LONDON (IT BOLTWISE) – Device-Code-Phishing entwickelt sich laut Sicherheitsexperten von einem Nischenproblem zu einer echten Massentransaktion: In sechs Monaten steigt die Attacke um das 37-Fache. Besonders kritisch ist der Umstand, dass Angreifer MFA und Passwortabfragen gezielt über OAuth-Device-Login-Flows aushebeln. Konkrete Kampagnen kompromittieren dabei hunderte Organisationen, während erbeutete Tokens auch nach Passwortänderungen funktionieren. Parallel verschärft die KI-Dynamik die Lage: Sie hilft Verteidigern beim Patchen, wird aber auch für Angriffe auf KI-gestützte Erkennungsmechanismen genutzt.
Device-Code-Phishing hat 2026 einen Sprung von „auffällig“ zu „operativ gefährlich“ gemacht. Der Kern des Problems liegt nicht nur in der Phishing-Nachricht selbst, sondern im Authentisierungsweg: In aktuellen Angriffswellen wird der OAuth-Device-Login missbraucht, sodass der Prozess wie ein legitimer Geräte-Consent wirkt, während er gleichzeitig die typischen Schutzanker wie Passwortabfrage und Multifaktor-Authentisierung (MFA) umgeht. Branchenbeobachter berichten, dass solche Angriffe in den letzten sechs Monaten um das 37-Fache angestiegen sind. Betroffen seien vor allem Banken, Fertigung und Technologieunternehmen in Europa und Nordamerika.
Technisch beschreibt die Vorlage besonders ausgeklügelte Phishing-Kits wie „EvilTokens“ und „Ghost-Code“, die Sicherheitsprüfungen verschleiern. Das Kit nutzt demnach browserseitige AES-GCM-Entschlüsselung, um den Datenfluss bei der Übernahme von Microsoft-365-Konten zu verschleiern. Entscheidend ist dabei der Zeitpunkt: Angreifer zielen auf den Moment, in dem ein Device-Login-Flow einen Token-Grant anfordert. Werden OAuth-Token abgegriffen, bleiben sie häufig auch nach einem Passwortwechsel weiterhin gültig, weil Token-Validierung an andere Prüfmechanismen gekoppelt ist als am Kennwort selbst. Daraus folgt: Prävention muss sich stärker auf Token-Lebensdauer und Conditional Access konzentrieren.
Im Markt zeigt sich, dass die Abwehr nicht mehr allein auf Schulungen oder Filterlisten setzen darf. Experten empfehlen konkret, den Device-Code-Login über Conditional-Access-Richtlinien zu deaktivieren, sobald geschäftlich vertretbar. Das ist ein harter, aber häufig wirksamer Eingriff: Er verschiebt die Angriffsfläche weg von einem Flow, der für bestimmte Geräte- und Nutzer-Szenarien gedacht ist. Als Vergleich lohnt der Blick zu etablierten Sicherheitspraktiken in Identity-and-Access-Management-Projekten: MFA ist dort zwar Standard, aber gerade privilegierte Authentisierungswege wie OAuth-Varianten werden in Hardening-Guides oft als „müssen bewusst abgesichert werden“ behandelt. Genau hier entstehen Lücken, wenn Teams die Produktlogik kennen, aber die Risikoauswirkung des einzelnen Flows unterschätzen.
Die Gegenbewegung kommt zwar aus der KI, aber nicht ohne neue Risiken. Laut „CISO Outlook 2026“ sehen 73 Prozent der Verantwortlichen KI als Chance, gleichzeitig nennen 86 Prozent KI-gestützte Angriffe auf Domain Generation Algorithms (DGA) als ernsthafte Bedrohung. Zudem warnte die Geheimdienstallianz „Five Eyes“ in der Vorlage, dass Frontier-KI-Modelle die Bedrohungslage binnen Monaten verändern könnten – mit mehr Zero-Day-Lücken als zuvor. In dieser Gemengelage wird schnell klar, warum sich Angreifer professionalisieren: Device-Code-Phishing kann automatisiert skaliert werden, während Erkennungssysteme durch KI-gestützte Umgehung weniger verlässlich reagieren. Gleichzeitig entsteht ein asymmetrischer Vorteil für Verteidiger, wenn sie KI gezielt für Analyse und Patch-Entscheidungen einsetzen.
