LONDON (IT BOLTWISE) – Sicherheitsforscher sehen zurzeit zwei parallele Risiken: Nutzer berichten über Probleme mit dem Microsoft Authenticator und zugleich tauchen Phishing-Kits auf, die MFA gezielt umgehen. Besonders kritisch ist eine Browser-in-the-Middle-Variante, bei der Angreifer eine echte Authentifizierungssitzung übernehmen können. Weitere Tools missbrauchen manipulierte Seiten und Code-Logins, um Token abzuschöpfen. Der Artikel ordnet ein, was bei App-Fehlern sofort zu prüfen ist und wie Unternehmen MFA robuster gegen moderne Angriffe machen.
In den letzten Tagen prallen im Microsoft-Umfeld zwei Themen aufeinander, die zusammen ein ungutes Gesamtbild ergeben: Auf der einen Seite melden Nutzer Schwierigkeiten mit dem Microsoft Authenticator, auf der anderen Seite berichten Sicherheitsforscher über eine neue Generation von Phishing-Kits, die den Zwei-Faktor-Schutz (MFA) nicht nur überlisten, sondern teils direkt aushebeln. Besonders auffällig ist die Kombination aus angeblichen App-Fehlzuständen und gleichzeitigen Angriffsmustern, die genau in diesen Momenten der Authentifizierung ansetzen. Für IT-Verantwortliche heißt das: Incident-Handling darf nicht bei “App spinnt” stehen bleiben, sondern muss auch die Angriffsfläche und Identitätsflüsse prüfen.
Der Ausgangspunkt vieler Beschwerden ist typisch für reale Authenticator-Workflows, die beim Umstieg auf ein neues Gerät oder bei instabilen Zustellwegen kippen können. In den Berichten geht es konkret darum, dass der App-Mechanismus in eine Endlosschleife gerät und wiederholt einen Bestätigungscode anfordert, obwohl der Nutzer bereits dabei ist, sich anzumelden. Besonders bitter wird es, wenn der Code gerade aus der App-Instanz heraus kommt, die während der Anmeldung “nicht bereit” ist. In Schul- und Lernumgebungen wirkt sich das sofort aus: Der Zugriff auf Schul-E-Mails und Lernsysteme kann blockiert sein, weil der gesamte Identitätsnachweis in einer Schleife hängt.
Technisch liegt nahe, dass mehrere Fehlerklassen zusammenwirken: Netzwerkprobleme, falsche Systemzeit sowie fehlende oder eingeschränkte Benachrichtigungsrechte. In der Praxis prüfen Administratoren deshalb häufig zuerst, ob das Gerät stabil online ist, ob Datum und Uhrzeit korrekt gesetzt sind und ob die Berechtigungen für Benachrichtigungen tatsächlich erteilt wurden. Gerade bei iOS/Android-Updates oder bei Migrationen auf neue Geräte kann das Settings-Handling abweichen. Wenn Nutzer dennoch nicht weiterkommen, berichten Experten, dass oft ein administrativer Eingriff nötig ist, um MFA-Einstellungen mandantenweit oder fallbasiert zurückzusetzen, etwa damit Tokens erneut sauber gebunden werden.
Ein zweiter, verwandter Störfall betrifft nicht nur den Authenticator, sondern auch den Zugriff über weitere Microsoft-Apps. So wird etwa von Anmeldeabbrüchen in der Teams-iOS-App mit einem bestimmten Fehlcode berichtet, während Webzugriff und Authenticator bei manchen Konten noch funktionieren. Das ist ein Hinweis darauf, dass serverseitige Komponenten oder spezifische Auth-Flows betroffen sein können, nicht ausschließlich die App selbst. Für Unternehmen ist das relevant, weil sie im Support zwischen “lokalem Problem” und “Identitätsdienst-Problem” unterscheiden müssen. Eine gute Diagnose umfasst daher kurze Tests mit Browser-Login, Vergleichstest auf einem zweiten Gerät sowie das Abgleichen gegen bekannte Service-Statusmeldungen.
