Microsoft 365: Warum Zwei-Faktor gegen die aktuelle Phishing-Welle nicht mehr ausreicht
Warnung vor Phishing-Angriffen trotz Zwei-Faktorabsicherung.
Microsoft 365: Warum Zwei-Faktor gegen die aktuelle Phishing-Welle nicht mehr ausreicht
Der Kurzüberblick
Seit einigen Monaten häufen sich Angriffe, bei denen Microsoft-365-Konten übernommen werden, obwohl die Zwei-Faktor-Authentifizierung aktiv war. Möglich wird das durch sogenanntes Adversary-in-the-Middle-Phishing. Die Angreifer stehlen dabei nicht das Passwort, sondern die fertige Anmeldesitzung. Klassische Schutzmaßnahmen greifen dagegen nur eingeschränkt.
Dieser Beitrag erklärt den Ablauf, die Erkennungsmerkmale und die Sofortmaßnahmen im Ernstfall.
Wie läuft der Angriff konkret ab?
Der Angriff beginnt mit einer E-Mail, die aussieht wie eine Nachricht von einem Lieferanten, Kunden oder Kollegen. Am häufigsten ist die vorgetäuschte Datei-Freigabe: „Max Mustermann hat eine Datei für Sie freigegeben.“ Ebenfalls verbreitet sind angeblich ablaufende Zugangsberechtigungen, offene Rechnungen und Sprachnachrichten.
Der Link führt auf eine Seite, die optisch nicht vom echten Microsoft-Login zu unterscheiden ist. Der entscheidende Unterschied liegt im Hintergrund: Diese Seite ist ein Reverse Proxy. Sie leitet jede Eingabe in Echtzeit an den echten Microsoft-Dienst weiter und spiegelt dessen Antwort zurück.
Das Opfer gibt also Benutzername und Passwort ein. Microsoft fordert daraufhin die Zwei-Faktor-Bestätigung an. Diese Aufforderung wird durchgereicht, das Opfer bestätigt sie am Handy, weil aus seiner Sicht alles korrekt aussieht. Microsoft stellt anschließend ein gültiges Sitzungs-Token aus. Genau dieses Token fängt der Angreifer ab.
Ab diesem Moment ist das Konto übernommen. Der Angreifer benötigt weder Passwort noch zweiten Faktor, denn er besitzt eine bereits authentifizierte Sitzung.
Warum schützt die Zwei-Faktor-Authentifizierung hier nicht?
Weil sie den Anmeldevorgang absichert, nicht das Ergebnis. Die Zwei-Faktor-Abfrage prüft, ob die anmeldende Person die richtige ist. Sie prüft nicht, ob die Seite, auf der die Anmeldung stattfindet, die echte ist.
Bei SMS-Codes, Authenticator-Codes und Push-Bestätigungen ist die Bestätigung nicht an die Adresse der aufgerufenen Website gebunden. Der Nutzer bestätigt in gutem Glauben eine Anmeldung, die tatsächlich stattfindet, nur eben über den Angreifer als Zwischenstation.
Wichtig zur Einordnung: Zwei-Faktor bleibt unverzichtbar. Sie verhindert weiterhin die große Mehrheit aller Angriffe, insbesondere die Wiederverwendung gestohlener Passwörter aus Datenlecks. Gegen diese spezielle Methode reicht sie in der klassischen Form allein jedoch nicht aus.
Woran erkenne ich eine solche Phishing-Mail?
Die verlässlichsten Merkmale liegen im Kontext, nicht in Rechtschreibfehlern. Die aktuellen Mails sind sprachlich sauber, oft sogar mit korrekter Firmierung und Signatur.
- Eine Datei-Freigabe, die Sie nicht erwartet haben, auch wenn der Absender bekannt ist
- Eine Anmeldeaufforderung, obwohl Sie an Ihrem Rechner längst angemeldet sind
- Zeitdruck oder eine Drohkulisse, etwa ein Zugang, der noch heute abläuft
- Die vollständige Absenderadresse weicht ab, während der angezeigte Name vertraut wirkt
- Die Zieladresse des Links gehört weder zu Microsoft noch zum genannten Geschäftspartner
Ein besonders unangenehmes Merkmal fehlt hier bewusst: Häufig stammt die Mail tatsächlich aus einem echten, bereits übernommenen Postfach eines Geschäftspartners. Absenderprüfung allein reicht dann nicht, weil der Absender echt ist.
Was ist zu tun, wenn bereits Zugangsdaten eingegeben wurden?
Hier zählt Geschwindigkeit, und die Reihenfolge der Schritte ist entscheidend.
1. Aktive Sitzungen beenden, dann erst das Passwort ändern. Ein Passwortwechsel allein beendet die gestohlene Sitzung nicht. Das Token bleibt gültig, bis es gezielt zurückgezogen wird. Wer nur das Passwort ändert und sich danach in Sicherheit wiegt, hat den Angreifer weiterhin im Postfach.
2. Anmeldeprotokolle prüfen. Fremde IP-Adressen, ungewöhnliche Standorte und neu registrierte Geräte zeigen, ob und wie weit der Zugriff bereits ging.
