xbank Academy für IT-Security
Fallstudie · Deep-Dive · 20 Min Lesezeit

Fallstudie: MagicCat — Phishing als Mietmodell

Wie aus einer DHL-SMS ein 884.000-fach-Datenraub wurde.

MagicCat als Phishing-Mietmodell — Visualisierung des Phishing-as-a-Service-Geschäfts mit den vier Schritten Zugang mieten, Phishing-Seite erstellen, Link verteilen, Daten abgreifen

Ein 24-jähriger Chinese baut eine Software, mit der 600 andere Kriminelle in sieben Monaten 884.000 Kreditkarten erbeuten. Marktanteil unter allen Phishing-SMS weltweit: geschätzt 70 bis 80 Prozent. Was die Bank-IT daraus mitnehmen sollte.

Worum es geht

Im Dezember 2023 beginnt in Norwegen, Deutschland, Frankreich und vielen anderen Ländern eine Welle von SMS, iMessages und RCS-Nachrichten: angebliche Paketankündigungen, Zollgebühr-Aufforderungen, Mautnachzahlungen. Wer klickt, landet auf einer optisch perfekt nachgebauten Webseite — DHL, Hermes, Telekom, der GEZ-Rundfunkbeitrag, in anderen Ländern auch Postdienste, Mautbetreiber und Banken. Wer dort Adresse und Kreditkartennummer eingibt, sieht innerhalb von Tagen das Geld vom Konto verschwinden.

Lange war unklar, wer dahintersteckt. Erst eine internationale Recherche von Bayerischem Rundfunk, der norwegischen NRK und Le Monde, gestützt auf monatelange Reverse-Engineering-Arbeit der norwegischen Sicherheitsfirma Mnemonic, deckte 2024 und 2025 ein hochprofessionelles Ökosystem auf. Die dreiteilige BR-Dokumentation „Kings of Scam — Wer klickt, verliert" dokumentiert die Recherche in der ARD Mediathek.

Doku ansehen
Kings of Scam — Millionen mit Fake-SMS (ARD Mediathek) →

Drei Folgen, ca. 75 Minuten — die zentrale Quelle dieser Fallstudie.

Im Zentrum: eine Software namens MagicCat und ihr Entwickler mit dem Pseudonym Darcula — ein Wortspiel aus dem englischen fishing, das schon im Logo (eine Katze, die nach Fisch jagt) mitschwingt.

Lucy und Fabrice — der menschliche Maßstab

In Folge eins der BR-Doku schildern Lucy und Fabrice aus Berlin, was eine einzige verlorene Sekunde Aufmerksamkeit kostet: 1.650 Euro vom Konto, restlos abgeräumt. Lucy arbeitet in einem Kaufhaus, hat einen freien Tag und versucht parallel mehrere Dinge zu erledigen. Die SMS sieht aus wie eine DHL-Sendungsbestätigung — das Paar bestellt regelmäßig Tiernahrung online, also fügt sich die Nachricht nahtlos in den Alltag ein. Ein Klick, eine Eingabe, fertig.

Diese Geschichte ist nicht spektakulär — und genau das ist der Punkt. Die Stärke von MagicCat liegt nicht in technischer Brillanz, sondern in der industriellen Skalierung der Glaubwürdigkeit.

Das Geschäftsmodell: Phishing-as-a-Service

Darcula selbst stiehlt keine Kreditkartendaten. Er verkauft das Werkzeug, das andere damit klauen lässt. Klassisches Softwaregeschäft, nur eben kriminell:

Komponente Ausprägung bei MagicCat
LizenzmodellWochen-Miete, mehrere hundert US-Dollar
AktivierungZentraler Lizenzserver mit Hostnamen-Trigger
VertriebGeschlossene Telegram-Gruppen, Einladungsmodell
SupportDarcula selbst beantwortet Bug-Reports und Featurewünsche
Release-ZyklenRegelmäßige Versions-Updates, ab v3.0 (2/2025) mit GenAI
Operatoren weltweitÜber 600 Gruppen, geschätzt 30.000+ Telegram-Mitglieder
Templates ab WerkRund 300 vorgefertigte Marken-Klone

MagicCat ist damit das, was die ISO 27002 Control 5.7 (Threat Intelligence) als „kommerzialisierte Angreifer-Toolchain" kennzeichnen würde — eine Plattform, die nicht-technische Käufer in die Lage versetzt, Phishing in industriellem Maßstab zu betreiben.

