Das Threat-Research-Team von NordVPN hat eine weitverzweigte Android-Malware-Kampagne aufgedeckt, die auf gefälschten Versionen bekannter Airline- und Behörden-Apps basiert, darunter Ryanair, Emirates und Qatar Airways, konzipiert, um das Telefon eines Opfers vollständig zu übernehmen statt nur ein Passwort zu stehlen. Der CTO des Unternehmens brachte es unverblümt auf den Punkt: “Eine einzige Installation, und das Telefon gehört Ihnen nicht mehr. Der Angreifer sieht Ihren Bildschirm, liest Ihre SMS-Codes und leert Ihre Konten von innen.”
Was NordVPN herausgefunden hat
Die Untersuchung dauerte rund 12 Monate und analysierte über 100 mit der Operation verknüpfte Domains. Die Kampagne imitiert insgesamt 65 bekannte Organisationen, von Fluggesellschaften über Finanzbehörden bis zu Sozialversicherungssystemen, und richtet sich vor allem an Nutzer in Südostasien, Lateinamerika und Afrika. Opfer werden über überzeugende Phishing-Nachrichten geködert, meist per SMS oder WhatsApp verschickt, die sie drängen, etwas zu installieren, das wie eine offizielle App einer vertrauenswürdigen, bekannten Marke aussieht.
Alle VPNs im direkten Vergleich? Unser vollständiger VPN-Vergleich zeigt Bewertungen nach 18 Kriterien.
Was die Malware nach der Installation tatsächlich tut
Sobald ein Opfer die gefälschte App installiert, läuft sie still im Hintergrund und verschafft dem Angreifer beunruhigend weitgehenden Zugriff: Nachrichten und Anrufprotokolle lesen, Screenshots erstellen, Audio aufnehmen, auf die Kamera zugreifen und, entscheidend, SMS-Codes für die Zwei-Faktor-Authentifizierung abfangen. Diese letzte Fähigkeit macht daraus keinen bloßen Eingriff in die Privatsphäre, sondern direkten finanziellen Diebstahl: Mit in Echtzeit abgefangenen Zwei-Faktor-Codes können Angreifer nicht autorisierte Banktransaktionen bestätigen und Konten von innen leeren, indem sie genau den Verifizierungsschritt nutzen, auf den sich Banking-Apps verlassen, um zu belegen, dass eine Transaktion wirklich vom Kontoinhaber stammt. Bildschirm- und Audioaufnahme obendrein bedeuten, dass der Angreifer ein Opfer auch beim Einloggen in andere, unabhängige Konten beobachten kann, was den Schaden weit über die Bank hinaus ausdehnt, die die ursprüngliche Installation ausgelöst hat.
Warum gerade Airline- und Behörden-Apps
Airline-Apps und behördliche Dienst-Apps teilen ein für Betrüger nützliches Merkmal: Beides sind vertrauenswürdige, dringlichkeitsstarke Kategorien, mit denen Menschen ohne Zögern interagieren. Eine Nachricht über eine Flugänderung, ein Steuerproblem oder eine Leistungsaktualisierung wird tendenziell schnell geöffnet und bearbeitet, ohne das Misstrauen, das ein zufälliger Link auslösen könnte. Die Recherche von NordVPN stellt fest, dass die Kampagne gezielt auf diese Dringlichkeit setzt und bösartige Download-Links als zeitkritische offizielle Mitteilungen statt als routinemäßige Angebote inszeniert.
Wie man sich schützt
Die Empfehlungen von NordVPN sind unkompliziert und lohnen sich unabhängig davon, ob man sich selbst als Ziel vermutet. Keine App über einen per SMS oder WhatsApp verschickten Link installieren, selbst wenn die Nachricht offiziell wirkt; legitime Fluggesellschaften und Behörden verteilen ihre Apps über Google Play oder den Apple App Store, nicht über Direktdownload-Links. Jede Nachricht, die dringendes Handeln fordert, eine Flugänderung, eine Steuerfrist, eine ausgesetzte Leistung, als Warnsignal behandeln statt als Grund für schnelles Handeln. Die tatsächliche Domain in jedem Link prüfen, bevor man darauf tippt; die Kampagne nutzte verdächtige Top-Level-Domains wie .cc, .lol, .xyz, .mom und .pw statt der echten, offiziellen Domains der imitierten Marken. Und daran denken, dass ein HTTPS-Schlosssymbol im Browser nur eine verschlüsselte Verbindung bestätigt, nicht dass die Seite selbst legitim ist; Betrugsseiten können und nutzen HTTPS genauso leicht wie echte.
Wenn schon eine gefälschte App installiert wurde
Das Gerät sofort vom Internet trennen, das kappt die Fähigkeit des Angreifers, weiter Befehle zu senden oder Daten abzugreifen. Die App so schnell wie möglich deinstallieren. Passwörter ändern, angefangen bei Banking und E-Mail, von einem anderen, nicht kompromittierten Gerät aus statt von dem vermutlich infizierten. Die eigene Bank direkt kontaktieren, um möglichen unautorisierten Zugriff zu melden, und die Konten in den folgenden Wochen genau beobachten, da Angreifer manchmal abwarten, bevor sie gestohlenen Zugriff nutzen, um keine sofortige Aufmerksamkeit zu erregen. Ein Werksreset des betroffenen Geräts, nachdem Wichtiges über eine saubere, verifizierte Methode gesichert wurde, ist der gründlichste Weg, um sicherzugehen, dass nichts Bösartiges auf dem Telefon selbst überlebt.
