Kurz erklärt: Bei Half-Click-Angriffen genügt es oft, eine präparierte E-Mail im Webmail-Programm zu öffnen – ganz ohne Klick auf einen Link oder Anhang. Sicherheitsforscher von Proofpoint warnen vor einer russischen Hackergruppe, die diese Methode gezielt gegen Behörden und Regierungen einsetzt. Wir erklären, wie die Masche funktioniert und wie Sie sich schützen können.
Jahrelang galt eine einfache Faustregel als beste Verteidigung gegen Cyberkriminelle: keine verdächtigen Links anklicken. Doch diese Regel reicht nicht mehr aus. Sicherheitsforscher warnen vor sogenannten Half-Click-Angriffen, bei denen bereits das bloße Anzeigen einer E-Mail genügt, damit Angreifer die Kontrolle über ein Mail-Konto übernehmen. Der Nutzer muss weder einen Link öffnen noch einen Anhang starten – und merkt oft nicht einmal, dass etwas passiert ist.
Was sind Half-Click-Angriffe?
Bei klassischen Phishing-Attacken muss das Opfer aktiv werden: einen Link anklicken, einen Anhang öffnen oder Zugangsdaten eingeben. Half-Click-Angriffe verkürzen diesen Ablauf drastisch. Der Begriff „Half-Click“ – also „halber Klick“ – beschreibt es treffend: Zwar ist noch eine minimale Handlung des Nutzers nötig, nämlich das Öffnen oder Anzeigen der Nachricht. Ein zweiter, bewusster Klick auf einen Link oder Anhang entfällt jedoch vollständig.
Technisch handelt es sich dabei um sogenannte Cross-Site-Scripting-Schwachstellen (XSS) in webbasierten E-Mail-Diensten. Sobald das Opfer die präparierte Nachricht im Webmail-Viewer öffnet, wird der versteckte Schadcode automatisch ausgeführt. Für Betroffene sieht die E-Mail dabei aus wie eine gewöhnliche Nachricht – im Zweifel wird sie sogar als harmloser Spam oder Werbung abgetan.
So funktioniert die Masche
Angreifer nutzen dabei gezielt Fehler in der Darstellung von HTML-Inhalten aus. Viele Webmail-Systeme filtern eingehende Nachrichten nicht sorgfältig genug. Enthält eine E-Mail beispielsweise manipulierte Event-Handler, kann darüber schädlicher JavaScript-Code ausgeführt werden.
Der Ablauf lässt sich vereinfacht so beschreiben:
- Der Angreifer verschickt eine präparierte E-Mail an das Opfer.
- Das Opfer öffnet die Nachricht in seinem Webmail-Programm.
- Der versteckte Schadcode wird vom Browser automatisch zusammengesetzt und ausgeführt.
- Der Angreifer erhält Zugriff auf Zugangsdaten, Kontakte und E-Mails.
Betroffen sind vor allem verbreitete Webmail-Plattformen wie Zimbra, Roundcube, SOGo, mDaemon und Kerio. Der Schadcode wird dabei so geschickt versteckt und verschleiert, dass viele Sicherheitsmechanismen ihn nicht erkennen.
Der Drahtzieher: die Hackergruppe TA458
Hinter einem großen Teil dieser Angriffe steht laut den Sicherheitsforschern von Proofpoint eine Gruppe namens TA458. Sie gilt als russlandnahe Spionagegruppe und wird mit hoher Wahrscheinlichkeit dem russischen Militärgeheimdienst GRU zugerechnet. TA458 steht auch hinter der bekannten Kampagne „Operation RoundPress“.
Die Gruppe verfügt offenbar über einen regelrechten Nachschub an Half-Click-Exploits für Webmail-Software. Ob diese Schwachstellen intern entwickelt, innerhalb des Geheimdienstes weitergegeben oder von Dritten eingekauft werden, ist bislang unklar. Bemerkenswert ist die Hartnäckigkeit der Angreifer: Trotz mehrfacher öffentlicher Enttarnung durch Sicherheitsunternehmen und Regierungsstellen setzt TA458 seine Aktivitäten unbeirrt fort.
