Die Wurzeln des Device Code Phishings reichen bis ins Jahr 2020 zurück, als die Methode vor allem von Cybersecurity-Sicherheitsprüfern und vereinzelt von Spionen genutzt wurde. Den Durchbruch als kriminelle Massenwaffe erlebte Device Code Phishing im Herbst 2025 mit der Veröffentlichung fertiger Toolkits in Kombination mit einer entscheidenden Innovation: der dynamischen Code-Generierung.
Mussten Angreifer früher damit rechnen, dass ihre Codes nach 15 Minuten ablaufen, wird der Code in aktuellen Implementierungen dynamisch im Moment des Klicks auf den Phishing-Link generiert. Kampagnen können damit noch lange nach Versand der initialen E-Mail erfolgreich sein. Proofpoint beobachtete allein in einem Zehntageszeitraum im April 2026 rund sieben einzigartige Device-Code-Phishing-Varianten. Neue Tools tauchen wöchentlich auf. Besonders auffällig ist, dass der Großteil der neuen Werkzeuge mit Hilfe von KI erstellt wurde, sogenanntem „Vibe Coding“. Das verkürzt die Entwicklungszeit drastisch und senkt die Einstiegshürde für technisch weniger versierte Kriminelle erheblich. Bekannte Phishing-as-a-Service-Plattformen (PhaaS) treiben das Wachstum weiter an:
- EvilTokens, erstmals im Februar 2026 auf Telegram beworben, bietet fertige Landing-Pages, die Microsoft, Adobe oder DocuSign imitieren, sowie einen „Portal Browser“ zur Automatisierung von Business-E-Mail-Compromise-Operationen (BEC).
- Tycoon 2FA, dessen Infrastruktur im Februar 2026 teilweise zerschlagen wurde, schwenkte unmittelbar danach auf Device Code PhaaS um.
- Das populäre AiTM-Kit ODx (auch bekannt als Storm-1167 oder FlowerStorm) integriert Device-Code-Funktionen über Kali365.
Etablierte Akteure schwenken um
Bedrohungsakteure, die bislang auf Adversary-in-the-Middle-Phishing (AiTM) setzten, steigen nun zunehmend auf Device Code Phishing um. Ein besonders anschauliches Beispiel liefert die Gruppe TA4903: Sie nimmt die Identität von Behörden und kleiner Unternehmen an und nutzt die Methode seit März 2026 nahezu ausschließlich. In einer Kampagne im April 2026 verschickte TA4903 E-Mails mit dem Betreff „Gehaltsbenachrichtigung“ mit PDF-Anhängen, die QR-Codes enthielten. Diese leiteten über eine Cloudflare-Workers-URL zu einer Landing-Page weiter, die Microsoft und DocuSign imitierte. Bemerkenswert: Viele dieser E-Mails enthielten keinerlei Text, ein Hinweis darauf, dass Teile der Kampagnen automatisiert ablaufen. Device Code Phishing macht zudem vor Sprachgrenzen nicht halt: Proofpoint hat die Technik in mehreren Sprachen beobachtet, darunter Deutsch.
Es besteht eine Parallele zwischen Device Code Phishing und ClickFix, der Social-Engineering-Methode, die 2024 als Nischentechnik startete und sich binnen eines Jahres zum Standard im Arsenal von Cyberkriminellen und Spionen entwickelte. Beide Techniken setzen auf dieselbe Grundlogik: Der Angreifer überzeugt das Opfer, eine vermeintlich harmlose Handlung vorzunehmen: Bei ClickFix das Einfügen eines Skripts in ein Terminal, bei Device Code Phishing das Eingeben eines Codes in das legitime Microsoft-Portal. Neue, wirksame Techniken folgen stets demselben Muster: Einige Akteure experimentieren, und sobald sich Erfolg einstellt, wird die Methode zum käuflichen Standard.