Schätzungen des US-Sicherheitsberaters Ford Merrill, der mehrere Strafverfolgungsbehörden berät: 70 bis 80 Prozent aller weltweiten Phishing-Webseiten im Jahr 2024 sind mit MagicCat oder einem direkten Derivat gebaut. Im Beobachtungszeitraum der Mnemonic-Forscher (Dezember 2023 bis Mitte 2024) erbeuten Operatoren mit MagicCat etwa 884.000 Kreditkartendatensätze bei rund 13 Millionen Klicks.

Der technische Ablauf in fünf Phasen

Der MagicCat-Scam ist ein Lehrstück für die Cyber Kill Chain, weil hier praktisch jede klassische Verteidigungslinie elegant umgangen wird. Fünf Phasen, jede mit einer eigenen technischen Pointe — und die Cyber-Kill-Chain-Stufe als Tag links daneben.

MagicCat — Fünf-Phasen-Kette
DELIVERY
Phase 1 — Versand über SIM-Farmen
Phishing-Nachrichten kommen aus Regalen voller iPhones, iPads und Modems mit hunderten SIM-Karten. Versand parallel über SMS, iMessage und RCS — viele Filter scannen nur SMS, behandeln iMessage und RCS als private Kanäle und inspizieren sie nicht.
Wie kommt der Link am Filter vorbei?
EXPLOITATION
Phase 2 — Anti-Forensik im Link selbst
Der Phishing-Link funktioniert nur unter zwei Bedingungen: mobiler User-Agent UND Mobilfunknetz (kein WLAN, kein Firmennetz, keine Sandbox). Wer den Link mit Desktop-Browser oder aus einer Sicherheits-Umgebung öffnet, sieht ein „404 Not Found". URL-Reputation-Datenbanken sehen die Seite nie.
Was sieht das Opfer auf der Seite?
EXPLOITATION
Phase 3 — Die Fake-Webseite
Pixel-perfekte Kopie der gefälschten Marke. Datenabfrage bewusst schrittweise (Adresse → Zollgebühr 2,99 € → Kreditkarte) — jede Stufe wirkt plausibel. Ab Version 3.0 (Feb 2025) klont das Tool beliebige Webseiten automatisch via Puppeteer. Seit April 2025 mit generativer KI für mehrsprachige Lokalisierung.
Wohin gehen die eingegebenen Daten?
C2 + ACTIONS
Phase 4 — Real-Time-Datenklau
Tastendruck für Tastendruck streamt der Operator alles, was das Opfer eintippt, live ins Admin-Dashboard. Wenn die echte Bank im Hintergrund eine TAN auslöst, blendet die Fake-Seite ein neues Feld ein — der Operator hat Sekunden später die TAN und bestätigt Apple-Pay-Einrichtung oder Überweisung im selben Atemzug.
Wie wird daraus echtes Geld?
CASH-OUT
Phase 5 — Apple Pay & Payment-Terminals
Karten werden nicht online verbraucht (zu langsam, Fraud-Detection würde anschlagen), sondern in Apple Pay auf eigenen iPhones hinterlegt und in Bangkok an physischen Payment-Terminals abgegriffen. Banken-Fraud-Systeme sehen eine auffällige Geo-Diskrepanz: Karte aus Deutschland, Transaktion in Asien.
Quellen: Mnemonic Reverse-Engineering-Report 2024/25 plus BR-Doku Kings of Scam.
Technische Vertiefung — Wie Phase 4 funktioniert

Der Real-Time-Datenklau ist der eigentliche Schock der Mnemonic-Recherche. Wer einmal verstanden hat, wie das Streaming-Modell funktioniert, sieht klassische Phishing-Verteidigung in einem anderen Licht. Drei Ebenen lohnen den Blick:

1. Architektur — wer redet mit wem

MagicCat-Architektur: Opfer-Browser sendet Inputs an MagicCat-Server (Socket.IO Relay mit default- und admin-Room), Server streamt aus admin-Room zum Operator-Dashboard. Mit erklärenden Beziehungs-Karten unten.

Das Modell ist konzeptuell ein Chatroom mit zwei Raumtypen: jedes Opfer landet im default-Raum, alle eingegebenen Daten werden vom Server in den admin-Raum weitergeleitet, wo ein oder mehrere Operatoren live mitlesen. Der Operator kann von dort aus Steuer-Events zurück senden — die Phishing-Seite reagiert clientseitig darauf, blendet z. B. ein neues TAN-Eingabefeld oder einen Apple-Pay-Bestätigungs-Dialog ein.

