REDMOND / LONDON (IT BOLTWISE) – Sicherheitsverantwortliche beobachten derzeit gleich mehrere Angriffsstränge gegen Microsoft-365-Umgebungen. Eine Phishing-as-a-Service-Plattform nutzt einen OAuth-Device-Code-Flow, um MFA zu umgehen und Tokens zu erbeuten. Parallel meldet Googles Threat Intelligence erstmals einen KI-gestützten Weg, einen 2FA-bezogenen Logikfehler auszunutzen, während eine weitere Gruppe Admins in Authentifizierungs-Endlosschleifen verstrickt. Für Unternehmen bedeutet das: Der Schutz muss von „Code-MFA“ hin zu phishing-resistenten Verfahren und konsequenter Zugriffskontrolle umgebaut werden.
Die Sicherheitslage rund um Microsoft 365 verschiebt sich gerade von „klassischen“ Phishing-Szenarien hin zu Angriffen, die direkt in Authentifizierungs- und Berechtigungslogik greifen. In Berichten aus der Sicherheitsbranche wird beschrieben, dass Angreifer MFA nicht nur durch Social Engineering überreden, sondern zunehmend Protokollpfade ausnutzen, die eigentlich für legitime Geräte-Setups gedacht sind. Besonders kritisch ist, dass die Manipulation nicht zwingend die Nutzereingabe braucht, sondern über OAuth-Workflows Tokens erlangt. Damit steigt der Druck auf Security-Teams, Conditional Access nicht nur „aktiv“ zu haben, sondern die relevanten Flows gezielt zu unterbinden, sobald sie das Risiko erhöhen.
Im Mittelpunkt steht dabei eine spezialisierte Phishing-as-a-Service-Plattform, die seit Anfang 2026 aktiv sein soll und für den Zugriff gestaffelte Preisstufen bietet. Laut den geschilderten Abläufen wird dabei eine Phishing-Mail versendet, die die Opfer auf eine authentisch wirkende Microsoft-Seite führt. Entscheidend ist der Einsatz des OAuth Device Code Flow, einem legitimen Microsoft-Feature für Geräte ohne vollständige Tastatureingabe. Während der Nutzer in der Regel einen Code eingibt, erhalten Angreifer im Erfolgsfall ein OAuth-Token und damit Zugriff auf produktive Dienste wie Outlook, Teams und OneDrive. Aus Verteidigungssicht ist das ein Hinweis darauf, dass „MFA vorhanden“ nicht automatisch „MFA geschützt“ bedeutet.
Technisch betrachtet zeigt der Fall, wie eng Angriffsflächen mit Konfigurationsentscheidungen in Entra ID (Azure AD) und Exchange/Teams verknüpft sind. Conditional Access ist zwar das zentrale Steuerinstrument für Token-Ausstellung, Geräteposture und Risikoentscheidungen, aber es muss die richtigen Entscheidungen für den Device-Code-Kontext treffen. Wenn der Device Code Flow zugelassen bleibt, kann er als Brücke dienen, über die Tokens trotz zweiter Authentifizierungsstufe ausgestellt werden. Vergleichbare Strategien finden sich auch in anderen Identitätsangriffen: Statt Passwörter zu knacken, werden Authentifizierungsabfolgen manipuliert, bis der Tokenpfad „funktioniert“. Für Security-Architekten heißt das: Absicherung muss pro Flow, nicht nur pro MFA-Kategorie erfolgen, und sie muss kontinuierlich gegen neue Missbrauchsmuster nachjustiert werden.
Neben der Phishing-Komponente wird außerdem ein zweiter Strang beschrieben: Googles Threat Intelligence Group meldete demnach einen ersten Zero-Day-Exploit, der mit Hilfe Künstlicher Intelligenz entwickelt worden sei. Der Bericht ordnet den Ausnutzungsweg als semantischen Logikfehler in einem Server-Management-Tool ein, den herkömmliche Scanner übersehen hätten. Ziel sei eine Massenausbeutung von Einmalpasswörtern (OTP) gewesen; dabei habe Google größeren Schaden verhindern können, was aber vor allem die Geschwindigkeit verdeutliche, mit der KI-Support beim Aufspüren von Schwachstellen helfen kann. Aus Marktsicht passt das in eine Linie: Wenn Forschung und Angriffsautomatisierung sich beschleunigen, geraten statische Regelsätze unter Druck, während adaptive Detektion und sichere Defaults wichtiger werden.