Die Schadsoftware SpyPress
Als zentrales Werkzeug dient der Gruppe eine Schadsoftware namens SpyPress. Dabei handelt es sich um verschleierten JavaScript-Code, der je nach angegriffenem Mailserver angepasst wird. Der Kern der Funktion bleibt jedoch immer gleich: der Diebstahl von Zugangsdaten, Kontakten und E-Mails.
In einer weiterentwickelten Variante geht SpyPress inzwischen noch einen Schritt weiter. Bei der Plattform Roundcube versucht die Software, einen dauerhaften Zugang zum System einzurichten – über gleich mehrere Hintertüren, die als Absicherung dienen, falls eine davon nicht funktioniert. So können sich die Angreifer langfristig im System festsetzen.
Diese Schwachstellen wurden ausgenutzt
Proofpoint hat mehrere konkrete Sicherheitslücken dokumentiert, die von TA458 ausgenutzt wurden. Darunter befinden sich sowohl bereits bekannte als auch bis dahin unbekannte „Zero-Day“-Schwachstellen:
- CVE-2025-27915 – Zimbra
- CVE-2025-3929 – mDaemon
- CVE-2024-42009 – Roundcube
- CVE-2026-8496 – SOGo
Die SOGo-Lücke wurde von Proofpoint entdeckt, dem Hersteller gemeldet und anschließend mit einem Update geschlossen. Dieses Vorgehen – die verantwortungsvolle Offenlegung gegenüber den Herstellern – ist ein wichtiger Baustein, um solche Angriffswege dauerhaft zu versperren.
Wer im Visier steht
Die Angriffe richten sich nicht wahllos gegen jeden Internetnutzer. Im Fokus stehen vor allem Regierungsstellen in der Ukraine sowie militärische und staatliche Einrichtungen in Osteuropa, etwa in Albanien, Griechenland, Moldau und der Türkei. Vereinzelt gerieten auch Unternehmen aus der Chemie-, Telekommunikations- und Technologiebranche ins Visier.
Es handelt sich also in erster Linie um gezielte Spionage, nicht um breit gestreute Massenangriffe. Das macht die Bedrohung für Privatpersonen zwar aktuell weniger unmittelbar – doch die zugrunde liegende Technik zeigt, wie verwundbar Webmail-Systeme grundsätzlich sein können.
Warum diese Angriffe so gefährlich sind
Der entscheidende Unterschied zum klassischen Phishing liegt im Fehlen sichtbarer Warnsignale. Bei herkömmlichen Attacken gibt es meist verdächtige Merkmale: einen fragwürdigen Link, eine ungewöhnliche Absenderadresse oder eine dringende Aufforderung zum Handeln. Bei Half-Click-Angriffen fehlen diese Hinweise fast vollständig.
Die Nutzer lesen scheinbar nur eine gewöhnliche Nachricht. Sie ahnen nicht, dass im Hintergrund bereits Schadcode ausgeführt wurde. Genau das verhindert oft auch, dass ein Vorfall überhaupt an die IT- oder Sicherheitsabteilung gemeldet wird. Die bewährte Regel „Klicken Sie nicht auf verdächtige Links“ greift hier schlichtweg nicht mehr.
So können Sie sich schützen
Auch wenn die aktuellen Angriffe vor allem staatliche Ziele betreffen, gelten die Schutzmaßnahmen für alle, die Webmail-Systeme nutzen oder betreiben:
- Updates konsequent einspielen: Halten Sie Webmail-Software, Browser und Mailserver stets auf dem neuesten Stand. Viele der ausgenutzten Lücken sind mit den bereitgestellten Patches bereits geschlossen.
- Sicherheitsupdates priorisieren: Betreiber von Mailservern sollten neue Patches ohne Verzögerung installieren.
- Skript-Ausführung einschränken: Wo möglich, sollte die automatische Ausführung von HTML- und JavaScript-Inhalten in sensiblen Umgebungen begrenzt werden.
- Mehr-Faktor-Authentifizierung nutzen: Ein zusätzlicher Schutzfaktor erschwert Angreifern die Kontoübernahme erheblich.
- Verdächtiges melden: Auffällige Nachrichten sollten grundsätzlich an die IT- oder Security-Abteilung gemeldet werden – auch dann, wenn scheinbar nichts passiert ist.