Während diese Störungen die Nutzerbasis beschäftigen, wächst parallel die Bedrohung durch Phishing-Kits, die MFA-Mechaniken nicht frontal angreifen, sondern ihren Charakter ausnutzen. Die kritischste Variante setzt auf eine Browser-in-the-Middle-Architektur: Der Angreifer stellt eine legitime Anmeldeseite bereit und streamt sie live aus seinem eigenen Browser an das Gerät des Opfers. Der Nutzer glaubt, er sei im richtigen Microsoft-Flow, gibt Zugangsdaten und den MFA-Code ein – und der Angreifer übernimmt anschließend die gesamte authentifizierte Sitzung. Für die Opfer ist das besonders gefährlich, weil die MFA-Entscheidung in diesem Muster “scheinbar erfolgreich” ist, obwohl die Kontrolle beim Angreifer liegt.
Zu dieser Technik passt auch die beobachtete Infrastruktur, die Sicherheitsforscher in kurzer Zeit in mehreren aktiven Hostnamen verorten. Berichte nennen allein innerhalb einer Woche rund 70 aktive Hostnamen für diese Plattformfamilie. Das Muster erinnert weniger an “klassisches” Phishing mit statischen Landingpages, sondern eher an kampagnenfähige Web-Proxy-Fabriken, die schnell umkonfiguriert werden können. Damit verschwimmt die Grenze zwischen Authentifizierung und Session-Diebstahl: Selbst korrekte Codes schützen nicht, wenn die Sitzung bereits kompromittiert ist. Unternehmen sollten deshalb neben “Code-Ok/No-Code” stärker auf Signale wie neue Geräte, Session-Geo-Sprünge und unerwartete Token-Abrufe achten.
Weitere Kits zeigen unterschiedliche Ansätze, aber mit derselben Zielrichtung: Identitätsdaten so einzusammeln, dass bestehende MFA-Hürden wirkungslos werden. Mirage2FA wird als Beispiel genannt, das per JavaScript manipulierte HTML-Seiten auf die Geräte der Opfer “einschleust”. Auffällig ist dabei der frühe Start der Domainregistrierung: Wenn eine Domain bereits Monate vor dem öffentlichen Auftreten aktiv vorbereitet wurde, deutet das auf abgestimmte Kampagnenplanung hin. Kali365 wird zudem als Phishing-as-a-Service eingeordnet, bei dem Nutzer getäuscht werden, einen Code auf einer vermeintlich offiziellen Seite einzugeben. Der entscheidende Effekt besteht darin, dass Angreifer OAuth-Token stehlen und anschließende Sicherheitsprüfungen umgehen können.
Damit verschiebt sich der Fokus von “Passwörter und Codes” hin zu “Token und Sitzungen”. Historisch war MFA vor allem ein Schutz gegen Passwort-Diebstahl: Wer das Passwort hat, bekam ohne zweiten Faktor keine Kontrolle. Moderne Angriffe versuchen jedoch, den zweiten Faktor im richtigen Moment als Input für einen Proxy oder für Token-Freigaben zu verwenden. Der technische Vergleich ist aufschlussreich: MFA ist ein Authentifizierungsanker, aber Browser-in-the-Middle-Angriffe manipulieren den Pfad, sodass MFA zwar durchgeführt, aber an den falschen Endpunkt übergeben wird. Für die Verteidigung bedeutet das, dass man den gesamten End-to-End-Flow betrachten muss, nicht nur die Eingabeform des Codes.
Interessant ist außerdem, dass es trotz kursierender Ausfallgerüchte um Microsoft-365 am 26. Juni keine Hinweise auf einen flächendeckenden Total-Outage gab. Statusseiten sollen lediglich kleinere Verbindungsprobleme bei Excel und Leistungseinbußen bei Teams gemeldet haben. Das spricht dafür, dass die gemeldeten Authentifikationsprobleme eher punktuell oder durch Kombinationen aus Gerät, Netzwerk und konkreten Konfigurationen entstehen. Trotzdem ist das Timing heikel: Wenn Nutzer gerade mit einem Login-Problem kämpfen, sinkt die Aufmerksamkeit, und soziale Engineering-Effekte wirken stärker. IT-Teams sollten Support-Threads daher nicht nur als Störung behandeln, sondern gleichzeitig nach typischen Indikatoren für Phishing suchen, etwa nach ungewöhnlichen Login-Historien.
