AUSTRALIA / LONDON (IT BOLTWISE) – Eine neue Phishing-Kampagne nutzt gefälschte Microsoft-Authentifizierungsseiten, um Zugang über traditionelle MFA-Mechanismen zu umgehen. Besonders betroffen sind Zielgruppen aus dem Dienstleistungssektor, bei denen Due Diligence und Identitätsprüfung eng mit regulatorischen Pflichten verknüpft sind. Für IT-Teams rückt damit die Umstellung auf phishing-resistente Authentifizierung wie FIDO2 und Passkeys in den Vordergrund. Gleichzeitig zeigen internationale Beispiele, wie stark biometrische Verfahren und FIDO2-gebundene Anmeldechecks Phishing-Angriffe erschweren.
Die neue Angriffswelle rund um Microsoft-Umgebungen macht vor allem eines deutlich: Wer sich in der Authentifizierung zu sehr auf SMS-Multi-Faktor-Authentifizierung (MFA) verlässt, liefert Angreifern einen praktikablen Weg. Laut Analyse zur Bedrohungslage wurden zwischen Ende Juni und Juli 2026 Kampagnen identifiziert, bei denen Angreifer gefälschte Benachrichtigungen des Microsoft Planners nutzten, um Opfer über legitiment wirkende Microsoft-Authentifizierungsseiten umzuleiten. Damit umgehen klassische Sicherheitsansätze einen Kernschwachpunkt traditioneller MFA-Setups: Sie blocken nicht zwangsläufig den Missbrauch eines korrekt gestarteten Login-Flows, wenn die Anmeldung an einer gefälschten, aber vom Nutzer akzeptierten Oberfläche stattfindet.
In Australien verschärft sich der Druck auf technische Neuausrichtungen zusätzlich durch regulatorische Änderungen im Umfeld der AML-Reformen („Tranche Two“). Der Text ordnet dabei den Dienstleistungssektor als besonders sensibel ein: Buchhaltungsfirmen, Anwälte und Immobilienmakler rücken als Hochrisiko-Ziele in den Fokus, weil kompromittierte Anmeldedaten die gesetzlich geforderte Sorgfaltspflicht (Due Diligence) untergraben können. Gleichzeitig bewertet das australische Cybersicherheitszentrum (ACSC) Phishing als die am häufigsten eingesetzte Technik bei Cyberangriffen. In der Konsequenz gewinnt ein Wechsel zu phishing-resistenten Authentifizierungsverfahren an Bedeutung, weil genau diese Schwäche bei datengetriebenen Betrugsmaschen typischerweise ausgenutzt wird.
Technisch betrachtet liegt der Hebel nicht nur im „mehr“ an Authentifizierung, sondern in der Art, wie ein Login kryptografisch abgesichert wird. Die Quelle stellt klar, dass die weit verbreitete MFA per SMS die Anforderungen des australischen „Essential Eight“-Reifegradmodells nicht mehr in der vorgesehenen Stufe erfüllt. Das ist auch eine messbare Frage der Sicherheitsarchitektur: SMS-Codes sind in der Praxis schwer gegen Relay- und Phishing-Szenarien abzugrenzen, weil sie dem Angreifer im Moment der Eingabe grundsätzlich zur Verfügung stehen können. Phishing-resistente Verfahren wie FIDO2 und Passkeys dagegen basieren auf einer Bindung an legitime Dienste und schaffen damit eine Hürde, die sich nicht einfach durch das Nachstellen einer Maske „wegdrücken“ lässt.
Die wirtschaftliche Dimension passt zu diesem technischen Befund. Für Australien nennt die Quelle Betrugsverluste im Jahr 2025 in Höhe von insgesamt 2,18 Milliarden AUD bei 481.523 Meldungen. Den größten Anteil machen dabei Investmentbetrugsfälle mit 837,7 Millionen AUD aus. Damit sind die Folgen nicht nur ein IT-Thema, sondern wirken in Buchhaltung, Compliance und Kundenprozessen spürbar nach. Der Text verknüpft diese Lage außerdem mit der wachsenden Rolle von KI für Betrugsmaschen, weil Automatisierung die Skalierung und Anpassung von Phishing-Inhalten beschleunigen kann. Für Unternehmen heißt das: Je stärker Angreifer Inhalte und Abläufe an Zielgruppen anpassen, desto eher wird der Authentifizierungsmechanismus zum letzten „Gate“ im Prozess.
