![2304_MartinKraemer_0080[13]_Portrait](https://sectank.net/wp-content/uploads/2026/07/2304_martinkraemer_008013_portrait-1050x700.jpg)
Dr. Martin J. Krämer, CISO Advisor bei KnowBe4
Bevor Cyberkriminelle eine erfolgreiche Phishing-Angriffskampagne starten können, müssen sie sich – zum Abgreifen der Credentials, der Nutzer- und der Bankdaten ihrer Opfer – eine Fake-Website zulegen und auf einer Domain zum Laufen bringen. Wird der Angriff dann entdeckt, treten Cybersicherheitsdienste und Unternehmen, deren Identität für die Fake-Website gekapert wurde, mit dem Host oder Registrar der Domain in Kontakt, um einen Takedown der Fake-Website zu erzwingen. Nicht immer zeigen sich Hosts und Registrare hier kooperativ. Viele Cyberkriminelle haben ihre Fake-Websites aus genau diesem Grund lange Zeit über russische Domains laufen lassen. Das Risiko eines Takedowns war hier deutlich geringer als an anderen Orten. Eine aktuelle Untersuchung der KnowBe4 Threat Labs, zeigt nun, dass sich gerade ein neuer präferierter Domain-Standort herauszubilden scheint. Vanuatu-Domains erfreuen sich unter Cyberkriminellen einer wachsenden Beliebtheit.
Zwischen Ende 2024 und Anfang 2025 berichteten die KnowBe4 Threat Labs von einem 98-prozentigen Anstieg von Phishing-Angriffen, die auf .ru-Domains zum Hosting ihrer FAKE-Websites setzten. Die Angreifer profitierten vom Umstand, dass russische Hosts und Registrare, sich weitgehend immun gegenüber Aufforderungen zum Takedown zeigten. Sicherheitsplattformen reagierten. Sie begannen, .ru-Endungen pauschal als hochriskant einzustufen und auf ihre Blocklisten zu setzten. Angreifer wurden so gezwungen, sich nach neuen Domains umzusehen. Nun, knapp achtzehn Monate später, registrieren die KnowBe4Threat Labs eine mit 2014/2015 strukturell weitgehend identische Phishing-Angriffswelle. Mit einem Unterschied: die Fake-Websites werden nun nicht mehr über .ru- sondern über .vu, die länderspezifische Top-Level-Domain des pazifischen Inselstaates Vanuatu, gehostet. Allein zwischen April und Juli 2026 registrierten die KnowBe4 Threat Labs einen Anstieg von .vu-Phishing-Seiten um 159,6 Prozent mit 1.660 eindeutig bösartigen Domains und über 28 Millionen versendeten bösartigen E-Mails. Der Grund für den Wechsel auf .vu: zumindest bislang fliegen diese Domains bei vielen Sicherheitsplattformen noch unter dem Radar.
Sie bewerten eine Top-Level-Domain nach ihrer Aktivitätshistorie. Da der .vu-Datenverkehr in der Vergangenheit eher bescheiden ausfiel, kaum von Angreifern genutzt wurde, fehlen den Bedrohungs-Feeds entsprechende Risikosignale auf TLD-Ebene. Eine frische Domain, ohne Historie aber mit einem automatisierten Let’s Encrypt-Zertifikat, kann initiale Filter mühelos passieren. Hinzu kommt, dass .vu offene Registrierungen ohne Wohnsitzbeschränkung und Anonymisierung via WHOIS-Datenschutz erlaubt. Und: 99,9 Prozent aller bösartigen .vu-Einträge verbergen sich ausschließlich in Links im E-Mail-Text. Die Versanddomains der Emails sind sauber, weshalb herkömmliche Absenderfilter weitgehend nutzlos bleiben.
Die Längsschnittanalyse der Angriffe zeigt zudem eine gut durchdachte operative Planung zur Umgehung von Multi-Faktor-Authentifizierungen (MFA). Und um Markenschutzfilter zu umgehen, setzen die Angreifer auf lange Firmennamen und komplexe Subdomains. Zwar werden die Phishing-Domains durchaus erkannt – im Schnitt halten sie nur 20 Tage – doch reicht das kurze Zeitfenster in aller Regel völlig aus, um erfolgreich Millionen betrügerische E-Mails, getarnt als Rechnungen, Dokumentenbenachrichtigungen oder Kontohinweise, in die Posteingänge ihrer Opfer zu senden.
Sicherheitsverantwortliche müssen umgehend gegensteuern. Es genügt nicht, sich auf reaktive Blocklisten zu verlassen. KnowBe4empfiehlt, .vu-IoCs am E-Mail-Gateway sowie auf DNS-Ebene zu blockieren und – sofern kein geschäftlicher Bedarf besteht – eine pauschale Sperrung des .vu-Datenverkehrs zu erwägen. SIEM- und E-Mail-Protokolle sollten rückwirkend ab April 2026 analysiert werden. Zudem sollte die Überprüfung eingebetteter URLs verschärft, sollten SPF-, DKIM- und DMARC-Konfigurationen verstärkt werden. Und schließlich sollten alle Mitarbeiter eines Unternehmens darin geschult werden, wie man verdächtige .vu-Links in E-Mails erkennt und meldet.
Am effektivsten – da umfassendsten – helfen kann hier der Einsatz eines modernen Digital Workforce Security–Systems. SeinePhishing-Trainings, -Schulungen und -Tests lassen sich, KI sei Dank, mittlerweile personalisieren und automatisiert – kontinuierlich – zum Einsatz bringen, um Mitarbeiter zu stärken. Seine modernen Anti-Phishing-E-Mail-Technologien kombinieren KI mit Crowdsourcing, um neueste Zero Day-Bedrohungen frühzeitig aufzuspüren und rechtzeitig abzuwehren. Mit solchen und ähnlichen Systemen ist es Unternehmen möglich, Risiken signifikant zurückzufahren und ihre digitale Belegschaft zur besten Verteidigung im Kampf gegen Cyberbedrohungen zu machen.
