{"id":53133,"date":"2026-09-13T18:04:00","date_gmt":"2026-09-13T16:04:00","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=53133"},"modified":"2026-09-13T18:04:00","modified_gmt":"2026-09-13T16:04:00","slug":"passkey-phishing-microsoft-cloud-konten-53133","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/passkey-phishing-microsoft-cloud-konten-53133\/","title":{"rendered":"Angreifer kapern Microsoft-Cloud-Konten mit Passkey-Phishing und exfiltrieren Daten"},"content":{"rendered":"

Microsoft<\/a> hat zwei gro\u00df angelegte Angriffswellen aufgedeckt, die gezielt Unternehmens-Cloud-Umgebungen ins Visier nehmen. W\u00e4hrend eine Kampagne mit KI-generierten CEO-Betrugs-E-Mails auf Finanzabteilungen abzielt, setzt die zweite auf eine perfide Kombination aus Passkey-Phishing und Social Engineering<\/a>, um vollst\u00e4ndige Kontrolle \u00fcber Microsoft-365-Konten<\/a> zu erlangen und sensible Daten zu exfiltrieren. Die Angriffe verdeutlichen eine alarmierende Entwicklung: Cyberkriminelle nutzen zunehmend automatisierte, mehrstufige Taktiken, die selbst etablierte Sicherheitsmechanismen wie Multi-Faktor-Authentifizierung umgehen.<\/p>\n

CEO-Betrug mit KI-Unterst\u00fctzung: \u00dcber eine Million Phishing-Mails in drei Tagen<\/h2>\n

Zwischen dem 3. und 5. August 2026 versendeten Angreifer mehr als eine Million t\u00e4uschend echte E-Mails, die angeblich von Vorstandsvorsitzenden verschiedener Zielunternehmen stammten. Die Nachrichten richteten sich an die Kreditorenbuchhaltung und forderten zur \u00dcberweisung einer angeblichen Jahresgeb\u00fchr f\u00fcr ein ServiceNow-Abonnement \u00fcber das US-amerikanische ACH-System auf. Um den Betrug zu untermauern, erstellten die T\u00e4ter gef\u00e4lschte Rechnungen und erfanden komplette E-Mail-Verl\u00e4ufe, die wie eine interne Genehmigungskette aussahen. Besonders raffiniert: Die Angreifer recherchierten zuvor die Namen und E-Mail-Adressen von CEOs, CFOs und Pr\u00e4sidenten der Opferunternehmen und setzten diese in den E-Mail-Signaturen ein, um die Authentizit\u00e4t zu erh\u00f6hen. Die Analyse der Infrastruktur zeigt, dass die T\u00e4ter generische KI-Modelle<\/a> nutzten, um die Vorlagen und Texte individuell auf die Empf\u00e4nger zuzuschneiden. Die Kampagne konzentrierte sich haupts\u00e4chlich auf Unternehmen in den USA aus den Bereichen IT-Dienstleistungen, Konsumg\u00fcter, Immobilien und diskrete Fertigung. Zur Verschleierung registrierten die T\u00e4ter Domains wie service-nowinc[.]com<\/strong> und domainlify[.]net<\/strong>, die vertrauensw\u00fcrdige Marken imitierten.<\/p>\n

Passkey-Phishing: So kapern Angreifer Microsoft-Cloud-Konten<\/h2>\n

Die zweite, noch gef\u00e4hrlichere Kampagne zielt auf die Identit\u00e4tsebene von Microsoft-365-Cloud-Umgebungen ab. Seit Mai 2026 beobachtet Microsoft eine Serie von Einbr\u00fcchen, die stets mit einem social-engineering-Angriff auf die pers\u00f6nlichen Telefonnummern der Mitarbeiter beginnen. Die Angreifer geben sich als Mitarbeiter der unternehmenseigenen IT-Hotline aus und behaupten, der Benutzer m\u00fcsse dringend seinen Passkey, die Multi-Faktor-Authentifizierung (MFA) oder die Single-Sign-On-Konfiguration (SSO) aktualisieren, um eine Unterbrechung des Zugriffs zu vermeiden. \u00dcber SMS werden die Opfer anschlie\u00dfend auf gef\u00e4lschte Webseiten geleitet, die t\u00e4uschend echt die Microsoft-Anmeldeseite nachbilden. Das Ziel: Die T\u00e4ter nutzen Adversary-in-the-Middle-Techniken (AitM) oder Device-Code-Authentifizierung, um entweder die Anmeldedaten abzugreifen oder den Benutzer dazu zu bringen, dem Angreifer unwissentlich Zugriff zu gew\u00e4hren.<\/p>\n

