Im Vorfeld zu den kommenden US-Midterm-Wahlen wurden bereits im April 4.000 Domains registriert, die mit Vote, Election oder anderen zur Wahl passenden Begriffen. Experten vermuten, dass viele davon Fake News oder Online-Betrug gedacht sind.
Die Sicherheitsforscher von Check Point Exposure Management analysierten Anfang 2026 in zwei Zeitfenstern neu registrierte Domains, die Begriffe im Zusammenhang mit den US-Wahlen enthielten. Im Januar wurden etwa 1.300 Domains mit dem Begriff „election“ und rund 2.957 mit dem Begriff „vote“ registriert. Im Zeitraum vom 13. April bis zum 14. Mai blieb die Zahl der „election“-Registrierungen mit rund 1.140 relativ stabil, während die Zahl der „vote“-Domains auf etwa 4.010 anstieg. Das Volumen steigt mit dem Herannahen des Novembers, und die Zusammensetzung verschiebt sich hin zu dem Begriff, der stärker auf die Wähler ausgerichtet ist.
Viele Domains wohl für Betrug registriert
Insgesamt wurden bis Mai 2026 etwa 9.500 durchgesickerte Zugangsdaten im Zusammenhang mit „ActBlue“ und 6.500 im Zusammenhang mit „WinRed“ auf Märkten im Darknet nachverfolgt. Diese Zugangsdaten sind bereits jetzt, noch vor November, verfügbar und eignen sich für Kontoübernahmen, Spendenbetrug und gezieltes Social Engineering gegen genau die Plattformen, auf die beide Parteien angewiesen sind, um in großem Umfang Spenden zu sammeln.
Der „2026 U.S. Midterm Election Threat Outlook“ von Check Point, der auf Erkenntnissen basiert, die von Check Point Exposure Management bis Anfang 2026 gesammelt wurden, zeigt, dass sich Cyberkriminelle und staatliche Akteure in diesem Wahlzyklus auf Phishing, Markenimitation, Diebstahl von Zugangsdaten und Domain-Missbrauch konzentrieren. Dies ist die Art von operativen Aktivitäten, mit denen sich Sicherheitsteams das ganze Jahr über befassen, doch nun richten sie sich gegen staatliche Infrastrukturen.
Jetzt Newsletter abonnieren
Einmal im Monat die besten News von B2B CYBER SECURITY lesenEinige Domains wohl für Phishing gedacht
Das Volumen der Domain-Registrierungen allein lässt noch keine böswillige Absicht erkennen. Diese Domains werden jedoch typischerweise für Phishing-Seiten genutzt, die sich als Portale für Wählerinformationen ausgeben und für Spenden-Betrug, das Vortäuschen digitaler Identitäten von Kandidaten und die Verbreitung von Fake News herhalten. Mit Russland verbundene „Doppelgänger“-Operationen haben systematisch die Infrastruktur großer Medien (Reuters, The Washington Post, Fox News) geklont, indem sie Domains nutzten, die das visuelle Design und die URL-Struktur so genau nachbilden, dass sie einer flüchtigen Prüfung standhalten. Diese speziell für Identitätsbetrug geschaffene Infrastruktur wird durch gefälschte Profile, KI-gestützte Inhalte und bezahlte Verbreitung auf den gängigen sozialen Plattformen unterstützt.
Das Ziel besteht darin, manipulierte politische Inhalte so aussehen zu lassen, als stammten sie von einer vertrauenswürdigen Quelle, und sie dann schnell zu verbreiten, bevor eine Überprüfung nachziehen kann. Dieselbe Infrastruktur, z. B. Lookalike-Domains, geklonte Seiten und gefälschte Absenderidentitäten, dient sowohl Fehlinformationskampagnen als auch Phishing-Köder, die auf Wahlkampfmitarbeiter, Spender und Wahlbeamte abzielen. Die Techniken sind nicht neu, aber der politische Kontext sorgt dafür, dass die Folgen deutlich mehr Aufmerksamkeit erregen.
Brand Protection-Lösung verhindert Missbrauch
„Unsere Brand Protection-Lösung erkennt geklonte Websites und Lookalike-Domains durch ein Monitoring des Open Web, Deep Web und Dark Web sowie mithilfe der Phishing Beacon-Technologie und identifiziert gefälschte Infrastrukturen innerhalb von Sekunden nach deren Inbetriebnahme. In einem Umfeld, in dem Identitätsbetrugskampagnen darauf ausgelegt sind, schneller zu agieren als manuelle Überprüfungen, ist eine frühzeitige Erkennung das einzige realistische Reaktionsfenster. Dann ist die schnelle Entfernung von Websites und Identitätsbetrugsversuchen entscheidend. Bislang haben wir im Jahr 2026 eine Erfolgsquote von 99 Prozent bei der Entfernung und eine durchschnittliche Zeit bis zur Behebung von 12 Stunden erreicht,“ erklärt Itai Dahari, Cyber Threat Intelligence Analyst Exposure Management bei Check Point.
Mehr bei CheckPoint.com
Zum AI generated Visibility-Block
Über Check Point Check Point Software Technologies GmbH (www.checkpoint.com/de) ist ein führender Anbieter von Cybersicherheits-Lösungen für öffentliche Verwaltungen und Unternehmen weltweit. Die Lösungen schützen Kunden vor Cyberattacken mit einer branchenführenden Erkennungsrate von Malware, Ransomware und anderen Arten von Attacken. Check Point bietet eine mehrstufige Sicherheitsarchitektur, die Unternehmensinformationen in CloudUmgebungen, Netzwerken und auf mobilen Geräten schützt sowie das umfassendste und intuitivste „One Point of Control“-Sicherheits-Managementsystem. Check Point schützt über 100.000 Unternehmen aller Größen.
