Dieser Beitrag ist die direkte Fortsetzung des vorherigen Beitrags „Warum können SPF, DKIM und DMARC einige Phishing-Attacken nicht stoppen?“ und zeigt anhand realer E-Mail-Header, dass moderne Phishing-Mails häufig über die Infrastruktur der führenden Hyperscaler versendet werden.
In einem Fall geht es um sechs Erpressungs-E-Mails, die zwischen dem 4. und 7. Mai 2026 in meinem Spam-Ordner landeten, alle wurden aus verschiedenen IP-Adressen der Google Cloud Platform versendet.
Die Erpressungs-E-Mails
Wie im vorherigen Beitrag bereits erwähnt, habe ich sechs Erpressungsmails „von mir selbst“ erhalten.
3 May 2026 18:42:15 -0700 (PDT) 6 May 2026 19:32:02 -0700 (PDT) 6 May 2026 19:38:37 -0700 (PDT) 7 May 2026 04:48:46 +0200 (CEST) 7 May 2026 04:54:46 +0200 (CEST) 7 May 2026 06:30:57 +0200 (CEST)
Die Analyse der Header offenbarte überraschenderweise, dass alle E-Mails zwar von unterschiedlichen Mailservern versendet wurden, diese jedoch alle einem Provider zugeordnet waren, nämlich der Google Cloud Platform.
Received: from [127.0.0.1] (198.135.112.136.bc.googleusercontent.com [136.112.135.198]) Received: from [172.31.90.194] (223.246.74.34.bc.googleusercontent.com [34.74.246.223]) Received: from [172.31.87.34] (174.146.45.34.bc.googleusercontent.com [34.45.146.174]) Received: from [172.31.70.2] (24.176.231.35.bc.googleusercontent.com [35.231.176.24]) Received: from [127.0.0.1] (176.184.59.34.bc.googleusercontent.com [34.59.184.176]) Received: from [172.31.93.98] (20.189.26.34.bc.googleusercontent.com [34.26.189.20])
Die folgende Tabelle (Stand: 16.05.2026) bestätigt die Zuordnung der IP-Adresse zur Google Cloud.
| AS | IP | AS Name |
|---|---|---|
| 396982 | 136.112.135.198 | GOOGLE-CLOUD-PLATFORM – Google LLC, US |
| 396982 | 34.74.246.223 | GOOGLE-CLOUD-PLATFORM – Google LLC, US |
| 396982 | 34.45.146.174 | GOOGLE-CLOUD-PLATFORM – Google LLC, US |
| 396982 | 35.231.176.24 | GOOGLE-CLOUD-PLATFORM – Google LLC, US |
| 396982 | 34.59.184.176 | GOOGLE-CLOUD-PLATFORM – Google LLC, US |
| 396982 | 34.26.189.20 | GOOGLE-CLOUD-PLATFORM – Google LLC, US |
Die Ergebnisse lassen sich mit der unten stehenden Befehlskette ermitteln:
whois -h whois.cymru.com " -v 136.112.135.198"
Anstelle des Fazits…
Ehrlich gesagt war es für mich eine Überraschung, dass die Infrastruktur eines führenden Hyperscalers wie Google Cloud für solche Fälle missbraucht werden kann. Aus der Perspektive der Angreifer bietet GCP klare Vorteile:
- Die IPs von Google genießen eine hohe Reputation und werden wahrscheinlich nie auf einer Blacklist landen.
- Die Skalierbarkeit ermöglicht es den Tätern, über automatisierte Skripte innerhalb von Sekunden neue Instanzen hochzufahren, massenweise E-Mails „abzufeuern“ und diese anschließend wieder zu löschen, bevor Google reagieren kann. (Leider ist mir nicht bekannt, wie schnell ein Provider auf solche Fälle reagiert und wie. Falls jemand mehr darüber weiß, bitte ich um Information, damit ich den Beitrag ergänzen kann.)
Gerade weil große Plattformen zuverlässig, skalierbar und weltweit erreichbar sind und sogar Gratis-Guthaben bieten, werden sie von Angreifern missbraucht.
Anschließend lässt sich nur sagen, dass es trotz aller technischen Maßnahmen keine 100-prozentige Sicherheit geben wird. Es ist besser, eine legitime E-Mail zu löschen, als auf einen Link in einer verdächtigen E-Mail zu klicken.
Hinweis: Die identifizierten IPs wurden am 15.05.2026 an Google Cloud Abuse gemeldet. Sobald eine Rückmeldung vorliegt, wird dieser Beitrag entsprechend ergänzt.