BERLIN / LONDON (IT BOLTWISE) – Sicherheitsforscher melden in nur 14 Tagen rund 81 Millionen Login-Versuche gegen Microsoft-365-Umgebungen. Besonders kritisch: Die Angriffe zielen offenbar auf Konfigurationslücken im Zusammenspiel aus Azure-CLI, Conditional Access und OAuth-Flows. Dadurch werden sogar Fälle beschrieben, in denen Multi-Faktor-Authentifizierung (MFA) nicht zuverlässig bremst. Für Unternehmen bedeutet das vor allem: Zugriffspfade härten, Token-Workflows absichern und auf Passkeys umstellen.
Innerhalb von nur zwei Wochen haben Angreifer nach Branchenberichten offenbar mehr als 81 Millionen Login-Versuche gegen Microsoft-365-Umgebungen gefahren. Die Dynamik dahinter ist typisch für Credential-Spraying-Kampagnen: Statt mit „klassischem“ Brute-Force gegen einzelne Konten vorzugehen, verteilen Angreifer immer ähnliche Anmeldeversuche über viele Ziele hinweg. Genau diese Breite erhöht die Trefferquote, weil nicht jeder Versuch scheitert – besonders dann, wenn die Zielsysteme nicht konsistent gegen verteilte Anmeldeversuche und abgeleitete Zugriffspfade abgesichert sind. Berichte nennen zudem Fälle, in denen sich sogar Konten in mehreren Organisationen trotz aktivierter Schutzmechanismen kompromittieren ließen.
Technisch rückt dabei ein spezieller Zugriffspfad in den Fokus: der ROPC-Flow (Resource Owner Password Credentials) in der Azure-Befehlszeilenschnittstelle. Diese Funktion ist ursprünglich für Entwickler gedacht, kann aber in der Praxis zum Einfallstor werden, wenn Conditional-Access-Richtlinien nicht exakt die richtigen Bedingungen abdecken. Der Knackpunkt: ROPC-ähnliche Workflows ermöglichen die Anmeldung mit Benutzername und Passwort, ohne dass zwingend eine zusätzliche MFA-Abfrage in jedem Fall greift. In Umgebungen, in denen Policy-Logik Lücken lässt – etwa bei bestimmten Token-Typen oder bei falsch verstandenen Ausnahmen – sinkt die Hürde für Angreifer drastisch. Genau solche „Policy-Drifts“ sind seit Jahren ein wiederkehrendes Thema in Security-Reviews.
Auch die zeitliche Verteilung macht die Lage ernst: Berichten zufolge wurden am Ende des Juni zeitweise Dutzende Unternehmen an einem Tag angegriffen, wobei ein Teil der betroffenen Organisationen MFA aktiviert hatte. Das deutet weniger auf „ineffektive MFA“ hin, sondern eher auf das Zusammenspiel aus mehreren Komponenten: Conditional Access entscheidet, wann Authentifizierungsschritte erzwungen werden; OAuth- und CLI-Workflows bestimmen wiederum, welche Signale dabei überhaupt ankommen. In der Praxis entsteht so ein angreifbares Systemverhalten, wenn ein Team zwar MFA einschaltet, aber zugleich Workflows, Device-Code-Pfade oder CLI-basierte Zugriffskanäle aus historischen Gründen erlaubt. Experten weisen deshalb häufig darauf, dass MFA allein kein Allheilmittel ist, sondern nur dann Schutz bietet, wenn es durch konsistente Policy-Topologie abgesichert wird.
Als besonders alarmierend wird zudem eine neue Angriffsvariante namens „ConsentFix“ beschrieben, die offenbar auf Microsoft-365-OAuth-Flows zielt. Das Muster: Opfer werden über einen manipulierten Callback-Link in den Browser „geführt“, woraufhin Angreifer OAuth-Tokens kapern sollen – ohne dass Passwort oder MFA erneut abgefragt werden. Damit verschiebt sich der Angriffshebel: Entscheidend ist dann nicht die Kenntnis von Zugangsdaten, sondern die Fähigkeit, den Autorisierungsprozess so zu lenken, dass Tokens abfließen. Solche Token-Diebstahl-Ketten sind zwar aus der Vergangenheit bekannt, aber die Effizienzangaben („wenige Sekunden bis zur Kontoübernahme“) würden das Risiko deutlich erhöhen. Vergleichbare Mechaniken sieht man auch in Kampagnen gegen Google-Workspace- und Identity-Provider-Setups, wenn OAuth-Scopes zu weit gefasst sind.