Vorgehen der Angreifer: Von der ersten Kompromittierung zur Datenexfiltration<\/h3>\n

Sobald die Angreifer die Kontrolle \u00fcber ein Konto erlangt haben, verfolgen sie eine klare Strategie: die tempor\u00e4re Kompromittierung in einen dauerhaften Zugang umzuwandeln. Dazu registrieren sie eine eigene MFA-Methode \u2013 meist eine neue Telefonnummer, eine Authentifikator-App oder einen softwarebasierten Einmalcode (OTP). Damit k\u00f6nnen sie sich jederzeit ohne Mitwirkung des Opfers anmelden, selbst wenn das urspr\u00fcnglich gestohlene Passwort ge\u00e4ndert wird. Die anschlie\u00dfenden Aktivit\u00e4ten lassen sich in sechs Phasen unterteilen:<\/p>\n

    \n
  • Umfassende interne Aufkl\u00e4rung:<\/strong> \u00dcber die Microsoft Graph API inventarisieren die Angreifer Nutzer, Gruppen, Berechtigungen, Ressourcen und zug\u00e4ngliche Inhalte im gesamten Mandanten.<\/li>\n
  • Privilegienerweiterung:<\/strong> Sie untersuchen Administratorrollen, hochwertige Konten und Dienstidentit\u00e4ten, um ihre Berechtigungen auszuweiten.<\/li>\n
  • Nachrichtensammlung:<\/strong> Mailbox-Nachrichten, Ordner und Anh\u00e4nge-Metadaten werden systematisch ausgelesen \u2013 ein klassischer Intelligence-Gewinn.<\/li>\n
  • Massiver Datendownload:<\/strong> Hochvolumige Zugriffe auf SharePoint Online, OneDrive for Business und Exchange Online stehen im Fokus.<\/li>\n
  • Anhaltende Exfiltration:<\/strong> Die Datenabfl\u00fcsse erstrecken sich \u00fcber Stunden bis mehrere Tage, abh\u00e4ngig von der Menge der Dateien und E-Mails.<\/li>\n
  • Infrastrukturwechsel:<\/strong> Die Angreifer rotieren bewusst IP-Adressen f\u00fcr Authentifizierung, Aufkl\u00e4rung und Exfiltration, um netzwerkbasierte Erkennung zu umgehen.<\/li>\n<\/ul>\n

    Microsoft hat mehrere Varianten dieser Attacke dokumentiert. In einem Fall gelang den T\u00e4tern ein anomaler Anmeldevorgang \u00fcber Microsoft Office Home von einem nicht verwalteten Ger\u00e4t aus. Ein anderer Vorfall nutzte den Passkey-Lockvogel, um einen Device-Code-Phishing-Angriff zu starten \u2013 ohne dass ein einziges Passwort gestohlen werden musste. Eine dritte Variante griff auf bereits zuvor kompromittierte Anmeldedaten zur\u00fcck, um sofort eine eigene Telefon-basierte MFA-Methode zu registrieren.<\/p>\n

    Hinter den Kulissen: Organisierte Cyberkriminalit\u00e4t mit raffinierter Infrastruktur<\/h2>\n

    Die Angreifer investieren erheblich in die Vorbereitung. Sie sammeln Informationen \u00fcber Mitarbeiter und Organisationsstrukturen aus \u00f6ffentlichen Quellen wie sozialen Netzwerken und Berufsplattformen. In einigen F\u00e4llen nutzen sie bereits kompromittierte Konten, um \u00fcber Microsoft Teams weitere Passkey-Meldungen zu versenden. Die registrierten Domains folgen einem Muster \u2013 immer mit dem Namen des Zielunternehmens als Subdomain \u2013 und sind thematisch auf Passkeys, SSO-Registrierung, Kontoaktivierung oder Identit\u00e4tspr\u00fcfung ausgerichtet. Beispiele: passkeyhelpdesk[.]com<\/strong>, secure-passkey[.]com<\/strong>, setupmypasskey[.]com<\/strong>, add-passkey[.]com<\/strong>, integratedsso[.]com<\/strong>, oktasession[.]com<\/strong>, syncmykey[.]com<\/strong> und portalsetuphub[.]com<\/strong>.<\/p>\n

