📅 Veröffentlicht am 28.07.2026
👓 Lesezeit: 7 min.
Strafverfolgungsbehörden wie das FBI sowie Microsoft selbst warnen aktuell eindringlich vor einer massiven, weltweiten Welle hochentwickelter Angriffe auf Microsoft-365-Unternehmenskonten, bei denen die Multi-Faktor-Authentifizierung (MFA) gezielt umgangen wird. In nur zwei Wochen haben Hacker kürzlich über 80 Millionen Login-Versuche gegen Microsoft-365-Umgebungen durchgeführt.
Kleine und mittelständische Unternehmen sind von den Angriffen besonders betroffen, weil dort moderne Schutzmechanismen wie Conditional Access, Passkeys oder XDR oft (noch) nicht vollständig umgesetzt sind. Doch was genau heißt das? Wir verraten Ihnen und den Admins Ihres Unternehmens, wie diese Angriffe funktionieren und was Sie tun können.
Die Multi-Faktor-Authentifizierung (MFA) gilt nach wie vor als sichere und etablierte Methode, um zu verhindern, dass Hacker allein mit einem gestohlenen Passwort in ein System eindringen können. In den meisten Fällen wird die MFA bei der aktuellen Angriffswelle auf Microsoft-365-Konten selbst nicht kryptographisch geknackt. Stattdessen umgehen Angreifer sie durch folgende moderne Angriffstechniken:
Hierbei nutzen Angreifer Phishing-Plattformen, um den legitimen OAuth-2.0-Geräteautorisierungsfluss (ein Anmeldeprozess für Geräte ohne Browser oder Tastatur, wie etwa Drucker oder Smart-TVs) auszuhebeln. Dabei erhalten Angriffsopfer täuschend echte Compliance- oder Dokumenten-Mails. Sie werden aufgefordert, die offizielle Microsoft-Seite (microsoft.com/devicelogin) aufzurufen und einen in der Mail genannten Code einzugeben. Da die Webseite echt ist, schöpfen Nutzer oft keinen Verdacht. Sobald der Code eingegeben und die MFA bestätigt wird, genehmigt das Opfer jedoch nicht den eigenen Login, sondern den des Angreifers. Der Hacker erhält ein gültiges OAuth-Token (Zugangsberechtigung), das ihm wochenlangen, persistenten Zugriff auf Outlook, Teams und OneDrive gewährt – ganz ohne das Passwort des Nutzers zu kennen.
Ein weiterer Angriffsschwerpunkt liegt auf automatisierten Massen-Logins. Diese Methode wurde beim kürzlich erfolgten, bereits erwähnten Angriff mit über 80 Millionen Login-Versuchen angewendet. Die Angreifer nutzen geleakte, valide Passwort-Kombinationen und jagen diese über das ROPC-Protokoll (Resource Owner Password Credentials) – eine nicht mehr zeitgemäße Anmeldemethode, die jedoch in manchen, veralteten Unternehmensanwendungen wie etwa intern entwickelten ERP-Systemen oder CRM-Lösungen noch vorkommen kann. Wenn Unternehmen ihre Richtlinien für bedingten Zugriff (Conditional Access) unvollständig konfiguriert haben, greift die MFA bei diesen nicht-interaktiven Protokollen oft nicht, wodurch Konten sofort offenstehen.
Hierbei schalten Angreifer mit Phishing-Kits wie „Tycoon“ einen Reverse-Proxy zwischen das Opfer und eine gefälschte Microsoft-Anmeldeseite. Der Nutzer erhält einen Phishing Link zu einer täuschen echten Imitation von microsoft.com, gibt sein Passwort ein und absolviert die MFA. Der Proxy fängt das dabei generierte Session-Cookie (Token) ab. Der Angreifer kopiert dieses Cookie in seinen eigenen Browser und ist ohne erneute MFA-Abfrage eingeloggt. Momentan registriert Microsoft rund 40.000 solcher AiTM-Vorfälle täglich.
Ein Session-Diebstahl durch Malware kommt sogar ganz ohne AiTM und Phishing aus. Dabei loggt sich der User auf der echten Seite microsoft.com ein, während eine Schadsoftware das Session-Cookie ausliest und an den Angreifer sendet. Zuvor muss natürlich erst die Malware auf den PC des Users gelangt sein, etwa durch Mails mit schädlichen Anhängen, die der User geöffnet hat, oder fragwürdige Browsererweiterungen.
Benutzer genehmigen einer scheinbar legitimen Anwendung den Zugriff auf ihre Daten, die in Wirklichkeit eine Hacker-Anwendung ist und z.B. aussieht wie der Adobe PDF Viewer oder ein gefälschtes Teams-Update. Die MFA wird korrekt durchgeführt, schützt aber nicht vor der anschließenden App-Berechtigung. Hacker benötigen weder Passwort, noch MFA oder Session-Cookies für diesen Angriff.
Die Windows-Schöpfer haben kürzlich angekündigt, dass sich die Standard-Authentifizierung in Microsoft Entra ID (ehemals Azure AD) ändert. Ziel ist es, Unternehmen von leicht angreifbaren Verfahren wie SMS und Telefonanrufen auf phishing-resistente Methoden wie Passkeys umzustellen. Ab 1. September 2026 werden Passkeys deshalb zur Standard-Anmeldemethode in Microsoft Entra ID. Benutzer, die sich bisher per SMS oder Telefonanruf für die MFA anmelden, werden automatisch für Passkeys vorbereitet. Bei einer zukünftigen Anmeldung werden diese Benutzer aufgefordert, einen Passkey einzurichten (die Aufforderung kann zunächst noch übersprungen werden).
Für kleine und mittlere Unternehmen ist das Risiko, Opfer der aktuellen Angriffswelle gegen Microsoft-365-Umgebungen zu werden, realistisch und relevant. Wenn KMU heute Microsoft 365 Business Premium oder höher, Microsoft Authenticator Push-MFA sowie keine oder nur einfache Conditional-Access-Richtlinien nutzen, sind sie besser geschützt als ohne MFA, aber nicht vollständig gegen moderne AiTM- oder Device-Code-Angriffe abgesichert. Die gute Nachricht ist, dass die meisten erfolgreichen Angriffe nicht auf Schwachstellen in Microsoft MFA selbst beruhen, sondern auf Phishing, Sitzungsdiebstahl oder Konfigurationslücken. Wer Business Premium mit sauber konfiguriertem Conditional Access, deaktivierter Legacy Authentication sowie möglichst Passkeys einsetzt, reduziert das Risiko bereits erheblich.
Gerade für IT-Dienstleister, die Microsoft-365-Mandanten betreuen, gehört die Absicherung gegen AiTM- und Device-Code-Phishing inzwischen zu den wichtigsten Maßnahmen im Identitätsschutz.
Sie möchten die Mitarbeiter Ihres Unternehmens zu Cyberkriminalität schulen? Wir unterstützen Sie mit unseren Security Awareness-Trainings. Dabei können Sie sich auf über 30 Jahre Erfahrung verlassen. Wir sind Unified Security Cert+-Partner bei Securepoint. Damit gewährleisten wir höchste Standards in der IT-Sicherheit und zeigen Ihren Angestellten in spannenden Online-Kursen alles, was sie wissen müssen.
Teilen Sie Ihre Anforderungen und Wünsche mit uns –
wir liefern die optimale Lösung.
Vertrauen Sie auf über 35 Jahre Expertise
und lassen Sie sich jetzt von uns beraten!
