Warum ein Web-Proxy wie Zscaler nicht jedes Phishing stoppt

Secure Web Gateways wie Zscaler sind eine echte Säule moderner Abwehr: Sie inspizieren Datenverkehr im großen Maßstab, blocken bekannte schädliche Ziele und setzen Richtlinien durch, egal wo eine Nutzerin sitzt. Doch sich blind darauf zu verlassen, kann zum Problem werden: Kein Web-Proxy stoppt jedes Phishing, und ihn als vollständige Antwort zu behandeln, erzeugt ein gefährliches trügerisches Sicherheitsgefühl. Hier steht, warum Zscaler — wie jeder Proxy — Sie exponiert lassen kann und warum die menschliche Schicht weiter zählt.

Was ein Secure Web Gateway gut kann

Ein Cloud-Proxy sitzt inline zwischen Nutzern und Internet und bringt echten Mehrwert:

• URL- und Kategoriefilterung gegen große Threat-Intelligence-Feeds.
• TLS-Inspektion, um in verschlüsselten Verkehr zu sehen, der sonst undurchsichtig wäre.
• Inline-Malware- und Content-Scanning bei Downloads und Seiten.
• Konsistente Richtlinie für Remote- und Büronutzer gleichermaßen.

Diese Kontrollen blocken täglich ein großes Volumen an Commodity-Phishing. Die blinden Flecken unten sind kein Vorwurf an einen einzelnen Anbieter — es sind strukturelle Grenzen, die für die ganze Kategorie gelten.

Wo modernes Phishing durchkommt

Frisch registrierte und kurzlebige Domains

Reputationssysteme brauchen Historie. Eine vor einer Stunde registrierte, für eine zweistündige Kampagne genutzte und dann verworfene Domain hat keinen Werdegang zum Markieren. Threat Intelligence erfasst diese Domains oft nachdem das Kampagnenfenster geschlossen ist.

Zeitpunkt des Klicks gegen Zeitpunkt des Scans

Ein Proxy bewertet eine Seite, wenn sie angefragt wird. Angreifer nutzen das mit benign-first-Seiten, die Scannern harmlosen Inhalt liefern und nur für echte Opfer auf die Phishing-Nutzlast umschalten — mit Geofencing, Referer-Prüfungen, Device-Fingerprinting und CAPTCHA-Toren zur Unterscheidung.

Scanner-/Sandbox-IP    → harmlose „im Aufbau“-Seite
Gezieltes Opfer + Token → aktive Seite zum Abgreifen von Zugangsdaten

Lücken der TLS-Inspektion

TLS-Inspektion ist mächtig, aber selten universell. Certificate Pinning, Break-Glass-Ausnahmen, nicht verwaltete und BYOD-Geräte sowie Datenschutz-Ausnahmen bedeuten, dass ein Teil des Verkehrs uninspiziert durchgereicht wird. Phishing, das in eine Inspektionslücke fällt, ist für den Proxy praktisch unsichtbar.

Missbrauch vertrauenswürdigen, legitimen Hostings

Zunehmend liegt der Phishing-Inhalt auf Infrastruktur, die ein Proxy nicht pauschal blocken sollte:

• SharePoint, OneDrive, Google Docs/Drive, die den Köder oder die Weiterleitung hosten.
• Cloudflare-, Azure- und CDN-Domains, die Angreiferseiten vorlagern.
• Offene Redirects auf seriösen Domains, die das Endziel verschleiern.

Diese Plattformen komplett zu blocken ist für die meisten Organisationen nicht machbar, also leihen sich Angreifer deren Reputation.

AiTM-Proxys und Session-Token-Diebstahl

Der härteste Fall: Adversary-in-the-Middle-Kits reichen die echte Login-Seite in Echtzeit weiter und stehlen das authentifizierte Session-Cookie und umgehen so MFA. Der Seiteninhalt ist echt, das Zertifikat ist gültig und die Domain kann brandneu sein — es gibt kaum etwas, das eine signaturbasierte Kontrolle fangen könnte.

Das Phishing, das Sie am dringendsten stoppen müssen, ist genau das Phishing, das so gebaut ist, dass es identisch zu legitimem Verkehr aussieht. Das ist für jeden Inline-Filter systembedingt ein schweres Problem.

Verteidigung in der Tiefe, keine einzelne Mauer

Ein Gateway ist eine Schicht. Widerstandskraft entsteht durch das Stapeln unabhängiger Kontrollen, sodass ein Fehltreffer auf einer Schicht auf einer anderen aufgefangen wird:

• Phishing-resistente MFA (FIDO2/Passkeys), damit ein gestohlenes Passwort oder ein weitergereichter Code keine Anmeldung abschließen kann.
• Identität und Conditional Access, die Sitzungen an konforme, verwaltete Geräte binden.
• E-Mail-Authentifizierung (SPF, DKIM, DMARC), um Spoofing an der Quelle zu kappen.
• Endpoint-Erkennung für das, was am Netzwerk vorbeirutscht.
• Certificate-Transparency- und Neu-Domain-Monitoring, um das Reaktionsfenster zu verkürzen.
• Eine geschulte, meldende menschliche Schicht — die Kontrolle, die den neuartigen Köder fängt, den noch kein Filter gesehen hat.

Die Nutzerin, die innehält, einer zu dringenden Nachricht misstraut und sie meldet, ist kein Ersatz für versagte Technik. In einem gut gestalteten Programm ist sie ein Sensor, der Ihrem SOC ein Signal liefert, das kein Proxy allein erzeugen kann.

Wie GottaPhish hilft

Kein Web-Proxy stoppt jedes Phishing — ein Gateway wie Zscaler lässt stets Lücken, und es als vollständige Antwort zu behandeln, erzeugt ein gefährliches trügerisches Sicherheitsgefühl. GottaPhish und sein Expertenteam messen, was Ihr Gateway nicht garantieren kann: ob echte Menschen auf echten Geräten dem Phishing widerstehen, das am Proxy vorbeirutscht. Unsere autorisierten Simulationen reproduzieren genau die Techniken, die Web-Filterung umgehen — benign-first-Tarnung, Köder auf vertrauenswürdigem Hosting und Adversary-in-the-Middle-Session-Diebstahl — sicher und mit vollständiger Auditierung, während unsere Fachleute Ihnen helfen, die Szenarien zu entwerfen, die Kampagnen auszurollen und die Expositionsdaten je Nutzer und Abteilung zu deuten. Das Ergebnis: gezielte Schulung und klare Dashboards, die Ihre Belegschaft zu einer verlässlichen Meldeschicht machen, die Zscaler ergänzt, statt von ihm abzuhängen.