{"id":52192,"date":"2026-09-12T08:08:54","date_gmt":"2026-09-12T06:08:54","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=52192"},"modified":"2026-09-12T08:08:54","modified_gmt":"2026-09-12T06:08:54","slug":"passkey-phishing-microsoft-365-52192","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/passkey-phishing-microsoft-365-52192\/","title":{"rendered":"Passkey-Phishing-Angriffe stehlen Daten aus Microsoft 365-Konten"},"content":{"rendered":"

Microsoft<\/a> warnt vor einer neuen Welle gezielter Passkey-Phishing-Angriffe, die auf Microsoft 365<\/a>aaaa-Konten abzielen. Die Kampagne, die seit Mai 2026 aktiv ist, wird von bekannten Erpresserbanden wie ShinyHunters, Helix und anderen durchgef\u00fchrt. Die Angreifer setzen auf eine Kombination aus Social Engineering<\/a>, gef\u00e4lschten Support-Anrufen und speziell pr\u00e4parierten Phishing-Seiten, um an Zugangsdaten und Session-Tokens zu gelangen. Im Fokus stehen Unternehmenskonten, die mit Microsoft 365-Diensten verbunden sind.<\/p>\n

Die Taktik: Passkey-Phishing und Social Engineering<\/h2>\n

Die Angriffskette beginnt mit umfangreicher Recherche. Die T\u00e4ter sammeln Informationen \u00fcber Zielunternehmen und deren Mitarbeiter aus \u00f6ffentlich zug\u00e4nglichen Quellen wie sozialen Netzwerken oder beruflichen Profilportalen. Anschlie\u00dfend kontaktieren sie die Angestellten telefonisch oder per Nachricht und geben sich als IT-Helpdesk des Unternehmens aus. Die Betr\u00fcger behaupten, dass dringend ein Passkey, eine Multi-Faktor-Authentifizierung (MFA) oder eine Single-Sign-On-Konfiguration (SSO) aktualisiert werden m\u00fcsse, um den Zugriff auf Unternehmenssysteme nicht zu verlieren.<\/p>\n

Die Opfer werden auf Phishing-Seiten geleitet, die t\u00e4uschend echt wie legitime Microsoft-Anmeldeseiten aussehen. Die Links werden h\u00e4ufig per SMS auf die privaten Handys der Mitarbeiter geschickt. Microsoft betont, dass die Angreifer gar nicht versuchen, einen echten Passkey zu registrieren. Die Passkey-Thematik dient vielmehr als K\u00f6der, um die Mitarbeiter auf sogenannte Adversary-in-the-Middle-Phishing-Seiten (AiTM) zu locken oder sie zur Nutzung von Device-Code-Authentifizierungsabl\u00e4ufen zu bewegen. AiTM-Angriffe erm\u00f6glichen es, Anmeldeinformationen und Session-Tokens abzufangen, w\u00e4hrend Device-Code-Phishing das Opfer dazu bringt, \u00fcber eine offizielle Microsoft-Seite einem angreifergesteuerten Client Zugriff auf das eigene Konto zu gew\u00e4hren.<\/p>\n

Die Angreifer und ihr \u00d6kosystem<\/h2>\n

Microsoft ordnet die Aktivit\u00e4ten mehreren Bedrohungsakteuren zu, die im selben Erpresser-\u00d6kosystem operieren. Die Gruppen Storm-3121 und Storm-3032 stehen im Fokus. Storm-3121 wird mit ShinyHunters und der Erpressungsgruppe Falcon in Verbindung gebracht, Storm-3032 mit der BlackFile-Gruppe, die mittlerweile unter dem Namen Helix agiert. Diese Aktivit\u00e4ten \u00fcberschneiden sich mit Angriffen, die Google<\/a> Threat Intelligence unter dem Cluster UNC6671 dokumentiert hat. Google berichtete ebenfalls von telefonischem Social Engineering und passkey-basierten Phishing-Infrastrukturen, die auf Unternehmensidentit\u00e4ten abzielen. Die gleichen Erpresserbanden \u2013 BlackFile, Helix, Falcon, Pink und Redact \u2013 sind auch aus den Google-Analysen bekannt.<\/p>\n