2. Der Tech-Stack im Detail

Transport
Socket.IO

Populäre Echtzeit-Bibliothek auf Node.js-Basis. WebSocket als primärer Transport, Long-Polling als Fallback. Event-getriebenes API (socket.emit(...), socket.on(...)) und eingebautes Rooms-Konzept — perfekt fürs Chatroom-Modell.

Verschlüsselung
Rabbit + crypto-js

Rabbit: Stream Cipher aus dem eSTREAM-Projekt (128-Bit-Schlüssel). Heute kaum noch genutzt — AES-GCM ist Standard. crypto-js: JavaScript-Bibliothek, läuft komplett im Browser. Heißt: jeder kann den Schlüssel aus dem JS extrahieren.

Auth-Modell
Keins

Wer die Socket.IO-URL und den Klartext-Schlüssel kennt, kann jedem Raum beitreten — auch dem admin. Es gibt keine echte Authentifizierung. Mnemonic nutzt genau das, um den Live-Stream der Operatoren mitzulesen.

3. Wie Mnemonic den Schlüssel geknackt hat

  1. Phishing-Seite über Mobilfunk-Hotspot in den Desktop-Browser geladen (Phase-2-Filter umgangen), DevTools geöffnet.
  2. Im Network-Tab: alle Socket.IO-Frames sind als chiffrierte Strings sichtbar — aber durchgehend lesbare Struktur.
  3. JavaScript-Source de-obfuskiert: Variablen-Namen verraten, dass CryptoJS.Rabbit verwendet wird. Der Schlüssel ist als Konstante im Code hinterlegt.
  4. Schlüssel extrahiert, eigener Socket.IO-Client gebaut, dem admin-Raum beigetreten — und einen Live-Strom hunderter Opfer-Daten mitgeschnitten.
  5. Forensisches Ergebnis: 884.000 Kreditkartendatensätze über sieben Monate, plus die Adressen, Telefonnummern und TAN-Folgen.

Aus Bank-IT-Sicht ist das alles weniger ein Kryptographie-Problem als ein architektonisches: clientseitige „Verschlüsselung" ist immer Obfuskation, keine Vertraulichkeit. Phishing-Verteidigung muss deshalb auf Transaktions- und Authentifizierungs-Ebene greifen, nicht auf Inhalts-Ebene des Phishing-Frames.

Vom Paketdienst zur Bank — die deutsche Smishing-Landschaft

In der NRK-Recherche gibt es eine Excel-Tabelle aller MagicCat-Marken-Templates. Für Deutschland sind dort vor allem DHL, Deutsche Telekom, Hermes und die Rundfunkbeitrag-Webseite abgebildet. Banken-Templates für deutsche Institute sind im MagicCat-Set bemerkenswert unterrepräsentiert — anders als für britische, französische oder US-Institute.

Das heißt aber nicht, dass deutsche Banken aus dem Schneider sind. Die Verbraucherzentrale NRW dokumentiert kontinuierlich Smishing-Wellen, die exakt nach dem MagicCat-Muster funktionieren, aber andere Phishing-Kits nutzen:

Bank Typische Smishing-Geschichte Charakteristisches Lockmittel
Postbank„Ihr BestSign-Verfahren läuft aus"Reaktivierungsfrist mit Deadline
Commerzbank„Ihre photoTAN-Geräteaktivierung endet am ..."Geräte-Erneuerung
Volks- und Raiffeisenbanken„Ihr SecureGo+ wurde gesperrt"Sicherheits-Sperrung
Sparkassen„Bitte steigen Sie auf pushTAN 2.0 um"Migrationsfrist

Das technische Vorgehen ist baugleich mit MagicCat: SMS mit knapper Deadline, Link auf optisch perfekte Bank-Webseite, schrittweise Datenabfrage, in Echtzeit weitergeleitet an den Operator, der parallel im echten Online-Banking arbeitet.

Für die Bank-IT bedeutet das: Die operative Bedrohungslage ändert sich nicht dadurch, dass MagicCat die deutsche Postbank nicht im Standard-Template hat. Sie ändert sich dadurch, dass ähnliche Toolchains existieren und ähnliche Dienste anbieten. Die Verteidigung muss generisch sein, nicht templatespezifisch.

