LONDON (IT BOLTWISE) – Eine neue Angriffsmethode setzt auf OAuth-Consent-Phishing statt auf Passwortdiebstahl. Betroffene klicken auf einer legitimen Google- oder Microsoft-Berechtigungsseite „Allow“ und geben damit einem fremden App-Account weitreichende Zugriffe. Laut FBI-Angaben reicht ein Passwortwechsel allein nicht aus, um den Zugriff dauerhaft zu stoppen. Entscheidend ist, das kompromittierte Zugriffstoken in den App-Einstellungen zu widerrufen.
Bei dieser Masche wirkt das Ganze auf den ersten Blick harmlos: Die Opfer werden per Link auf eine scheinbar legitime Berechtigungsseite eines großen Identitätsanbieters geführt. Der eigentliche Trick liegt jedoch nicht im Knacken von Passwörtern, sondern darin, dass Angreifer einen bösartigen Dienst als „vertrauenswürdig“ ausgeben und die Zustimmung zur App über einen OAuth-Consent-Fluss erzwingen. Anders gesagt: Wer „Allow“ anklickt, erstellt damit für den Angreifer die Grundlage für persistenten Zugriff, ohne dass eine klassische MFA-Abfrage oder das direkte Eingeben des Passworts im Mittelpunkt steht.
Das US-amerikanische FBI beschreibt in einem aktuellen öffentlichen Hinweis, dass Bedrohungsakteure dabei Nachrichten mit einem Link zu einem angeblich wichtigen Dokument an prominente Empfänger, deren Familienangehörige und persönliche Kontakte senden. Sobald der Link geöffnet wird, erscheint nicht etwa eine manipulierte Login-Seite des Angreifers, sondern ein Rechteanfrage-Dialog des jeweiligen Kommunikations- oder Identitätsanbieters. Diese UX ist der Kern der Wirkung: Das System authentifiziert den Nutzer an sich korrekt, aber der Nutzer erteilt zugleich die Berechtigungen an eine App, die der Angreifer zuvor registriert hat. Damit lassen sich Rechte wie das Lesen oder Schreiben von E-Mails sowie der Zugriff auf Dateien und andere Kontodaten in einem Schritt genehmigen.
Technisch betrachtet funktioniert OAuth-Consent-Phishing über die Kombination aus App-Registrierung und Rechteauswahl. Der Angreifer erstellt eine eigene Anwendung, registriert sie über einen legitimen OAuth-Anbieter oder eine Zertifizierungsstelle und programmiert sie so, dass sie möglichst viele Permissions anfragt. Die bösartige App wird anschließend im Kontext einer Nachricht präsentiert, die das Opfer zur Interaktion bewegen soll – häufig mit einer nach außen seriösen Rolle, etwa als „Journalist“, „Akademiker“ oder „renommierte Organisation“. Klickt das Opfer den Link, wird es zu einer echten Permission-Request-Ansicht des Identitätsanbieters weitergeleitet, authentifiziert sich und bestätigt die Berechtigungen. Die Angreiferperspektive ist damit bequem: Sie benötigen keinen Passwortabgleich und umgehen nicht die MFA als System, sondern nutzen die Tatsache, dass die Zustimmung zu OAuth-Berechtigungen als separater Schritt weitergehende Rechte eröffnet.
Damit erklärt sich auch, warum „Passwort ändern“ in solchen Fällen oft nur begrenzt hilft. Laut FBI bleibt der Zugriff bestehen, solange das für die App ausgestellte Zugriffstoken (Access Token beziehungsweise die entsprechende Autorisierung im App-Sicherheitskontext) gültig ist und nicht widerrufen wurde. Ein Passwortwechsel sperrt zwar die direkte Kontozugriffspfad-Logik, aber er verhindert nicht automatisch die bereits erteilte App-Autorisierung. Erst das gezielte Invalidate der Autorisierung in den App- oder Kontoeinstellungen schneidet die bestehende Beziehung zwischen Opferkonto und der von Angreifern kontrollierten Anwendung ab. Für Sicherheitsverantwortliche ist das eine klare Botschaft: Incident Response muss nicht nur Credential-Hygiene, sondern auch Token- und App-Revocation-Prozesse umfassen.
Aus Unternehmenssicht verschiebt sich das Risiko damit deutlich in Richtung Identity Governance und Berechtigungsmanagement. Besonders kritisch ist, dass das Opfer die Zustimmung im Moment der Interaktion als „legitim“ wahrnimmt, weil die Permission-Seite tatsächlich vom Anbieter kommt. Entsprechend sollten Teams ihre Richtlinien so ausrichten, dass das Erteilen von App-Rechten konsequent überprüfbar bleibt – und zwar unabhängig davon, ob MFA beim Login verwendet wurde. Das FBI rät deshalb auch, Nachrichten und Kommunikationswege von unbekannten Absendern besonders zu prüfen und Zugriffe nur vertrauenswürdigen Anwendungen zu erlauben. Praktisch heißt das: Absenderidentitäten separat verifizieren, Links nicht blind bestätigen und bei Verdacht die App-Berechtigungen umgehend zurückziehen, statt sich auf reine Passwortrotation zu verlassen.
Für die Verteidigung gegen diese Form von Social Engineering lohnt zudem ein Blick auf die typischen Kontrollpunkte in der Nutzerkommunikation: Domain- und Absenderauthentifizierung, Schutz gegen URL-Umleitungen sowie Awareness-Prozesse, die konkret auf „Allow“-Berechtigungsdialoge einzahlen. Die Masche zeigt außerdem, wie schnell sich Angreifer neue Angriffsflächen erschließen können, wenn Zustimmung statt Ausnutzung als Sicherheitsanker fungiert. Sobald die App einmal genehmigt ist, kann sie – je nach erteilten Rechten – weiterarbeiten, ohne dass der Angreifer erneut den gleichen Consent-Dialog auslösen muss. Für die IT-Security-Planung bedeutet das: Wer OAuth-gestützte Zugriffe in Unternehmen zulässt, braucht klare Regeln für App-Registrierung, Rechteumfang und regelmäßige Bereinigungen genehmigter Drittanwendungen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "OAuth-Consent-Phishing: So können Angreifer dauerhaft Zugriff ohne Passwort erlangen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "OAuth-Consent-Phishing: So können Angreifer dauerhaft Zugriff ohne Passwort erlangen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »OAuth-Consent-Phishing: So können Angreifer dauerhaft Zugriff ohne Passwort erlangen« bei Google Deutschland suchen, bei Bing oder Google News!