Wo ein VPN hilft, und wo nicht
Hier lohnt sich Präzision: Ein VPN verschlüsselt die Verbindung und verbirgt die IP-Adresse, verhindert aber nicht die Installation einer bösartigen App, und kann den Zugriff, den diese App nach dem Start auf dem Gerät erhält, nicht rückgängig machen. Was diese konkrete Bedrohung tatsächlich stoppt, ist der oben genannte Verhaltensrat: nur offizielle App-Stores, Skepsis gegenüber dringenden unerwünschten Nachrichten, und Domains prüfen, bevor man klickt. Ein VPN ist eine ergänzende Schicht für die allgemeine Sicherheit, keine Verteidigung gegen eine bösartige App, die man bereits selbst installiert hat.
Wer am stärksten betroffen ist
Das geografische Targeting, Südostasien, Lateinamerika und Afrika, ist nicht zufällig. Die Recherche von NordVPN verweist auf Regionen, in denen Android einen größeren Marktanteil bei Smartphones hat als iOS, in denen die Durchsetzung gegen Sideloading oder Drittanbieter-App-Quellen weniger konsequent sein kann, und in denen SMS und WhatsApp die dominierenden Kanäle sowohl für legitime Kundenkommunikation als auch, wie diese Kampagne zeigt, für Betrug bleiben. Das macht Nutzer anderswo nicht immun. Dieselben Taktiken funktionieren überall dort, wo jemand bereit ist, eine App über einen Link aus einer Textnachricht statt aus einem verifizierten Store zu installieren, eine Gewohnheit, die es abzulegen lohnt, egal wo man lebt.
Warum diese Kampagne so lange unentdeckt blieb
Zwölf Monate Untersuchung und über 100 verknüpfte Domains sind eine große Operation, und ein wesentlicher Grund, warum sie so lange laufen konnte, ist die schiere Zahl an Wegwerf-Domains. Wird eine gefälschte Seite gemeldet und abgeschaltet, kann die Kampagne Opfer einfach zu einer anderen, frisch registrierten Domain umleiten, oft mit nahezu identischem Design. Genau diese Infrastruktur-Rotation ist der Grund, warum einzelne Domain-Sperrlisten bei Kampagnen wie dieser hinterherhinken, und warum Verhaltensgewohnheiten, die Quelle eines Links zu prüfen statt der Seite zu vertrauen, zu der er führt, besser standhalten als der Versuch, eine persönliche Sperrliste aktuell zu halten.
Was Unternehmen daraus lernen können
Auch Airlines und Behörden selbst tragen einen Teil der Verantwortung, gefälschte Apps schwerer glaubwürdig zu machen: klare, konsistente Kommunikation darüber, über welche Kanäle offizielle Mitteilungen tatsächlich verschickt werden, und der Verzicht auf SMS-Links für dringende Kontoaktionen, nehmen Betrügern genau die Vorlage, auf der diese Kampagne aufgebaut ist. Bis das branchenweit zur Norm wird, bleibt die Vorsicht bei den einzelnen Nutzern hängen, was die oben genannten Verhaltensregeln umso wichtiger macht.
Das größere Muster
Diese Kampagne fügt sich in einen breiteren Trend ein, den Sicherheitsforscher 2026 wiederholt festgestellt haben: Angreifer zielen zunehmend direkt auf den Zwei-Faktor-Authentifizierungsschritt statt nur ein Passwort zu stehlen, da moderne Banking-Apps ein Passwort allein für die meisten Betrugsfälle unzureichend gemacht haben. Eine Malware-App, die SMS-Codes in Echtzeit lesen kann, macht den zusätzlichen Schutz, den die Zwei-Faktor-Authentifizierung eigentlich bieten soll, effektiv zunichte, genau deshalb ist diese Art von Malware mit vollständiger Geräteübernahme gefährlicher als ältere, einfachere Phishing-Seiten, die nur Login-Daten abgriffen. Ein gestohlenes Passwort allein ist gegen ein Konto mit aktivierter Zwei-Faktor-Authentifizierung oft nutzlos; ein vollständig kompromittiertes Telefon gibt einem Angreifer beide Hälften dieser Gleichung auf einmal.
Das ist eine Bedrohung durch Geräteübernahme, kein Browsing-Datenschutzproblem, die Lösung ist also verhaltensbasiert: nur offizielle App-Stores, Skepsis gegenüber dringenden SMS- und WhatsApp-Links, und Domains prüfen, bevor irgendetwas angetippt wird. Dazu passt ein VPN wie NordVPN für die allgemeine Verbindungssicherheit, aber das sollte nicht mit Schutz vor einer bereits selbst installierten bösartigen App verwechselt werden.
Weiterlesen: Schützt ein VPN vor Phishing? Was es kann (und was nicht) und VPN vs. Antivirus 2026: Brauchen Sie beides?.