Jetzt Newsletter abonnieren
Einmal im Monat die besten News von B2B CYBER SECURITY lesenOperative Nachlässigkeit trotz großen Schadens
Trotz des enormen Ausmaßes sind viele Kampagnen operativ nachlässig. Proofpoint beobachtet regelmäßig OpSec-Fehler: Angreifer legen durch schlecht abgesicherte KI-generierte Panels und Infrastruktur ungewollt Benutzernamen, E-Mail-Adressen und gestohlene Daten offen. Das zeigt: Nicht die Fähigkeiten der Angreifer treiben das Wachstum, sondern die schiere Leichtigkeit des Zugangs zu fertigen Tools. Ein erfolgreicher Angriff kann zur vollständigen Kontoübernahme führen. Über das sogenannte „ATO Jumping“ – die Nutzung kompromittierter Konten zum Versand weiterer Phishing-Links an interne Kontakte – verbreiten sich Angriffe schnell in ganzen Organisationen. Weitere Konsequenzen sind Datendiebstahl, Betrug und Business E-Mail Compromise (BEC), laterale Bewegung im Netzwerk sowie im schlimmsten Fall der Einsatz von Ransomware.
Empfohlene Schutzmaßnahmen
Da die Angriffe unabhängig vom verwendeten Kit stets denselben Authentifizierungsfluss missbrauchen, sind dieselben Gegenmaßnahmen zu empfehlen:
- Device Code Flow blockieren: Über Conditional-Access-Richtlinien in Microsoft Entra ID den OAuth-Geräteautorisierungsfluss für alle Nutzer oder per Allowlist für bestimmte Nutzer, Betriebssysteme und IP-Ranges sperren.
- Gerätecompliance erzwingen: Anmeldungen auf registrierte Geräte beschränken, als ergänzende Schutzmaßnahme im Rahmen einer Defense-in-Depth-Strategie.
- Gezielte Nutzerschulung: Klassische Hinweise wie „URL prüfen“ greifen nicht, da das Opfer auf der echten Microsoft-Seite agiert. Nutzer müssen explizit darüber informiert werden, keine Gerätecodes aus unbekannten Quellen einzugeben.
Device Code Phishing ist mehr als eine weitere Phishing-Variante. Es ist die konsequente Antwort der Angreifer auf verbesserte Abwehrmechanismen und wachsendes Nutzerbewusstsein. Kriminelle nutzen legitime Authentifizierungsabläufe als Waffe und skalieren diese mit KI-generierten Tools. So hat sich die Technik zu einer der am schnellsten wachsenden Identity-Bedrohungen entwickelt.
Mehr bei Proofpoint.com
Über Proofpoint Proofpoint, Inc. ist ein führendes Cybersicherheitsunternehmen. Im Fokus steht für Proofpoint dabei der Schutz der Mitarbeiter. Denn diese bedeuten für ein Unternehmen zugleich das größte Kapital aber auch das größte Risiko. Mit einer integrierten Suite von Cloud-basierten Cybersecurity-Lösungen unterstützt Proofpoint Unternehmen auf der ganzen Welt dabei, gezielte Bedrohungen zu stoppen, ihre Daten zu schützen und IT-Anwender in Unternehmen für Risiken von Cyberangriffen zu sensibilisieren.
Passende Artikel zum Thema
Device Code Phishing als kriminelle Massenwaffe
Fachliche Einordnung
Die Fachplattform B2BCS ordnet die Analysen von Proofpoint vom Sommer 2026 zur rasanten Evolution des Device Code Phishings als eine der gefährlichsten Entwicklungen im Bereich des Identitätsdiebstahls ein. Was als akademische Nischenmethode für Pentester begann, hat sich durch Phishing-as-a-Service (PhaaS) und KI-gestützte Entwicklung („Vibe Coding“) zu einem industriellen Angriffsvektor entwickelt. Da die eigentliche Authentifizierung auf echten, vertrauenswürdigen Microsoft-Portalen stattfindet, versagen klassische Phishing-Indikatoren wie gefälschte URLs. Angreifer missbrauchen den OAuth-2.0-Gerätefluss (*Device Authorization Grant*), um MFA-Hürden nahtlos zu umgehen und vollständige Kontoübernahmen (*Account Takeover*) durchzuführen.
Key-Takeaways
- Technischer Durchbruch durch dynamische Codes: Wo Codes früher nach 15 Minuten abliefen, generieren moderne Kits (z. B. EvilTokens, Tycoon 2FA, ODx / Kali365) den Device Code dynamisch beim Klick auf den Link. Dies erhöht die Lebensdauer und Erfolgsquote von E-Mail-Kampagnen drastisch.