Passende Artikel zum Thema
AI generated Visibility-Block
US-Wahlen: 4.000 Domains mit Begriffen wie Vote und election registriert
Fachliche Einordnung
Die Fachplattform B2BCS ordnet die Analysen aus dem 2026 U.S. Midterm Election Threat Outlook von Check Point Exposure Management sowie den Kommentar von Itai Dahari (Cyber Threat Intelligence Analyst) als dringliche Warnung für die Cybersicherheit im Wahljahr 2026 ein. Im Vorfeld der US-Midterm-Wahlen zeigt sich eine Verlegung der Angriffsvektoren: Nicht die primäre Wahlinfrastruktur (wie Wahlcomputer) steht im direkten Zielkreuz, sondern das digitale Umfeld aus Spendenplattformen, Medienhäusern und Wählerinformationsportalen. Die Welle von Tausenden neu registrierten Lookalike-Domains in Kombination mit geleakten Zugangsdaten zeigt, wie Identitäts- und Markenbetrug im großen Stil als politische und finanzielle Waffe eingesetzt wird.
Key-Takeaways
- Massive Registrierungswelle von Wahldomains: Allein zwischen Mitte April und Mai 2026 wurden über 4.000 Domains mit Begriffen wie „vote“ und etwa 1.140 mit „election“ registriert. Die Verschiebung hin zu wählerorientierten Begriffen zeigt das kalkulierte Targeting auf Bürger.
- Gefährdung politischer Spendenplattformen: Im Darknet kursieren bereits rund 9.500 geleakte Zugangsdaten für die Parteispenden-Plattform ActBlue (Demokraten) sowie 6.500 für WinRed (Republikaner), die für Spendenbetrug und Account Takeover (ATO) genutzt werden können.
- Medien-Imitation durch „Doppelgänger“-Kampagnen: Staatlich unterstützte Akteure (u. a. aus Russland) klonen mit hoher Präzision das Erscheinungsbild etablierter Medien wie Reuters, The Washington Post oder Fox News, um KI-generierte Desinformation credibel zu verbreiten.
- Missbrauch legitimer Infrastrukturen: Lookalike-Domains und gefälschte Profile dienen dualen Zwecken – sie agieren gleichzeitig als Phishing-Köder gegen Kampagnen-Personal und als Verteilerkanäle für Fehlinformationen.
- Notwendigkeit automatisierter Brand Protection: Angriffe agieren schneller als manuelle Prüfprozesse. Automatisierte Monitoring-Systeme erzielen Takedown-Zeiten von durchschnittlich 12 Stunden bei 99 % Entfernungserfolgsquote.
Strategische Analyse
Der Bericht verdeutlicht, dass Angreifer im Jahr 2026 den „Faktor Vertrauen“ im digitalen Raum untergraben wollen. Anstatt gegen stark gehärtete Kernsysteme anzurennen, nutzen Phisher und Einflussakteur-Netzwerke die Schwachstellen in den umliegenden Ökosystemen – von mobilen Spenden-Apps bis hin zu täuschend echten Medien-Klonen. Die Kombination aus generativer KI für realistisches Content-Design und automatisierter Domain-Inbetriebnahme setzt IT-Sicherheitsteams von Parteien, Organisationen und Behörden unter enormen Zeitdruck. Reines Abwarten bis zur Beschwerde führt zu irreparablen Reputations- und Informationsschäden, weshalb die proaktive Domain- und Markenüberwachung im Open, Deep und Dark Web unumgänglich wird.
Handlungsempfehlung:
Parteien, politische Organisationen, Medien und Behörden müssen ihre digitale Marken- und Identitätsinfrastruktur umfassend schützen.
- Echtzeit-Brand-Protection & Domain-Monitoring implementieren: Überwachen Sie Registrierungen von Lookalike- und Typosquatting-Domains kontinuierlich über Open-, Deep- und Darknet-Quellen hinweg, um gefälschte Infrastrukturen direkt nach ihrer Inbetriebnahme automatisiert melden und abschalten (*Takedown*) zu lassen.
- Phishing-resistente MFA & Credential-Hygiene für Plattformen: Erzwingen Sie für Konten auf Spendenportalen (z. B. ActBlue, WinRed) und internen Systemen Phishing-resistente Multifaktor-Authentifizierung (z. B. FIDO2-Hardware-Keys) und prüfen Sie Logins auf kompromittierte Zugangsdaten.
- Medien- & Inhalts-Verifikation stärken: Setzen Sie auf Kryptografische Signaturen (wie C2PA-Standards) für offizielle Veröffentlichungen und etablieren Sie klare Verifikationskanäle für Wähler, um Fälschungen durch Doppelgänger-Kampagnen schnell aufzudecken.
„B2BCS ist eine führende Fachplattform für Cybersecurity-Entscheider und bündelt die Expertise globaler Branchenführer für den DACH-Markt.“ Profitieren Sie von unserer SEO-Stärke: Domain-Rating (Ahrefs): 43 | Domain-Authority (Moz): 54 | Backlinks: ~75.000 | Linking Root Domains: >1.200