LONDON / LONDON (IT BOLTWISE) – Device-Code-Phishing und Kalenderangriffe zeigen, wie Angreifer Multi-Faktor-Authentifizierung technisch überlisten. Im Fokus stehen dabei Microsoft-Autorisierungsseiten, Sitzungstokens und das automatische Erstellen von Kalendereinträgen in Outlook. Zusätzlich verschärfen Lieferketten-Kompromittierungen und KI-gestützter Betrug das Risiko für Unternehmen und Mitarbeitende. Der Artikel ordnet die Mechanismen ein und erklärt, welche Schutzmaßnahmen jetzt besonders wirksam werden.
Device-Code-Phishing und die neue Welle rund um „CalPhishing“ machen ausgerechnet die stärkste Stufe der Anmeldung zu einem Einfallstor: Multi-Faktor-Authentifizierung (MFA). Während sich viele Unternehmen bislang auf SMS- oder App-Codes sowie auf Prozesse rund um Microsoft-Workflows verlassen haben, verschiebt sich die Angriffslogik in Richtung Missbrauch legitimer Autorisierungsschritte. Das Muster ist dabei weniger ein Passwortdiebstahl als ein gezieltes Umformen des Vertrauens, das Nutzer beim Aufruf realer Microsoft-Seiten und beim Akzeptieren von Kalendereinladungen aufbauen. Branchenbeobachter warnen, dass die Verteidigung nun stärker „prozess- und token-zentriert“ werden muss als rein „login-zentriert“.
Technisch beginnt der Angriff häufig dort, wo Authentifizierung ohnehin stattfindet: bei Microsoft-Abläufen, die als vertrauenswürdig gelten. Beim Device-Code-Phishing erhält das Opfer einen Code und einen Link zu einer echten Autorisierungsseite. Gibt die betroffene Person den Code ein, wird nicht nur ein weiterer Faktor „abgeglichen“, sondern das Sitzungstoken kann vom Angreifer übernommen werden. Entscheidend ist, dass moderne Varianten den Code erst dann generieren, wenn der Nutzer den schädlichen Link anklickt. Damit fallen zeitliche Beschränkungen weg, die frühere Attacken teilweise ausbremsten. Für die IT bedeutet das: Das Risiko sitzt in der Kette zwischen Nutzerhandlung und Token-Übergabe.
Parallel entsteht mit Kalenderangriffen ein zweites, besonders heimtückisches Muster. Bei CalPhishing nutzen Kriminelle iCalendar-Dateien, die in E-Mails eingebettet oder als Anhänge platziert sind. In Microsoft Outlook werden zuweilen automatisch Kalendereinträge erstellt – sogar bevor der Empfänger die Nachricht vollständig öffnet. Diese Einträge bleiben bestehen, auch wenn die ursprüngliche E-Mail später gelöscht wird. Dadurch bleibt der Schadlink dauerhaft im Arbeitskontext präsent und kann bei späteren Klicks erneut Token stehlen. Oft sind die Kalendertermine als „dringende Microsoft 365“-Hinweise oder als Freigaben getarnt, wodurch soziale Steuerung und technische Ausnutzung ineinandergreifen.
Aus Marktsicht treffen hier zwei Entwicklungen zusammen: Automatisierung in der Angriffslogik und Professionalisierung durch kommerzielle Tooling-Ökosysteme. Wie aus der Sicherheitslandschaft berichtet wird, wird Device-Code-Phishing-Software über Kommunikationskanäle wie Telegram vermarktet, während vergleichbare Toolsets weitere Rollen übernehmen können. Ein wesentlicher Wettbewerbsaspekt ist dabei, dass nicht nur „Elite-Gruppen“ in der Lage sind, MFA zu umgehen, sondern dass auch weniger versierte Täter die Infrastruktur einkaufen können. Gleichzeitig bleibt der Verteidigungsstandard fragmentiert: Unternehmen schützen einzelne Logins, aber nicht immer die gesamte Wirkungskette rund um Kalender-Previews, OAuth-/Session-Validierung und Token-Handling. Experten erwarten deshalb kurzfristig steigende Vorfälle, auch wenn einzelne Erkennungsregeln greifen.
Lieferkettenangriffe verstärken die Gesamtlage, weil sie Vertrauensannahmen in Software- und Entwicklungsprozessen erschüttern. Berichtet wird etwa von einer Kompromittierung interner Systeme im Rahmen der Kampagne „Shai-Hulud“: Zwei Mitarbeitergeräte sollen betroffen gewesen sein, interne Zugangsdaten wurden gestohlen und Codesignatur-Zertifikate für Desktop-Anwendungen mussten ersetzt werden. Das ist mehr als ein „Account-Risiko“, denn Integritäts- und Signaturketten sind für die Softwareverteilung zentral. In einem weiteren Beispiel wurde ein weit verbreitetes npm-Paket, node-ipc, kompromittiert; böswillige Versionen sollen Cloud-Zugangsdaten und API-Token exfiltriert haben. Solche Vorfälle zeigen: Identity- und Supply-Chain-Sicherheit müssen zusammen gedacht werden.