Was Bank-IT daraus mitnimmt

Die Fallstudie ist für mehrere Module dieser Academy einschlägig:

Modul 4 — Schutzmechanismen

Klassische URL-Reputation und E-Mail-Gateway-Filter greifen nicht, wenn der Phishing-Link nur aus Mobilfunknetzen lädt. Verteidigung verlagert sich auf den Endpoint (Mobile Threat Defense), auf den Mobile Carrier (SMS-Filterung beim Provider) und auf transaktionale Erkennung im Bankensystem (verdächtige Geo-Diskrepanz: Apple-Pay-Karte aus DE wird in Bangkok genutzt).

Modul 7 — Drittparteien

MagicCat zeigt, wie Phishing-as-a-Service als ausgelagerte Wertschöpfungskette funktioniert. Die Frage „Wer ist Angreifer?" hat keine einfache Antwort mehr — Entwickler, Vermieter, Operator und Geldwäscher sind organisatorisch getrennt.

Modul 8 — Three Lines of Defense

Die 1. Linie muss Fraud-Detection auf Transaktionsebene haben, die ungewöhnliche Apple-Pay-Provisionierungen erkennt. Die 2. Linie definiert die Richtlinien für Mobile-Authentifizierung und entscheidet, ob SMS-TANs noch zeitgemäß sind. Die 3. Linie prüft, ob die definierten Maßnahmen tatsächlich greifen — etwa über Mystery-Shopping und Tabletop-Übungen mit MagicCat-Szenarien.

Modul 9 — Vorfallmanagement & DORA

Wenn ein Kunde meldet, dass nach einer SMS Geld weg ist, ist das ein klassischer S2- oder S3-Vorfall nach der ISO-27035-Klassifizierung. Je nach Anzahl betroffener Kunden und Transaktionsvolumen kann ein orchestrierter MagicCat-Sturm auf eine deutsche Bank schnell die DORA-Schwellen für einen schwerwiegenden IKT-Vorfall überschreiten — mit Erstmeldepflicht an die BaFin innerhalb von vier Stunden.

Die rechtliche Sackgasse

Eine der zentralen Erkenntnisse der BR-Doku formuliert die ehemalige Oberstaatsanwältin Anne Brorhilker, heute Co-Geschäftsführerin der Bürgerbewegung Finanzwende: Die Ermittlungs-Kompetenzen deutscher Behörden enden an der deutschen Grenze, die Kriminalität nicht.

Das Bundeskriminalamt bestätigte gegenüber dem BR, dass das Netzwerk seit Oktober 2024 bekannt sei und beobachtet werde — konkrete Ermittlungen liefen aber nicht, weil die internationale polizeiliche Zusammenarbeit ohne vertragliche Grundlage scheitere. Auf der zivilrechtlichen Seite gibt es 2025 Bewegung: Google reichte im Dezember 2025 in den USA Klage gegen Darcula ein, mit dem ausdrücklichen Ziel, Domains und Infrastruktur gerichtlich beschlagnahmen zu lassen.

Für die Bank-IT ist die Konsequenz unbequem, aber klar: Auf eine staatliche Lösung lässt sich nicht warten. Verteidigung muss in der eigenen Architektur stattfinden — bei der Authentifizierung, der Transaktionserkennung, der Kundenkommunikation und im Vorfallmanagement.

Ausblick: Magic Mouse

Im Sommer 2025 wird die nächste Generation sichtbar. Magic Mouse, vermutlich von einer eigenständigen Entwicklergruppe gebaut, nutzt das gleiche Templatebasis-Fundament wie MagicCat und stiehlt nach Mnemonic-Schätzungen rund 650.000 Kreditkartendatensätze pro Monat. Das Modell ist robust gegen einzelne Takedowns: Wenn Darcula als Person verschwindet, läuft die Maschine weiter — weil sie nie an einer Person hing, sondern an einem Geschäftsmodell.

Merksatz

MagicCat ist nicht nur eine Geschichte über einen 24-jährigen Entwickler in Henan. Es ist eine Geschichte darüber, wie Cyberkriminalität von der Einzeltat zur Plattform-Ökonomie wird — und warum die Bank-IT spätestens jetzt aufhören muss, Phishing als Verbraucherproblem zu behandeln. Es ist ein Resilienz-Thema im Sinne von DORA, und es gehört in den Three-Lines-of-Defense-Apparat jedes Instituts.

Quellen und weiterführendes Material