Spam Bombing: Der Eröffnungszug, auf den Angreifer setzen

Wenn aus einem Streich eine Waffe wird

Was früher als pubertärer Streich abgetan wurde, hat sich zu einem der wirkungsvollsten Eröffnungszüge moderner Cyberangriffe entwickelt.

‍Spam Bombing - das gezielte Fluten eines Postfachs oder Telefons mit überwältigenden Nachrichtenmengen - dient längst nicht mehr nur dem Chaos. Es wird als Nebelwand eingesetzt, als psychologische Zermürbungstaktik und zunehmend als erster Schritt in einer Kette weitaus schädlicherer Eindringversuche.

Angriffsvektor E-Mail-Bombing

In aktuellen Incident-Reports zeichnet sich ein klares Muster ab, das zeigt, wie weit sich E-Mail-Bombing entwickelt hat. Der Ablauf beginnt fast immer gleich: Ein Opfer erhält innerhalb von Minuten plötzlich Hunderte unerwünschter E-Mails. Die Flut löst sofort Panik und Verwirrung aus. Die Betroffenen gehen davon aus, dass mit ihrem Konto oder den Systemen ihres Unternehmens etwas ernsthaft schiefläuft.

Genau diese Reaktion kalkulieren Angreifende bewusst ein. Während das Opfer noch versucht, die Lage einzuordnen, meldet sich ein vermeintlicher „IT-Support-Spezialist“ (häufig über Microsoft Teams) und bietet an, das Problem zu lösen. Der Kontakt wirkt glaubwürdig: ein professioneller Name, IT-typische Details und offenkundiges Wissen über die Situation – schließlich hat der Angreifer sie selbst herbeigeführt.

Sobald das Opfer die Hilfe annimmt, wird es dazu angeleitet, über legitime Tools wie Quick Assist oder AnyDesk Fernzugriff zu gewähren, und übergibt damit die vollständige Kontrolle über das Gerät. Von dort eskaliert der Angriff rasant. In einem dokumentierten Fall spielten Angreifende eine schädliche ZIP-Datei mit einem deployment-typischen Namen ein, die eine Java-Binary enthielt; diese führte weiteren Schadcode aus und mündete in einen Datenabfluss. Indem sie den eigentlichen Angriff über legitime Software wie WinSCP leiten, machen Angreifende ihre Aktivität für Standard-Sicherheitskontrollen deutlich schwerer erkennbar.

Wie E-Mail-Bombing funktioniert - und warum es Filter umgeht

E-Mail-Bombing erfordert weder ausgefeilte Schadsoftware noch einen kompromittierten Server. Genau das macht es so leicht zugänglich. Angreifende setzen typischerweise automatisierte Bots ein, um die E-Mail-Adresse eines Ziels bei Hunderten legitimer Newsletter und Verteilerlisten anzumelden, die neue Abonnenten nicht verifizieren. Das Ergebnis ist eine Welle von E-Mails, die das Postfach überlastet und kritische Nachrichten begräbt: Sicherheitswarnungen, Helpdesk-Tickets, Kontobenachrichtigungen, Kundenkorrespondenz.

Diese E-Mails sind deshalb so schwer zu filtern, weil sie technisch legitim sind. Da die versendenden Systeme von einer freiwilligen Anmeldung ausgehen, passieren sie häufig klassische E-Mail-Sicherheitslösungen, die auf bekannte Spam-Signaturen oder schädliche Absender prüfen.

In einem von Darktrace untersuchten Fall erhielt eine Person in weniger als fünf Minuten über 150 E-Mails von 107 unterschiedlichen Domains, während die Angreifenden parallel eine Voice-Phishing-Kampagne (Vishing) starteten, um über legitime Administrationswerkzeuge in das Netzwerk des Opfers einzudringen.

Warum E-Mail-Bombing trotz Herstellerschutz bestehen bleibt

Trotz jahrelanger Awareness-Kampagnen und immer besserer Schutzmechanismen der Hersteller bleibt E-Mail-Bombing eine aktive, dokumentierte Technik - kein historisches Kuriosum. Der Grund für seine Hartnäckigkeit ist struktureller Natur: Der Angriff beruht nicht auf einer Software-Schwachstelle, die sich patchen ließe. Er nutzt die grundsätzliche Offenheit von E-Mail aus - die Tatsache, dass jede Adresse überall im Internet frei in Newsletter und Anmeldeformulare eingetragen werden kann.