    Die Sicherheitscommunity verfolgt diese Aktivit\u00e4ten unter den Bezeichnungen UNC6671, Cordial Spider, O-UNC-045 und PREY-0058. Microsoft selbst ordnet die Initialzugriffe den Akteuren Storm-3121 und Storm-3032 zu. Storm-3121 liefert die erste Kompromittierung, die dann zu Erpressungsgruppen wie ShinyHunters oder Falcon (CL-CRI-1182) f\u00fchrt. Storm-3032 ist das hauseigene Label f\u00fcr UNC6671, eine Gruppe von Akteuren, die sich von der BlackFile-Gruppe (CL-CRI-1116) abgespalten hat und nun unter der Erpressungsmarke Helix operiert.<\/p>\n

    Warum herk\u00f6mmliche Erkennung an ihre Grenzen st\u00f6\u00dft<\/h2>\n

    Die gr\u00f6\u00dfte Herausforderung f\u00fcr Sicherheitsteams liegt in der Natur der Angriffe: Der Missbrauch der Microsoft Graph API wirkt aus Sicht eines einzelnen API-Aufrufs selten verd\u00e4chtig. Ein Download von SharePoint-Dokumenten oder das Lesen von E-Mail-Ordnern sind legitime T\u00e4tigkeiten. Erst die Kombination der Aktivit\u00e4ten \u2013 zeitlich gestaffelte Aufkl\u00e4rung, MFA-Registrierung durch eine neue Methode, pl\u00f6tzliche Massenzugriffe \u2013 offenbart die b\u00f6swillige Absicht. Unternehmen m\u00fcssen daher ihre \u00dcberwachung auf Verhaltensmuster und ger\u00e4te\u00fcbergreifende Korrelation ausrichten, anstatt sich auf isolierte API-Protokolle zu verlassen. Die Angreifer haben gezeigt, dass sie jeden einzelnen Sicherheitsmechanismus \u2013 Passkeys, MFA, SSO \u2013 gegen die Nutzer wenden k\u00f6nnen. Der Wandel hin zu passwortlosen Authentifizierungen, der eigentlich die Sicherheit erh\u00f6hen soll, wird von Cyberkriminellen bereits als neue Angriffsfl\u00e4che erschlossen. F\u00fcr Unternehmen bedeutet dies: strengere Zugriffskontrollen f\u00fcr Graph API, kontinuierliches Monitoring von MFA-Registrierungsereignissen und vor allem die Schulung der Mitarbeiter, damit sie keine vermeintlichen IT-Hotline-Anrufe oder SMS-Nachrichten mit dringenden Passkey-Updates unbeachtet lassen.<\/p>\n","protected":false},"excerpt":{"rendered":"

    Microsoft hat zwei gro\u00df angelegte Angriffswellen aufgedeckt, die gezielt Unternehmens-Cloud-Umgebungen ins Visier nehmen. W\u00e4hrend eine Kampagne mit KI-generierten CEO-Betrugs-E-Mails auf Finanzabteilungen abzielt, setzt die zweite auf eine perfide Kombination aus Passkey-Phishing und Social Engineering, um vollst\u00e4ndige Kontrolle \u00fcber Microsoft-365-Konten zu erlangen und sensible Daten zu exfiltrieren. Die Angriffe verdeutlichen eine alarmierende Entwicklung: Cyberkriminelle nutzen zunehmend […]<\/p>\n","protected":false},"author":5,"featured_media":54794,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/53133.png","fifu_image_alt":"Angreifer kapern Microsoft-Cloud-Konten mit Passkey-Phishing und exfiltrieren Daten","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-53133","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scherheit"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/53133.png","fifu_image_alt":"Angreifer kapern Microsoft-Cloud-Konten mit Passkey-Phishing und exfiltrieren Daten","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/53133","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=53133"}],"version-history":[{"count":2,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/53133\/revisions"}],"predecessor-version":[{"id":53135,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/53133\/revisions\/53135"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/54794"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=53133"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=53133"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=53133"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}