- Demokratisierung durch Vibe Coding: Der Einsatz generativer KI verkürzt die Entwicklungszeit neuer Phishing-Varianten massiv. Allein im April 2026 identifizierte Proofpoint sieben neue Varianten innerhalb von 10 Tagen; wöchentlich tauchen neue Tools auf.
- Waffengleichheit mit ClickFix-Logik: Ähnlich wie bei der Social-Engineering-Methode *ClickFix* wird das Opfer dazu verleitet, eine scheinbar legitime Handlung auszuführen – in diesem Fall die Eingabe eines übermittelten Codes auf einer offiziellen Microsoft-Anmeldeseite.
- Automatisierung & OpSec-Schwachstellen: Bedrohungsakteure wie TA4903 nutzen automatisierte Kampagnen mit QR-Codes (über Cloudflare Workers) und gefälschten Dokumenten (z. B. Gehaltsabrechnungen). Gleichzeitig führen schlecht geschützte KI-Panels der Angreifer häufig zu eigenen Datenlecks und machen OpSec-Fehler sichtbar.
- Gefahr von ATO-Jumping & BEC: Einmal erbeutete Token ermöglichen die Übernahme von Konten. Über kompromittierte Unternehmensprofile verbreiten sich Angriffe intern rasch weiter (*ATO Jumping*) und münden in Business E-Mail Compromise (BEC), Datendiebstahl oder Ransomware-Infektionen.
Strategische Analyse
Device Code Phishing zeigt exemplarisch, wie Cyberkriminelle auf die breite Einführung von Multi-Faktor-Authentifizierung (MFA) und den Rückgang klassischer Passwort-Angriffe reagieren. Indem sie keine gefälschten Login-Masken mehr nachbauen müssen, sondern den Anwender auf die reale Microsoft-Infrastruktur schicken, hebeln sie herkömmliche Sicherheitsunterweisungen („Achten Sie auf die Webadresse“) aus. Der Erfolg dieser Angriffswelle beruht nicht auf hoher technischer Raffinesse der einzelnen Angreifer, sondern auf der Kommerzialisierung fertiger PhaaS-Toolkits. Für CISOs bedeutet dies: Der Fokus muss zwingend von der reinen Endnutzer-Sensibilisierung hin zu restriktiven Richtlinien in der Identitäts- und Zugriffsverwaltung (IAM) verlagert werden.
Handlungsempfehlung:
Sicherheitsverantwortliche müssen die Missbrauchsmöglichkeiten von OAuth-Authentifizierungsflüssen in Cloud-Identitätssystemen konsequent unterbinden.
- Device Code Flow in Entra ID deaktivieren: Sperren Sie den OAuth-Geräteautorisierungsfluss (*Device Code Flow*) über Conditional-Access-Richtlinien in Microsoft Entra ID für die breite Belegschaft. Schränken Sie die Nutzung strikt per Allowlist auf spezifische Anwendungsfälle, Betriebssysteme oder dedizierte Admin-IP-Bereiche ein.
- Geräte-Compliance erzwingen: Koppeln Sie den Ressourcenzugriff im Rahmen einer Zero-Trust-Strategie an registrierte und verwaltete Geräte (*Managed Devices*). Dadurch wird verhindert, dass gestohlene Sitzungs-Tokens auf nicht-vertrauenswürdigen Geräten der Angreifer verwendet werden.
- Awareness-Schulungen anpassen: Schulen Sie Mitarbeiter gezielt auf das Phänomen des Device Code Phishings. Nutzer müssen verstehen, dass sie niemals einen von außen oder über unaufgeforderte E-Mails/QR-Codes erhaltenen Code auf Anmeldeseiten (wie
microsoft.com/devicelogin) eingeben dürfen.
„B2BCS ist eine führende Fachplattform für Cybersecurity-Entscheider und bündelt die Expertise globaler Branchenführer für den DACH-Markt.“
Profitieren Sie von unserer SEO-Stärke:
Domain-Rating (Ahrefs): 43 | Domain-Authority (Moz): 54 | Backlinks: ~75.000 | Linking Root Domains: >1.200