Sicherheitsanbieter wie Microsoft haben reagiert und blockieren nicht mehr einzelne Absender, sondern überwachen die Häufigkeit benachrichtigungsartiger Nachrichten (Newsletter-Anmeldungen, Kontoregistrierungen, Passwort-Zurücksetzungen und Sicherheitswarnungen) und stellen den Traffic automatisch unter Quarantäne, sobald er bekannten Angriffsmustern entspricht. Doch Erkennung ist naturgemäß reaktiv, und Angreifende finden neue Verteilerlisten und Anmeldeformulare durchweg schneller, als Verteidigende sie auf Blacklists setzen können.

SMS-Bombing: vom Streich zum Präzisionsangriff

SMS-Bombing galt jahrelang als harmlose Belästigung, als etwas, womit man Freunde ärgert. Diese Einordnung ist inzwischen gefährlich überholt.

Im Kern bedeutet SMS-Bombing, innerhalb von Sekunden Hunderte unerwünschter Nachrichten an eine einzige Nummer zu senden. Dafür braucht es keine ausgefeilte Schadsoftware. Ziel ist es, Stress und Panik zu erzeugen: in der Erwartung, dass Menschen, die sich auch nur kurz verängstigt oder überfordert fühlen, ihr Urteilsvermögen nicht mehr sorgfältig einsetzen. Was heutige Kampagnen vom altmodischen Scherz-SMS-Versand unterscheidet, ist ihr gezielter Angriff auf Authentifizierungssysteme.

Cyble Research and Intelligence Labs beobachtete bis Ende 2025 und bis ins Jahr 2026 hinein anhaltende Entwicklungsaktivität rund um SMS-, OTP- (Einmalpasswort-) und Voice-Bombing-Kampagnen. Das Werkzeugarsenal ist deutlich gereift: Aus einfachen Terminal-Skripten sind plattformübergreifende Desktop-Anwendungen mit automatisierten Verteilmechanismen und fortgeschrittenen Umgehungsfunktionen geworden. Neue Releases wurden zuletzt im Januar 2026 beobachtet, was auf ein aktiv gepflegtes Ökosystem und nicht auf einen auslaufenden Trend hindeutet.

Warum OTPs das Hauptziel sind

Viele Kontoübernahme- und Betrugsmaschen setzen darauf, dass ein Opfer ein legitimes Einmalpasswort übersieht, weil es in einer Flut von Müllnachrichten untergeht. Indem Angreifende schlichten Nachrichten-Spam mit OTP-artigem Traffic und Anrufvolumen kombinieren, erhöhen sie die Wahrscheinlichkeit, dass ein echter Authentifizierungscode unbemerkt bleibt oder dass das überforderte Opfer am Ende eine betrügerische „Support“-Nummer anruft, um die Flut zu stoppen. Das folgt demselben Social-Engineering-Drehbuch wie E-Mail-Bombing-Angriffe, nur über einen anderen Kanal.

Warum sich SMS-Bombing weiter ausbreitet

Ein wesentlicher Grund für die Hartnäckigkeit von SMS-Bombing ist die schiere Zugänglichkeit. Anders als ausgefeilte Hacking-Werkzeuge erfordern SMS-Bomber kaum technisches Können, einer der Gründe, warum Sicherheitsforschende sie weiterhin als andauernde Bedrohung einstufen. Dutzende Websites bewerben „kostenlose SMS-Bomber“ ganz offen und rahmen sie meist als harmlose Streiche ein. Hinter diesen Oberflächen stehen jedoch Systeme, die direkt mit Belästigung, Spam-Missbrauch und digitaler Sabotage verbunden sind.

Zudem lassen sich diese Plattformen immer schwerer dauerhaft abschalten. Viele arbeiten in kurzen Zyklen, wechseln Domains und Infrastruktur, um Takedowns zu entgehen, und tauchen oft schon wenige Tage nach der Abschaltung wieder auf. Behörden und Telekommunikationsanbieter arbeiten weiter daran, die Verbreitung von SMS-Bombing-Infrastruktur einzudämmen, doch neue Werkzeuge ersetzen die entfernten meist schneller, als die Strafverfolgung nachkommt.