Unabhängig von einzelnen Vorfällen bleibt MFA laut Branchenzahlen weiterhin ein zentraler Schutzmechanismus gegen identitätsbasierte Angriffe. Berichte nennen Werte von über 99 % Blockierungswirkung, sobald MFA korrekt und breit implementiert ist. Gleichzeitig zeigen Studien, wie stark die Angreiferseite automatisiert: Ein großer Teil der Anmeldeversuche soll von Bots stammen, und viele Passwörter können innerhalb extrem kurzer Zeit geknackt werden. Der Spannungsbogen ist damit klar: MFA ist notwendig, aber nicht hinreichend gegen moderne Proxy- und Session-Angriffe. Gerade deshalb rücken “MFA-Strategien” in den Mittelpunkt, die neben dem zweiten Faktor auch zusätzliche Kontextprüfungen erzwingen.
Ein regulatorischer und datenschutzbezogener Aspekt kommt hinzu, weil Authentifizierungsdaten und Geräteinformationen in Logsystemen landen, die Unternehmen speichern und absichern müssen. Wenn Angreifer Session-Token abgreifen, können diese Daten wie personenbezogene Identifikatoren behandelt werden, insbesondere wenn sie in Kombination mit Nutzerkennungen stehen. Das erhöht die Anforderungen an Zugriffsschutz, Retention-Policies und Auditierbarkeit. Für den Betrieb heißt das: Least-Privilege beim Zugriff auf Logs, zeitnahe Auswertung von Sign-in-Risiken und eine saubere Trennung zwischen Supportdaten und personenbezogenen Identitätsattributen. Gerade Schulen und Bildungsträger geraten dabei häufig unter besonderen Druck.
Konkrete Beispiele aus dem Bildungsbereich unterstreichen die Breite des Risikos. Berichten zufolge wurden in Nordirland Eltern über mögliche Kompromittierungen von Kinderdaten in Zusammenhang mit einem Cyberangriff informiert, betroffen waren Daten mehrerer Schulen. Das zeigt, dass Identitätsschutz nicht nur ein Thema von Unternehmens-IT ist, sondern die grundlegende Zuverlässigkeit digitaler Dienste im Schulbetrieb betrifft. Wenn in solchen Umgebungen MFA instabil wirkt oder Nutzer ausweichen, steigt das Risiko, dass Angriffsflächen entstehen. Unternehmen sollten daher auch in Schul- und Verwaltungs-IT auf standardisierte Authentifizierungsrichtlinien setzen und Notfallprozesse für “Code-Reset” klar dokumentieren.
Für die nächste Phase ergibt sich ein realistischer Ausblick: Unternehmen werden künftig mehr in Richtung passwortloser bzw. phishingsicherer Faktoren gehen, etwa durch strengere Richtlinien für Session-Validierung, Gerätebindung und Anomalieerkennung. Ebenso wichtig ist, dass Supportabläufe für Authenticator-Ausfälle eng mit dem Identity-Team verzahnt sind: Jede MFA-Reset-Aktion sollte protokolliert, zeitlich eingegrenzt und mit Sign-in-Risk-Analysen gekoppelt werden. So lässt sich verhindern, dass ein echter Angriff unter dem Deckmantel eines “App-Fehlers” durchläuft. Für Entwickler und Sicherheitsingenieure entsteht damit ein klarer Auftrag: Identitätsflüsse messbar machen, Telemetrie auswerten und Schutz nicht nur im UI, sondern im gesamten Authentifizierungs-Stack verankern.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Microsoft Authenticator unter Druck: Neue Phishing-Kits zielen auf MFA-Bypass" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Microsoft Authenticator unter Druck: Neue Phishing-Kits zielen auf MFA-Bypass" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Microsoft Authenticator unter Druck: Neue Phishing-Kits zielen auf MFA-Bypass« bei Google Deutschland suchen, bei Bing oder Google News!