie wird — und warum die Bank-IT spätestens jetzt aufhören muss, Phishing als Verbraucherproblem zu behandeln. Es ist ein Resilienz-Thema im Sinne von DORA, und es gehört in den Three-Lines-of-Defense-Apparat jedes Instituts.
Quellen und weiterführendes Material
- 🎬 BR-Doku „Kings of Scam — Wer klickt, verliert" · 3 Folgen, ARD Mediathek
- 🔬 Mnemonic Research Blog · technisches Reverse Engineering von MagicCat
- 📄 NRK — The Hunt for Darcula · englisch, mit Excel-Liste aller Templates
- 📰
- 🛡️ Verbraucherzentrale NRW · aktuelle deutsche Smishing-Beispiele für Banken