Das größere Bild: die Flut als Eröffnungszug

Die Entwicklung ist eindeutig: Sowohl E-Mail- als auch SMS-Bombing wandeln sich von groben Störwerkzeugen zu präzisen Social-Engineering-Instrumenten.

Angreifenden geht es längst nicht mehr nur darum, ein Postfach zu verstopfen oder ein Telefon lahmzulegen. Sie wollen, dass die entstehende Panik eine Tür öffnet - sei es ein gefälschter IT-Support-Kontakt über Microsoft Teams, ein Anruf bei einer gespooften Provider-Hotline oder die dringende Aufforderung, eine Fernwartungssoftware zu installieren. Da OTP- und Voice-Bombing-Werkzeuge weiter reifen, werden diese Angriffe zunehmend mit Vishing und Fernzugriffsbetrug verschmelzen. Die anfängliche Nachrichtenflut ist dann nur der Eröffnungszug eines längeren Betrugs, nicht der Angriff selbst.

{{quote}}

Wie Security Awareness Training hilft

Zu verstehen, dass eine Postfachflut oder ein SMS-Sturm der Beginn eines ausgefeilten Angriffs sein kann und nicht bloß eine Belästigung, ist ein entscheidender Perspektivwechsel für Mitarbeitende.

Security Awareness Training mit simulierten Social-Engineering-Szenarien (einschließlich mehrkanaliger Angriffe, die E-Mail, SMS und Telefonkontakt kombinieren) befähigt Mitarbeitende, die Druckmittel der Angreifenden zu erkennen, bevor diese wirken.

Bei revel8 ist unsere Phishing- und Vishing-Simulationsplattform genau um diese realen Angriffsketten herum aufgebaut. Sie hilft Unternehmen, Mitarbeitende darin zu schulen, ruhig zu bleiben, Kontakte über offizielle Kanäle zu verifizieren und niemals Fernzugriff auf eine unaufgeforderte Kontaktaufnahme hin zu gewähren, egal wie überzeugend sie wirkt.

‍

FAQ

Was ist Spam Bombing?

Spam Bombing ist das gezielte Fluten eines Postfachs oder Telefons mit überwältigenden Nachrichtenmengen. Es geht längst nicht mehr nur um Störung: Angreifende nutzen die Flut als Nebelwand und psychologische Zermürbungstaktik – als Eröffnungszug vor einem gefälschten Support-Kontakt, Fernzugriffsbetrug oder Datendiebstahl.

Warum kommen E-Mail-Bombing-Fluten durch die Spamfilter?

Bots melden die Adresse des Opfers bei Hunderten legitimer Newsletter und Anmeldeformulare an, die Abonnenten nicht verifizieren. Die resultierenden E-Mails sind technisch legitime Opt-in-Mails und passieren Filter, die auf bekannte Spam-Signaturen prüfen – in einem Darktrace-Fall über 150 E-Mails von 107 Domains in unter fünf Minuten.

Was passiert typischerweise nach der Nachrichtenflut?

Während das Opfer noch verwirrt ist, meldet sich ein falscher „IT-Support-Spezialist“, oft über Microsoft Teams, und bietet Hilfe für das Problem an, das der Angreifer selbst verursacht hat. Das Opfer wird angeleitet, über legitime Tools wie Quick Assist oder AnyDesk Fernzugriff zu gewähren – in einem dokumentierten Fall eskalierte das bis zum Datenabfluss über WinSCP.

Warum zielen Angreifer mit SMS-Bombing auf Einmalpasswörter?

Viele Kontoübernahmen setzen darauf, dass das Opfer ein legitimes OTP in der Flut von Müllnachrichten übersieht – oder in Panik eine betrügerische „Support“-Nummer anruft, um die Flut zu stoppen. Cyble beobachtet eine stetige Reifung dieser Werkzeuge mit neuen Releases noch im Januar 2026.

Was tun, wenn mein Postfach oder Telefon plötzlich geflutet wird?

Behandeln Sie die Flut selbst als Warnsignal, nicht als den ganzen Angriff. Bleiben Sie ruhig, achten Sie auf die legitimen Nachrichten (etwa Authentifizierungscodes), die die Flut begraben soll, verifizieren Sie jeden „Support“-Kontakt über offizielle Kanäle – und gewähren Sie niemals Fernzugriff auf eine unaufgeforderte Kontaktaufnahme hin, egal wie überzeugend sie wirkt.