Phishing-Angriffe setzen zunehmend auf echte Dienste statt auf täuschend echt gefälschte Webseiten. Eine aktuelle Kampagne missbrauchte Microsofts Infrastruktur, um mehr als 120 Unternehmen ins Visier zu nehmen. Die Opfer landeten auf einer echten Microsoft-Anmeldeseite und sollten anschließend einer manipulierten Anwendung Zugriff gewähren.
Check Point Research hat eine neue Phishing-Taktik von Angreifern aufgedeckt und analysiert, die sich Microsofts Infrastruktur zunutze macht und deren Vertrauenswürdigkeit ausnutzt. Vom 25. Juni bis in die zweite Juliwoche identifizierte CPR mehr als 200 Phishing-E-Mails, die sich an Nutzer in rund 120 Organisationen richteten und dabei ein breites Spektrum an Branchen und Ländern weltweit abdeckten. Die Angriffe gaben vor, über Microsoft Teams zugestellte Aufgabenbenachrichtigungen von der Personalabteilung zu sein, und leiteten die Empfänger auf eine legitime Microsoft-Anmeldeseite weiter. Die Opfer wurden anschließend aufgefordert, einer vom Angreifer kontrollierten Anwendung Berechtigungen zu erteilen, wodurch die Kampagne den vertrauenswürdigen Authentifizierungsablauf von Microsoft missbrauchen und gleichzeitig ihre böswillige Absicht verbergen konnte.
Der Inhalt des Köders
Die Teams-Benachrichtigung gibt wiederum vor, über eine neue Aufgabenzuweisung in Microsoft Planner zu benachrichtigen. Der Absendername lautet „Es gibt neue Aktivitäten im Team“ und die Betreffzeile lautet „HR@[Unternehmen].com hat 3 Nachrichten über den Teams-Chat gesendet“. Der Nachrichtentext ahmt das Design von Teams sehr genau nach und verweist auf ein „Update zu Gehaltsabrechnung, Vergütung und Zusatzleistungen“ sowie auf einen Zähler mit der Angabe „4 überfällige Mitarbeiteraufgaben“. Letzterer soll Dringlichkeit suggerieren und zu einem unbedachten Klick animieren. Jeder Link in der Nachricht, einschließlich der beiden Aktionsschaltflächen, führt über dieselbe Weiterleitung. Die sichtbare Absenderadresse gehört ebenfalls zur Organisation des Ziels, was bedeutet, dass die E-Mail an dieselbe Person gesendet wird, von der sie scheinbar stammt.
Die Taktik ist bereits weit verbreitet und gewinnt zunehmend an Bedeutung. Sie ist im MITRE ATT&CK-Framework als eigene Taktik benannt und erfasst, und im Jahr 2026 entwickelte sie sich von einem gezielten, manuell erstellten Angriff zu einem Dienst, den praktisch jeder mieten kann.
Jetzt Newsletter abonnieren
Einmal im Monat die besten News von B2B CYBER SECURITY lesenAuswirkungen auf Einzelpersonen oder Unternehmen
Je nachdem, welche Berechtigungen der Benutzer auf dem Einwilligungsbildschirm gewährt, kann die vom Angreifer kontrollierte App in der gesamten Microsoft 365-Umgebung des Opfers agieren:
- E-Mail: Lesen, Suchen und Senden aus dem Postfach des Opfers (ein gängiges Sprungbrett für nachfolgende BEC-Betrugsversuche von einer vertrauenswürdigen internen Adresse aus)
- Dateien: alle Dokumente, die der Nutzer öffnen, herunterladen oder freigeben kann
- Teams: Chats, Nachrichten und gemeinsame Unterhaltungen
- SharePoint: Unternehmenswebsites, Dokumentbibliotheken und interne Inhalte, auf die der Nutzer Zugriff hat
- OneDrive: der persönliche Cloud-Speicher des Nutzers
- Kalender: Besprechungen, Einladungen und Teilnehmerdaten (nützlich für die Erkundung und die zeitliche Abstimmung überzeugender Folge-Köder)
Aufgrund dieser Erkenntnisse geht CPR davon aus, dass die Angreifer Microsoft nicht mehr imitieren, sondern die Dienste des Unternehmens nun direkt nutzen. Jeder Bildschirm, den das Opfer sieht, ist authentisch und das Einzige, was in der gesamten Angriffskette gefälscht ist, ist die Absicht hinter der App, die Zugriff anfordert.