Mehrere internationale Beispiele zeigen, wie sich diese Logik bereits in Produkt- und Behördenentscheidungen übersetzt. In Singapur führte der staatliche Dienst Singpass Passkeys auf Basis des FIDO2-Standards ein: Die Passkeys sind fest an legitime Websites gebunden und lassen sich demnach nicht auf gefälschten Portalen verwenden. Ergänzend setzt eine Regierungsbehörde bei risikoreichen Transaktionen auf Gesichtsverifikation. In Südkorea integrierte Samsung Life Insurance als erste Versicherung eine biometrische Gesichtserkennung in mobile Dienste, und über das System des Korea Financial Telecommunications & Clearings Institute sollen Identitätsprüfungen und Transaktionsbestätigungen kontaktlos möglich sein. Auch der Ansatz von Alibaba Cloud für den Finanzsektor wird erwähnt: KI-Modelle sollen Gruppenbetrug und Geräte-Risiken in Echtzeit analysieren – ein Hinweis darauf, dass Authentifizierung zunehmend mit Betrugserkennung und Risikobewertung zusammenspielt.
Europa adressiert parallel regulatorische Anforderungen im Zahlungsverkehr. Die Quelle nennt Betrugssummen im EU-Zahlungsverkehr von 4,2 Milliarden Euro im Jahr 2024 und ordnet Passkeys in den Kontext der starken Kundenauthentifizierung (SCA) gemäß PSD2 ein. Passkeys könnten demnach die Anforderungen erfüllen, weil sie Besitz und Biometrie abbilden können. Gleichzeitig bleiben technische Detailfragen offen: Für „Dynamic Linking“ nach Artikel 5 der SCA-Verordnung müsse die Bindung von Betrag und Zahlungsempfänger direkt in die Authentifizierung eingebettet sein; zudem werfen synchronisierte Passkeys Fragen nach der geforderten Unabhängigkeit der Authentifizierungsfaktoren auf. Für IT- und Compliance-Teams ist das weniger eine theoretische Hürde als ein Projektumfang: Es muss nachvollziehbar werden, wie kryptografische Bindungen, Nutzerinteraktionen und Transaktionsparameter im Authentifizierungsprozess zusammenspielen.
Als unmittelbare Gegenmaßnahmen nennt die Quelle den konsequenten Einsatz von bedingtem Zugriff (Conditional Access) und phishing-resistenter MFA. Genau hier schließt sich der Kreis zur Microsoft-Planner-Kampagne: Conditional Access reduziert die Angriffsfläche, indem es den Zugriff kontextabhängig steuert (etwa nach Risiko, Geräte-Status oder Signalinformationen), während phishing-resistente MFA den klassischen Login-Umweg unattraktiv oder wirkungslos macht. Für Unternehmen bedeutet das in der Praxis eine Priorisierung: Nicht jede Kontenklasse braucht dieselbe Härtung sofort, aber hochkritische Workloads und Identitäten sollten zuerst umgestellt werden. Wer Passkeys und FIDO2 einführt, sollte zudem darauf achten, dass die Integrationen in den Zielservices die erwarteten Sicherheitsgarantien tatsächlich abbilden – etwa durch klare Mechanismen gegen die Nutzung auf gefälschten Portalen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Passkeys statt SMS-MFA: Neue Phishing-Kampagne trifft Microsoft-Umgebungen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Passkeys statt SMS-MFA: Neue Phishing-Kampagne trifft Microsoft-Umgebungen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Passkeys statt SMS-MFA: Neue Phishing-Kampagne trifft Microsoft-Umgebungen« bei Google Deutschland suchen, bei Bing oder Google News!