Parallel dazu berichten Microsoft Threat Intelligence und andere Beobachter über die Aktivität einer Gruppe namens Storm-2949, die stark auf Social Engineering und „MFA-Prompt-Spam“ setzt. Dabei werden Nutzer so beeinflusst, dass sie Zugriffe bestätigen, und sobald der Angriffsprozess erfolgreich ist, wechselt das Vorgehen in Richtung Missbrauch von Berechtigungen. Die geschilderten Fälle nennen insbesondere die Übernahme von Azure Role-Based Access Control (RBAC)-Rollen, etwa über das „Owner“-Konzept, um in Azure Key Vault gespeicherte Geheimnisse auszulesen. In der weiteren Eskalation sollen Hintertüren über VM-Erweiterungen installiert und Schutzkomponenten wie Microsoft Defender deaktiviert worden sein. Der Punkt für Unternehmen: Identitätsmissbrauch und Containerisierung/VM-Sicherheitskontrollen dürfen nicht getrennt betrachtet werden.
Besonders tückisch ist, dass nicht nur externe Angreifer, sondern auch interne Betriebsfehler durch Angriffsfolgen entstehen können. In Berichten wird von „Global Admins“ gesprochen, die sich selbst aus ihren Microsoft-365-Umgebungen ausschließen, weil die Authenticator-App in eine Endlosschleife gerät: Sie fordert Codes an, die nur noch in der App generiert werden können, auf die der Admin wegen der Attacke keinen Zugriff mehr hat. Wenn das Setup so ausgelegt war, dass es praktisch nur einen Admin-Weg gab, wird aus einem Sicherheitsvorfall schnell ein operatives Incident. Sicherheitsverantwortliche sollten daher nicht nur Konten härten, sondern auch Wiederanlaufmechanismen validieren. Dazu zählen Tests von Notfallprozessen, zusätzliche Admin-Konten mit klarer Trennung und dokumentierte Wege zur Wiederherstellung ohne die betroffene App.
Die Branche diskutiert deshalb den Umstieg auf phishing-resistente Methoden, häufig unter dem Begriff passwortloser Zugriff mit Passkeys und starker Nutzer-/Gerätebindung. Microsoft soll für persönliche Konten den Einsatz von SMS-Verifikationscodes inklusive Xbox-Diensten abschaffen, um Risiken wie SIM-Swapping und Interception zu reduzieren. Gleichzeitig zeigen Tests und Pilotierungen, dass die Nutzererfahrung noch fragmentiert sein kann: Unterschiedliche Verified-Email-Setups, Varianten von Passkey-Implementierungen und Plattformgrenzen können zu Inkonsistenzen führen. Für Unternehmen ist die Konsequenz weniger „Passkeys sofort überall“, sondern „Übergang mit sauberer IAM-Strategie“. Wer heute Push-basierte MFA oder SMS-Codes priorisiert, erhöht das Risiko, dass Angreifer bei ähnlichen Phishing-Ketten weiterhin Authentisierungspfade finden.
Welche Maßnahmen sich daraus ableiten lassen, wird in der Praxis oft unterschätzt: Die Durchsetzung von Conditional Access muss auf die gefährdeten Protokollflüsse ausgerichtet werden, und Hardware-Sicherheitsschlüssel sollten als robuste Alternative für privilegierte Zugriffe priorisiert werden. Zudem lohnt eine konsequente Least-Privilege-Architektur, bei der RBAC-Rollen nicht zu breit vergeben werden und Owner-Rechte gezielt begrenzt bleiben. Aus regulatorischer Sicht spielt dabei auch die Fähigkeit zur schnellen Untersuchung und Wiederherstellung eine Rolle, weil Sicherheitsvorfälle in vielen Jurisdiktionen melde- und dokumentationspflichtig werden können. Der Blick in die Zukunft ist klar: Wenn KI künftig Schwachstellen schneller identifiziert, brauchen Unternehmen automatisierte Abwehr, harte Identitätsgrenzen und getestete Notfallketten, um die Lücke zwischen Angreifer und Admin nicht weiter schrumpfen zu lassen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Microsoft 365: KI und Phishing zielen auf 2FA und Admin-Zugriff" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Microsoft 365: KI und Phishing zielen auf 2FA und Admin-Zugriff" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Microsoft 365: KI und Phishing zielen auf 2FA und Admin-Zugriff« bei Google Deutschland suchen, bei Bing oder Google News!