Verteidiger nutzen KI bereits, um Schwachstellen schneller zu finden. In der Vorlage wird beschrieben, dass OpenAI im Juni 2026 das Modell GPT-5.5-Cyber für ausgewählte Sicherheitsakteure freigegeben hat. Im Rahmen der Initiative „Daybreak“ soll es Sicherheitslücken automatisiert analysieren und Patches erzeugen. Als Beispiele werden zahlreiche Schwachstellen im Linux-Kernel sowie in Browser-Engines wie Chrome V8 und Safari genannt, wobei Tests bei der Lückenidentifikation Werte von über 85 Prozent erreicht haben sollen. Für Unternehmen ist das mehr als eine Schlagzeile: Wenn Lücken schneller erkannt werden, verschiebt sich der Engpass oft vom „finden“ hin zum „validieren, priorisieren und deployen“ – also in Richtung Secure Development Lifecycle und Operations, inklusive Regressions-Tests und kontrollierter Rollouts.
Damit treten auch regulatorische Themen stärker auf die Tagesordnung. Die Vorlage verweist auf den EU AI Act als neuen Regelrahmen, der Fristen, Pflichten und Risikoklassen für KI-Anwendungen strukturiert. Gleichzeitig wirkt NIS-2 als operativer Drucktreiber: sie zwingt Organisationen dazu, Sicherheitsrisiken nachweisbar zu managen. Die Zahlen sind dabei ein Weckruf: Demnach liegen in 2026 die neu entdeckten Sicherheitslücken bei über 50.000, verglichen mit rund 10.000 im Jahr 2010. Beispielhaft wird eine kritische VMware-vCenter-Lücke (CVE-2024-37079) genannt, die trotz verfügbarer Patches weiterhin für Remote Code Execution ausgenutzt werden soll. Diese Diskrepanz zwischen Patch-Verfügbarkeit und realer Ausnutzung zeigt, dass Prozesse und Verantwortlichkeiten oft nachziehen – und genau dort landen Angreifer ihre Wirkung.
Ein zusätzliches Compliance-Problem ist die sogenannte Schatten-KI. Laut Vorlage nutzt rund die Hälfte der Mitarbeiter in deutschen Unternehmen öffentliche oder kostenlose KI-Tools ohne Freigabe der IT-Abteilung. Das erzeugt Risiken auf mehreren Ebenen: Datenabfluss ist eine naheliegende Sorge, aber mindestens genauso relevant sind unklare Nutzungsbedingungen, fehlende Logging- und Governance-Mechanismen sowie die Frage, ob vertrauliche Inhalte in Trainings- oder Verarbeitungspipelines gelangen. Sicherheitsverantwortliche äußern in der Vorlage entsprechend Sorge über den Zugriff von Drittanbieter-KI auf sensible Unternehmensdaten. Für die IT bedeutet das: „Machen wir KI“, reicht nicht. Man braucht klare Richtlinien, technische Controls wie DLP, sowie eine Freigabe- und Monitoring-Strategie, die mit den jeweiligen Use-Cases skaliert.
Schließlich verschärfen Anbieterabhängigkeiten das Gesamtbild. Die Vorlage nennt eine IBM-Studie mit rund 1.000 Führungskräften (Februar bis April 2026): 81 Prozent der Unternehmen rechnen bei einem Ausfall ihres KI-Anbieters mit schweren oder kritischen Betriebsstörungen. Paradox daran ist die zweite Zahl: 91 Prozent geben an, bestehende Abhängigkeiten innerhalb der Infrastruktur nicht vollständig zu verstehen. Genau hier liegt die nächste gefährliche Lücke für Enterprise-Teams: Wer nicht weiß, welche Services und Token-abhängigen Prozesse an externe Systeme gekoppelt sind, kann Incident-Reaktionen und Business-Continuity nur halb planen. Für die nächsten Quartale zeichnet sich deshalb eine klare Entwicklung ab: Identity-Hardening per Conditional Access, Token-Lifecycle-Kontrolle, sowie ein verbindliches KI-Governance-Modell werden zusammenwachsen müssen. Wer das früh angeht, senkt nicht nur das Phishing-Risiko, sondern verbessert auch Reaktionszeiten, Audit-Fähigkeit und die Compliance-Story gegenüber Aufsichts- und Prüfstellen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Device-Code-Phishing nimmt rasant zu: MFA wird über OAuth-Flow umgangen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Device-Code-Phishing nimmt rasant zu: MFA wird über OAuth-Flow umgangen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Device-Code-Phishing nimmt rasant zu: MFA wird über OAuth-Flow umgangen« bei Google Deutschland suchen, bei Bing oder Google News!