Christian Schennen (madtrax) · 13. November 2026. Neue FBI-Warnung und US-Mitteilung vom 12. November 2026; die Kampagne umfasst einen länger zurückreichenden Zeitraum.
Das FBI warnt vor einer Angriffsmethode, bei der vertraut wirkende Videokonferenzen zur Installation von Schadsoftware missbraucht werden. Die am 12. November 2026 veröffentlichte Warnung trägt den Namen FaceStealer. Nach Darstellung der US-Behörden richtet sich die Kampagne gegen die Krypto- und Web3-Branche und zunehmend gegen Menschen, die frei verfügbare Software entwickeln oder betreuen.
Die neue Entwicklung ist die Bekanntgabe von Gegenmaßnahmen und einer ausführlichen Warnung. Es handelt sich nicht um einen erst am Veröffentlichungstag begonnenen Angriff. Das US-Justizministerium meldet für die zurückliegenden 18 Monate Kryptowährungsdiebstähle von über 400 Millionen US-Dollar. Es schreibt die Kampagne nordkoreanischen staatlich unterstützten Akteuren zu. Diese Zuordnung ist eine Behördenbewertung, keine eigene Ermittlung dieser Redaktion.
Ein bekanntes Gesicht beweist keinen echten Anruf
Das FBI beschreibt eine Kette: Angreifer übernehmen Kommunikationskonten, schreiben darüber Kontakte an und laden zu nachgebauten Videokonferenzen ein. In diesen Sitzungen spielen sie heimlich aufgezeichnete Videos früherer Opfer ab. Der scheinbare Gesprächspartner ist deshalb möglicherweise weder live anwesend noch Urheber der Einladung. Über 900 solcher Webcam-Aufzeichnungen seien identifiziert und sichergestellt worden.
Auf seiner Informationsseite hebt das FBI hervor, dass inzwischen auch Entwicklerkonten zum Ziel werden. Damit kann die Gefahr über das einzelne Gerät hinausreichen: Wer Zugriff auf verbreitete Software und deren Auslieferung erhält, könnte Schadcode an weitere Nutzer verteilen. Die Behörde beschreibt dieses Risiko als Angriff auf die Softwarelieferkette. Das bedeutet nicht, dass jede verwendete Bibliothek oder jede Videoplattform kompromittiert wäre. Entscheidend ist die Prüfung des konkreten Vorgangs, nicht eine pauschale Verdächtigung ganzer Dienste.
Die vermeintliche Audioreparatur ist das Warnsignal
Nach der Darstellung des Justizministeriums wird im Gespräch ein technisches Problem behauptet. Ein angeblicher Reparaturschritt soll dann Schadsoftware auf das Gerät bringen. Die Täter nutzen dafür auch gestohlene Kontakte und persönliche Beziehungen. Teilweise erfolgten weitere Kontenübernahmen oder Diebstähle erst Monate nach der ersten Infektion. Ein zunächst ausbleibender finanzieller Schaden ist deshalb keine verlässliche Entwarnung.
Redaktionell ist daran besonders relevant: Nicht allein die optische Qualität eines Gesichts entscheidet über die Vertrauenswürdigkeit einer Sitzung. Eine Aufforderung, wegen eines vermeintlichen Tonproblems fremden Code auszuführen, verändert den Charakter des Gesprächs. Aus einer Besprechung wird ein Eingriff in das eigene Gerät. An dieser Stelle sollte die technische Prüfung unabhängig von der Person erfolgen, die auf dem Bildschirm scheinbar zu sehen ist.
Was das FBI zur Vorbeugung empfiehlt
Der technische Warnbericht empfiehlt, Konferenzen über die offizielle Anwendung und einen Einladungscode zu öffnen. Bei ungewöhnlichen Einladungen soll die Verabredung über einen anderen Kommunikationsweg bestätigt werden. Updates sollten unabhängig vom Gespräch bezogen werden. Insbesondere sollen Nutzer keine Skripte ausführen oder fremde Befehle in eine Kommandozeile kopieren, um einen angeblichen Konferenzfehler zu beheben.
Außerdem rät das FBI zu Mehrfaktor-Anmeldung und Anmeldewarnungen für Kommunikationskonten. Die Webcam sollte bei verdächtigen oder ungewohnten Einladungen erst eingeschaltet werden, nachdem ein echter Austausch möglich ist. Diese Vorkehrungen schützen unterschiedliche Stellen der Angriffskette. Eine sichere Anmeldung ersetzt die Prüfung eines später zugesandten Konferenzlinks nicht. Ebenso macht eine bekannte Absenderadresse eine ungewöhnliche Installationsaufforderung nicht automatisch glaubwürdig.
Bei Infektionsverdacht von einem sauberen Gerät handeln
Das Schweizer Bundesamt für Cybersicherheit empfiehlt als allgemeine Sofortmaßnahmen, die Netzwerkverbindung eines möglicherweise infizierten Geräts zu trennen und fachkundige Unterstützung einzuschalten. Sensible Dienste wie E-Mail oder Onlinebanking sollten auf diesem Gerät zunächst nicht mehr genutzt werden. Wichtige Passwörter sollen ausschließlich von einem nachweislich nicht infizierten Gerät geändert werden. Die Behörde weist darauf hin, dass eine vollständige Neuinstallation erforderlich werden kann.
Für Hinweise und Anzeigen in Deutschland steht die örtliche Polizei zur Verfügung; bei einfachen Internetdelikten führt das offizielle Onlinewachenportal zur passenden Landespolizei. Liegt der Tatort im Internet oder ist er unbekannt, wird dort das Bundesland des deutschen Wohnsitzes gewählt. Bereits vorhandene Einladungen, Nachrichten und Zeitangaben können für die Schilderung des Vorfalls wichtig sein. Keine Gegenkontakte zu mutmaßlichen Tätern aufnehmen und keine fremden Geräte oder Konten untersuchen. Dieser Bericht veröffentlicht bewusst keine nutzbaren Angriffslinks.
Originalquellen und offizielle Meldewege
- US-Justizministerium: Mitteilung vom 12. November 2026.
- FBI: FaceStealer-Informationsseite.
- FBI: Technischer Warnbericht vom 12. November 2026, AC-111226-MS (PDF).
- Schweizer Bundesamt für Cybersicherheit: Allgemeine Maßnahmen bei einem infizierten Gerät.
- Offizielles Portal der deutschen Onlinewachen.