3. Posteingangsregeln kontrollieren. Das ist der am häufigsten übersehene Punkt. Angreifer legen typischerweise eine unauffällige Regel an, die eingehende Nachrichten weiterleitet oder bestimmte Mails automatisch in einen selten geöffneten Ordner verschiebt. So lesen sie weiter mit, auch nachdem der Zugang gesperrt wurde.
4. App-Berechtigungen und hinterlegte Anmeldemethoden prüfen. Eine nachträglich registrierte Authenticator-App oder eine unbekannte OAuth-Anwendung ist ein eindeutiges Zeichen für eine bestehende Kompromittierung.
5. Geschäftspartner informieren. Aus dem übernommenen Postfach werden in aller Regel weitere Phishing-Mails an echte Kontakte versendet. Diese Kette gilt es zu unterbrechen.
Warum verdächtige Mails nicht sofort gelöscht werden sollten
Im privaten Umfeld ist Löschen richtig. Im Unternehmen ist es der falsche erste Schritt.
Die Originalnachricht enthält die technischen Kopfdaten, aus denen sich die Absender-Infrastruktur rekonstruieren lässt. Damit lässt sich zentral nachvollziehen, wer im Unternehmen dieselbe Mail erhalten hat, und die Quelle für alle Postfächer sperren. Eine gelöschte Mail nimmt der IT genau diese Möglichkeit.
Die richtige Reihenfolge lautet also: an die IT weiterleiten, Rückmeldung abwarten, danach löschen.
Welche Maßnahmen schützen tatsächlich?
Phishing-resistente Anmeldeverfahren. FIDO2-Sicherheitsschlüssel und Passkeys binden die Anmeldung kryptografisch an die Adresse der Website. Auf einer gefälschten Seite lassen sie sich technisch nicht verwenden, selbst wenn der Nutzer es versucht. Das ist der einzige Schutz, der die beschriebene Methode grundsätzlich aushebelt statt sie nur zu erschweren.
Bedingte Zugriffsregeln. Anmeldungen von nicht verwalteten Geräten oder aus unüblichen Regionen lassen sich blockieren. Selbst ein gestohlenes Token nützt dem Angreifer dann wenig, wenn sein Gerät die Bedingungen nicht erfüllt.
Link-Prüfung zur Klickzeit. Viele Phishing-Seiten werden erst nach der Zustellung scharfgeschaltet, um Filter zu umgehen. Ein Spamfilter, der ausschließlich beim Empfang prüft, sieht in diesem Moment eine harmlose Seite.
Kurze, regelmäßige Sensibilisierung. Eine Schulung pro Jahr erzeugt kaum Verhaltensänderung. Wirksamer sind kurze Impulse in kurzen Abständen, idealerweise mit aktuellen Beispielen aus dem eigenen Haus.
Häufige Fragen
Kann ein Konto trotz Zwei-Faktor-Authentifizierung gehackt werden? Ja. Bei Adversary-in-the-Middle-Phishing wird die Zwei-Faktor-Abfrage vom Angreifer durchgereicht und vom Opfer selbst bestätigt. Der Angreifer stiehlt anschließend das ausgestellte Sitzungs-Token und benötigt weder Passwort noch zweiten Faktor.
Reicht es, das Passwort zu ändern, wenn ich auf eine Phishing-Seite hereingefallen bin? Nein. Die gestohlene Sitzung bleibt aktiv, bis sie gezielt beendet wird. Zuerst müssen alle aktiven Sitzungen zurückgezogen werden, danach folgt der Passwortwechsel.
Woran erkenne ich eine gefälschte Microsoft-Anmeldeseite? Am zuverlässigsten an der Adresszeile im Browser. Der echte Anmeldedienst läuft unter login.microsoftonline.com. Optisch sind die Fälschungen praktisch nicht zu unterscheiden, da sie die Originalseite live spiegeln.
Was ist ein Session-Token? Ein Nachweis, den Microsoft nach erfolgreicher Anmeldung ausstellt, damit man sich nicht bei jedem Seitenaufruf neu anmelden muss. Wer dieses Token besitzt, gilt als angemeldet, ganz ohne Passwort.
Sind auch kleine Unternehmen betroffen? Ja, überdurchschnittlich häufig sogar. Die Angriffe laufen automatisiert und werden nicht gezielt auf große Unternehmen gerichtet. Kleinere Betriebe verfügen zudem seltener über Protokollauswertung, wodurch Übernahmen oft wochenlang unbemerkt bleiben.
Wie schnell muss ich reagieren? Innerhalb von Minuten bis wenigen Stunden. Die Auswertung übernommener Postfächer erfolgt weitgehend automatisiert, meist beginnend mit der Suche nach Zahlungs- und Rechnungsvorgängen.
Unterstützung aus der Region
Wir betreuen als IT-Systemhaus in Kempten Unternehmen im gesamten Allgäu und sehen diese Angriffsmuster in der täglichen Praxis. Wenn Sie unsicher sind, wie Ihre Microsoft-365-Umgebung derzeit abgesichert ist, prüfen wir das gemeinsam mit Ihnen.
Im Verdachtsfall erreichen Sie uns unter 0831-2515660. Für allgemeine Fragen: vertrieb@nexperto.de