Die Angreifer registrieren gezielt Phishing-Domains, die Firmennamen mit Begriffen wie Passkey, SSO, Schl\u00fcsselsynchronisation oder Kontoeinrichtung kombinieren. Beispiele daf\u00fcr sind passkeyhelpdesk.com<\/strong>, secure-passkey.com<\/strong>, setupmypasskey.com<\/strong> oder integratedsso.com<\/strong>. Oft wird der Firmenname als Subdomain verwendet, etwa company-name.secure-passkey.com<\/strong>, um die Phishing-Seiten authentischer wirken zu lassen.<\/p>\n

Der Angriffsablauf nach der Kompromittierung<\/h2>\n

Microsoft hat die Vorg\u00e4nge nach einer erfolgreichen Kontokompromittierung detailliert analysiert. In einem untersuchten Fall erfolgte eine verd\u00e4chtige Anmeldung von einem nicht verwalteten Ger\u00e4t auf einen Microsoft 365-Dienst, der in Entra-Protokollen als OfficeHome<\/strong> identifiziert wurde. Nach Abschluss der MFA-Abfrage baute der Angreifer eine g\u00fcltige Session auf und begann sofort mit der Erkundung der verf\u00fcgbaren Ressourcen. Innerhalb von Minuten griff er auf My Apps<\/strong> (zugeteilte Anwendungen), My Profile<\/strong> (Organisationsinformationen), die Microsoft-Zustimmungsverwaltung, Kontoverwaltungsschnittstellen und My Sign-Ins<\/strong> zu. Anschlie\u00dfend folgten Zugriffe auf SharePoint Online, Outlook Web, Microsoft 365-Kollaborations- und Suchdienste, eine interne Gesch\u00e4ftsanwendung sowie Authentifizierungsfl\u00fcsse f\u00fcr virtuelle Desktops. Die Session blieb etwa eine Stunde aktiv, w\u00e4hrend der Angreifer sensible Dateien und Anwendungen auflistete.<\/p>\n

In einem zweiten Angriff f\u00fchrte das Passkey-Phishing zu Device-Code-Phishing: Das Opfer wurde \u00fcberzeugt, einen bereitgestellten Code auf der offiziellen Microsoft-Authentifizierungsseite einzugeben. Dadurch wird ein Authentifizierungstoken an die angreifergesteuerte OAuth-Anwendung ausgestellt, sodass der T\u00e4ter ohne weitere MFA-Herausforderung auf das Konto zugreifen kann. Der Angreifer erh\u00e4lt damit Zugriff auf alle Ressourcen des Benutzers sowie auf verbundene SSO-Anwendungen \u2013 darunter Microsoft 365, Salesforce, Google Workspace, Dropbox, Adobe, SAP, Slack, Zendesk, Atlassian und viele andere.<\/p>\n

Im dritten Szenario nutzten die T\u00e4ter zuvor kompromittierte Anmeldeinformationen f\u00fcr ein Konto, bei dem bereits Tage zuvor eine Authenticator-App registriert worden war. Nach dem Einloggen f\u00fchrten sie mithilfe eines automatisierten Node.js-Systems und Microsoft Graph eine umfassende Aufkl\u00e4rung durch. Zur Persistenz f\u00fcgten die Angreifer eine eigene MFA-Methode hinzu \u2013 etwa neue Telefonnummern, Authenticator-Apps oder softwarebasierte Einmalpasswort-Token. Diese Persistenz \u00fcberlebt jedoch keinen vollst\u00e4ndigen Reset von Anmeldeinformationen und Sessions.<\/p>\n

Die Graph-Abfragen im Detail<\/h3>\n

Microsoft beobachtete, wie die Angreifer \u00fcber Microsoft Graph umfangreiche Abfragen durchf\u00fchrten, um folgende Informationen zu sammeln:<\/p>\n