Phishing-Welle gegen Domain-Inhaber: Was passiert ist und wie du dich schützt

Seit dem Abend des 12. Oktober 2026 erhalten Inhaber von Domains, die über kyberio betrieben werden, gefälschte E-Mails mit dem Betreff „Ihre Domain läuft bald ab – jetzt verlängern". Der Link in diesen Mails führte auf eine nachgebaute Login-Seite, die unserer Kunden-Anmeldung täuschend ähnlich sah. Ziel: Zugangsdaten abgreifen.

Wir legen offen, was wir wissen – weil Transparenz bei Sicherheitsvorfällen für uns nicht verhandelbar ist.

• Die Phishing-Seite ist seit dem 13.10.2026, 14:47 Uhr offline. Wir haben den Hoster der Seite am selben Tag kontaktiert, er hat sie kurz darauf gesperrt.
• Unsere Systeme sind nicht kompromittiert. Es gibt keinen Hinweis, dass Daten aus kyberio-Systemen abgeflossen sind.
• Die Empfängerliste ist aus öffentlichen Daten rekonstruierbar. Die Angreifer haben ausschließlich generische Adressen wie info@ihre-domain.de angeschrieben – nicht die Kontaktadressen, die bei uns hinterlegt sind.
• Hast du auf der gefälschten Seite Zugangsdaten eingegeben, ändere dein Passwort sofort und melde dich bei unserem Support.

Die Mails wurden am 12.10.2026 gegen 22:15 Uhr in einer Massenaussendung verschickt. Alle Empfänger standen in Blindkopie; im sichtbaren Empfängerfeld stand eine fremde, unbeteiligte Adresse. Als Absender war eine erfundene „Kundenbetreuung" einer Behördenadresse angegeben – mit kyberio hatte keine der verwendeten Absenderdomains etwas zu tun.

Bemerkenswert: Versendet wurden die Mails über ein gekapertes, echtes Postfach bei einem österreichischen Mail-Provider. Deshalb trugen sie eine gültige technische Signatur (DKIM). Viele Spamfilter haben die Mails trotzdem als Spam markiert – aber eben nicht alle Mailsysteme verhalten sich so.

Der eigentliche Schadensmechanismus war die gefälschte Login-Seite. Deshalb hatte ihre Sperrung für uns oberste Priorität.

Das war unsere erste und wichtigste Frage. Unsere Analyse:

1. Nur info@-Adressen. Auf allen von uns geprüften Mailservern kamen die Phishing-Mails ausschließlich an info@-Adressen an – nie an die Ansprechpartner, die in unseren Kundendaten hinterlegt sind.
2. Über 200 Domains betroffen – darunter auch Nicht-Kunden. Eine Auswertung unserer geteilten Mailserver ergab mehr als 200 angeschriebene Domains. Darunter sind auch Domains, die nie in unserer Domainverwaltung geführt wurden.
3. Die Liste ist öffentlich abfragbar. Welche Domains die Nameserver eines Providers nutzen, lässt sich über frei zugängliche DNS-Datenbanken abrufen. Genau diese Abfrage ergibt die betroffene Domainliste – ganz ohne Zugriff auf unsere Systeme.
4. Kein internes System enthält genau diese Menge. Es gibt bei kyberio keine Datenbank, die exakt die betroffenen Domains in dieser Zusammensetzung enthält. Ein interner Datenabfluss als Quelle scheidet damit aus.

Fazit: Die Angreifer haben öffentlich sichtbare DNS-Informationen genutzt, um gezielt Domain-Inhaber eines bestimmten Providers anzuschreiben. Ein Datenleck bei kyberio liegt nicht vor. Datenschutzrechtlich handelt es sich daher nicht um eine meldepflichtige Verletzung des Schutzes personenbezogener Daten; wir haben unsere Bewertung gemäß DSGVO dokumentiert.

• Phishing-Seite über den Hoster sperren lassen (offline seit 13.10.2026, 14:47 Uhr).
• Den Mail-Provider des gekaperten Versandpostfachs informiert.
• Den Vorfall als Sicherheitsvorfall dokumentiert und bewertet.
• Unsere Kunden per E-Mail informiert.

• Wichtig: Wir fordern dich nie per E-Mail-Link auf, dich für eine Domainverlängerung anzumelden. Melde dich im Zweifel immer direkt über die auf unserer Website verknüpften Kunden-Logins an.
• Prüfe vor jeder Anmeldung die Adresse in der Browserzeile.
• Achte auf den Absender: Echte Mails von uns kommen von kyberio-Adressen – nicht von Behörden oder fremden Firmen.
• Druck und Fristen („läuft bald ab", „jetzt handeln") sind klassische Phishing-Merkmale.

1. Passwort für deinen kyberio-Zugang sofort ändern – und überall dort, wo du dasselbe Passwort nutzt.
2. Unseren Support informieren: support@kyberio.com oder +49 511 71260 100 – wir prüfen deinen Account auf Auffälligkeiten.

Öffentliche DNS-Daten sind kein Geheimnis – und sie werden zunehmend für gezielte Angriffe genutzt. Wer weiß, bei welchem Provider eine Domain liegt, kann sehr glaubwürdige Mails bauen. Dagegen hilft keine Firewall, sondern nur Aufmerksamkeit auf beiden Seiten: bei uns durch schnelle Reaktion und offene Kommunikation, bei dir durch einen kurzen Blick auf Absender und Link.

Fragen? Melde dich direkt bei uns.