Auch betrugsseitig wandert der Schwerpunkt weg von klassischen „Script Kiddie“-Schemata hin zu KI-gestützter Überredung und präziser Zielauswahl. Daten und Meldungen deuten darauf hin, dass Voice-Phishing (Vishing) häufig mit realen Gesprächen beginnt und inzwischen durch KI-Stimmenklonen verstärkt wird. Besonders riskant sind dabei Zielgruppen, die in Unternehmen oft „schnell reagieren“ sollen: Rentner und Führungskräfte. Parallel bleibt Business Email Compromise (BEC) ein lukrativer Angriffspfad, weil er Geschäftsprozesse ausnutzt, nicht technische Schwachstellen. Wenn Angreifer zudem Lieferketten-Zugangsdaten und API-Token erhalten, können sie Betrugstaktiken mit technischer Durchsetzungskraft verbinden – etwa für Passwortreset-Umwege, Zahlungsanweisungen oder das Ausspielen „scheinbar echter“ Kommunikationskanäle.
Die finanziellen Folgen sind für das Management inzwischen kein Randthema mehr. Laut Branchenkennzahlen liegen die durchschnittlichen Kosten eines Datenlecks bei mehreren Millionen Euro; bei Großunternehmen können einzelne Vorfälle deutlich darüber liegen. Fallbeispiele wie ein Vergleich im Umfeld eines großen US-Providermodels oder Verluste nach Vishing-Angriffen verdeutlichen, wie stark Incident-Reaktionszeiten, Kundenkommunikation und regulatorische Pflichten in die Gesamtsumme hineinspielen. Hinzu kommt: Passwörter bleiben in vielen Umgebungen die Achillesferse. Studien berichten von einem hohen Anteil geleakter Passwörter, die relativ schnell kompromittiert werden können, während der Einsatz von MFA allein nicht automatisch die Risiken mindert, wenn Angreifer Sitzungstokens abgreifen. Damit steigt der Druck auf passwortlose oder phishing-resistente Strategien.
Der Ausblick fällt entsprechend klar aus: Unternehmen rücken „phishing-resistente“ Authentifizierung in den Mittelpunkt und geben klassischen MFA-Formfaktoren weniger Priorität. Passkeys gewinnen an Bedeutung, unterstützt durch Initiativen wie die FIDO-Allianz, die von aktivierten Passkeys in großem Umfang berichtet. Ergänzend empfehlen Standards wie NIST inzwischen konservativere Passwortlängen, um Brute-Force-Angriffe zu erschweren. In der Praxis bedeutet das: Passkeys sollten möglichst flächig ausgerollt werden, insbesondere für privilegierte Rollen und für Nutzergruppen, die häufig in risikoreichen Kommunikationskanälen agieren. Gleichzeitig verlagert sich die Architektur in Richtung Zero Trust, mit starkem Fokus auf Kontrollen rund um Netzwerk-Egress und das Prinzip der geringsten Privilegien – besonders in CI/CD- und Entwicklerumgebungen.
Für die Umsetzung kommt es weniger auf einzelne „Regeln“ an, sondern auf ein abgestuftes Sicherheitsmodell aus technischen Kontrollen, Prozessdesign und Schulung. Technisch sind Blockaden veralteter Authentifizierungsabläufe, strikte Token- und Session-Validierung sowie kontextabhängige Risikobewertungen entscheidend. Organisatorisch sollten Unternehmen ihre Risikoanalyse so erweitern, dass Kalender- und Anhängerpfade als gleichwertige Angriffsflächen gelten wie der eigentliche Login. Und in der Awareness braucht es Trainings, die KI-generierte Stimmen, Täuschung über Video/Audio und die Psychologie hinter „dringenden“ Aufforderungen adressieren. Langfristig wird die Fähigkeit, Identitäten außerhalb der digitalen Kette verlässlich zu verifizieren, zu einem zentralen Baustein – weil Angreifer immer öfter den Menschen als letzten Filter ausschalten wollen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Device-Code-Phishing und CalPhishing: Warum klassische MFA bei Angreifern nicht mehr schützt" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Device-Code-Phishing und CalPhishing: Warum klassische MFA bei Angreifern nicht mehr schützt" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Device-Code-Phishing und CalPhishing: Warum klassische MFA bei Angreifern nicht mehr schützt« bei Google Deutschland suchen, bei Bing oder Google News!