Der Markttrend dahinter verstärkt den Druck: Account-Takeover-Betrug (ATO) soll zwischen dem ersten Halbjahr 2021 und dem ersten Halbjahr 2025 um 141 Prozent gestiegen sein; im Folgejahr werden weitere Zuwächse berichtet. Als Treiber werden Datenlecks genannt, etwa durch „Stealer Logs“ aus kompromittierten Endgeräten, die Zugangsdaten und E-Mail-Adressen in großen Mengen verfügbar machen. Damit fällt für Angreifer der Aufwand weg, dedizierte Logins zu „erraten“, und Credential-Spraying wird zur skalierbaren Industrietaktik. In Umgebungen mit unterschiedlichen Anmeldewegen – von Web bis API bis CLI – entsteht dann eine Art „Angriffsfläche aus Pfaden“. Ein Analyst fasste diesen Zusammenhang in einem Interview sinngemäß so zusammen: Wenn Identitäten nicht durchweg gleich behandelt werden, findet ein Angreifer immer einen Einstieg, der gerade nicht geschützt ist.
Für die Unternehmenspraxis folgt daraus eine klare Sicherheitsarbeit über mehrere Ebenen. Erstens müssen Zugriffspfade konsistent eingeschränkt werden: Device-Code-Flows und Azure-CLI-Zugriffe sollten nur unter präzisen Conditional-Access-Bedingungen möglich sein, statt pauschal „für Entwickler“ oder „für Legacy“ offen zu bleiben. Zweitens rücken Wiederherstellungsprozesse in den Fokus, weil bei Messenger- und Kommunikationsdiensten neue Backup-Wiederherstellungsschlüssel als Angriffsmittel dienen können. Drittens ist der Wechsel auf Passkeys strategisch, weil er das klassische Passwortmodell (und damit viele Credential-Spraying-Erfolgsmuster) reduziert. Viertens sollten viele Organisationen Cyber-Fraud-Fusion-Teams aufbauen, in denen Security, Identity-Management, IT-Operations und Fraud-Teams eng gekoppelt werden – eine Maßnahme, die in Analystenprognosen bis 2028 bei einem relevanten Anteil großer Unternehmen als Standard beschrieben wird.
Regulatorisch und datenschutzseitig ist das Thema ebenfalls nicht nur „technisch“. Sobald OAuth-Token, Wiederherstellungsschlüssel oder Session-Berechtigungen kompromittiert werden, können personenbezogene Daten, Kommunikationsinhalte und Metadaten betroffen sein. Das macht eine schnelle Incident-Kette wichtig: Logging- und Monitoring-Qualität (z. B. Anomalien bei Sign-in-Rates, neue Weiterleitungsregeln oder Auffälligkeiten bei Token-Refresh) sollte so eingestellt sein, dass man nicht nur „nachträglich“ reagiert, sondern zügig Eindringversuche erkennt und begrenzt. Für bereits betroffene Organisationen gilt außerdem eine praktische Handlungsregel aus den aktuellen Empfehlungen: nicht sofort alle Sitzungen abmelden, solange ein aktives Bearbeiten/Beobachten auf dem betroffenen Gerät möglich ist, und stattdessen kontrolliert Sessions sowie verdächtige Drittanbieter-Berechtigungen widerrufen. Damit bleibt der Überblick über die Angriffsphase erhalten und das Risiko weiterer Token-Exfiltration sinkt.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Microsoft 365: 81 Millionen Credential-Spraying-Angriffe in 14 Tagen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Microsoft 365: 81 Millionen Credential-Spraying-Angriffe in 14 Tagen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Microsoft 365: 81 Millionen Credential-Spraying-Angriffe in 14 Tagen« bei Google Deutschland suchen, bei Bing oder Google News!