Zerschlagung von LeakBase und Tycoon 2FA: 330 kriminelle Domains abgeschaltet

Anfang März 2026 koordinierten internationale Strafverfolgungsbehörden unter der Leitung von Europol eine groß angelegte Operation gegen die digitale Infrastruktur von Cyberkriminellen. Die Maßnahmen richteten sich primär gegen die Plattformen LeakBase und Tycoon 2FA, die über Jahre hinweg als zentrale Knotenpunkte für den Handel mit gestohlenen Identitäten und die Durchführung von Phishing-Angriffen fungierten. Durch die zeitgleiche Intervention in mehreren Jurisdiktionen wurde der Betrieb dieser Dienste dauerhaft unterbrochen.

Hintergründe zur Infrastruktur von LeakBase

Das Forum LeakBase war seit dem Jahr 2021 aktiv und hatte sich auf den Vertrieb von Datenbank-Leaks und sogenannten Stealer-Logs spezialisiert. Diese Protokolle enthalten sensible Zugangsdaten, die mittels Schadsoftware von infizierten Endgeräten extrahiert werden. Die Plattform ermöglichte es Akteuren, Anmeldedaten für E-Mail-Dienste, soziale Netzwerke und Finanzinstitute zu erwerben. Bis Ende 2025 verzeichnete das Forum eine Nutzerbasis von mehr als 142.000 registrierten Personen, die in rund 32.000 öffentlichen Beiträgen und über 215.000 privaten Nachrichten interagierten.

Ein spezifisches Merkmal des Forums war das interne Regelwerk, das unter anderem die Veröffentlichung von Daten mit Bezug zur Russischen Föderation untersagte. Das System basierte auf einer Credit-Ökonomie, bei der Nutzer durch das Teilen eigener Leaks oder durch Käufe Reputation innerhalb der Gemeinschaft erwarben. Mit der Abschaltung der Domain am 4. März 2026 verloren die Akteure den Zugriff auf diesen Marktplatz, während die Ermittler gleichzeitig die zugrunde liegenden Datenbanken sichern konnten.

Die Rolle des Phishing-Dienstes Tycoon 2FA

Parallel zur Deaktivierung des Forums erfolgte der Schlag gegen Tycoon 2FA. Hierbei handelt es sich um eine Phishing-as-a-Service-Lösung (PhaaS), die darauf ausgelegt war, moderne Sicherheitsvorkehrungen wie die Mehr-Faktor-Authentifizierung (MFA) zu umgehen. Der Dienst stellte seinen Abonnenten Werkzeuge bereit, um Authentifizierungssitzungen in Echtzeit abzufangen. Schätzungen zufolge war die Infrastruktur von Tycoon 2FA im Jahr 2025 für etwa 62 % aller von Microsoft blockierten Phishing-Versuche verantwortlich.

Die Plattform generierte monatlich zweistellige Millionenbeträge an Phishing-E-Mails und ermöglichte unbefugte Zugriffe auf IT-Systeme von fast 100.000 Organisationen weltweit. Zu den Opfern zählten neben Privatunternehmen auch öffentliche Einrichtungen wie Schulen und Krankenhäuser. Im Rahmen der technischen Disruption wurden 330 Kern-Domains abgeschaltet, die für den Betrieb der Phishing-Seiten und der dazugehörigen Kontrollpanels notwendig waren.

Kooperation zwischen Behörden und Privatwirtschaft

Der operative Erfolg gegen LeakBase und Tycoon 2FA ist das Ergebnis einer engen Verzahnung von staatlichen Ermittlungsbehörden und privaten IT-Sicherheitsunternehmen. Über das Cyber Intelligence Extension Programme (CIEP) arbeiteten Spezialisten von Microsoft und Trend Micro direkt mit den Analysten des European Cybercrime Centre (EC3) zusammen. Diese Kooperation ermöglichte es, komplexe Infrastrukturdaten schnell zu analysieren und in polizeiliche Maßnahmen zu überführen.

An der Operation waren Behörden aus 14 Ländern beteiligt, darunter das Bundeskriminalamt aus Deutschland sowie Ermittler aus den USA, dem Vereinigten Königreich und den Niederlanden. Ein Joint Command Post bei Europol diente als zentrale Schnittstelle für den Echtzeit-Informationsaustausch während der Hausdurchsuchungen und Verhaftungen. Besonders hervorzuheben ist der Einsatz von Datenwissenschaftlern, die Millionen von Datenpunkten strukturierten, um Identitäten von Hintermännern und aktiven Nutzern aufzudecken.

Auswirkungen auf die zukünftige Cybersicherheit

Die Sicherstellung der Server von LeakBase und Tycoon 2FA hat weitreichende Konsequenzen für die Nutzer dieser Dienste. Da die Ermittler nun Zugriff auf die vollständigen Mitgliederlisten und Kommunikationsverläufe haben, konnten bereits zahlreiche Personen deanonymisiert werden. In einigen Fällen suchten Beamte die Tatverdächtigen direkt auf oder kontaktierten sie über die zuvor für kriminelle Zwecke genutzten digitalen Kanäle.

Obwohl die Infrastrukturen zerschlagen sind, bleiben die bereits im Umlauf befindlichen Daten eine Gefahr. Experten raten Unternehmen und Privatpersonen dazu, ihre Sicherheitsstrategien regelmäßig zu überprüfen. Die Abschaltung verdeutlicht, dass selbst professionell betriebene kriminelle Netzwerke durch internationale Zusammenarbeit identifiziert werden können. Die laufenden Ermittlungen konzentrieren sich nun darauf, die Finanzströme zu rekonstruieren, die über die Credit-Systeme und Abonnements der Plattformen abgewickelt wurden.

Faktenbox