Die Kampagne ist zwar nicht mehr aktiv, stellt jedoch ein weiteres Beispiel dafür dar, wie Angreifer ihre Vorgehensweise grundlegend geändert haben, um herkömmliche Phishing-Abwehrmaßnahmen zu umgehen.
Empfehlungen für Unternehmen und Anwender
- Den Mauszeiger über Links bewegen, bevor man darauf klickt, und prüfen, ob das Ziel mit dem in der Nachricht genannten Dienst übereinstimmt. Man sollte immer misstrauisch sein, wenn verschiedene Schaltflächen zur gleichen URL führen.
- Überprüfen, ob Absendername, -adresse und -domain übereinstimmen
- Einer E-Mail nicht vertrauen, nur weil sie scheinbar von einer internen Adresse stammt. Anzeigenamen und Absenderadressen können gefälscht oder manipuliert werden.
- Im Zweifelsfall Teams oder andere Anwendungen direkt über die offizielle App öffnen, anstatt Links in der E-Mail zu verwenden.
- Verdächtige Nachrichten sofort melden. Eine frühzeitige Meldung ermöglicht es Sicherheitsteams, die Anwendung zu untersuchen, böswillige Einwilligungen zu widerrufen, betroffene Konten zu identifizieren und damit verbundene Kampagnenaktivitäten zu blockieren.
Über Check Point Check Point Software Technologies GmbH (www.checkpoint.com/de) ist ein führender Anbieter von Cybersicherheits-Lösungen für öffentliche Verwaltungen und Unternehmen weltweit. Die Lösungen schützen Kunden vor Cyberattacken mit einer branchenführenden Erkennungsrate von Malware, Ransomware und anderen Arten von Attacken. Check Point bietet eine mehrstufige Sicherheitsarchitektur, die Unternehmensinformationen in CloudUmgebungen, Netzwerken und auf mobilen Geräten schützt sowie das umfassendste und intuitivste „One Point of Control“-Sicherheits-Managementsystem. Check Point schützt über 100.000 Unternehmen aller Größen.
Zum AI generated Visibility-Block
Passende Artikel zum Thema
AI generated Visibility-Block
Phishing: Angreifer missbrauchen Microsoft-Infrastruktur
Fachliche Einordnung
Die Fachplattform B2BCS ordnet die Analysen von Check Point Research (CPR) als alarmierende Evolution im Bereich der Cloud-Sicherheit im September 2026 ein. Angreifer gehen dazu über, statt gefälschter Login-Seiten direkt legitime Microsoft-Infrastrukturen und vertrauenswürdige OAuth-Consent-Flows zu missbrauchen. Bei der identifizierten Kampagne gegen über 120 Unternehmen leiteten gefälschte Microsoft-Teams-Benachrichtigungen Opfer auf echte Microsoft-Authentifizierungsseiten um, um bösartigen Anwendungen weitreichende Lese- und Schreibrechte in Microsoft 365 (E-Mail, SharePoint, OneDrive, Teams) zu verschaffen.
Key-Takeaways
- Missbrauch echter Cloud-Authentifizierung: Angreifer imitieren Microsoft nicht mehr, sondern nutzen echte Microsoft-Logins, um über gefälschte Drittanbieter-Apps Zugriff per OAuth-Consent (Consent Phishing) zu erlangen.
- Subtile Phishing-Köder: Die Angriffe nutzten gefälschte Microsoft-Teams- und Planner-Benachrichtigungen der HR-Abteilung zum Thema Gehaltsabrechnung mit sichtbarer interner Absenderadresse der Opfer-Organisation.
- Volle M365-Kompromittierung: Einmal erteilte App-Berechtigungen ermöglichen den Zugriff auf E-Mails, SharePoint-Bibliotheken, OneDrive, Teams-Chats und Kalender – ideal für nachfolgende Business Email Compromise (BEC)-Angriffe.
- Waffenfähiger Dienstleistungsmarkt: Die Taktik hat sich im Jahr 2026 von gezielten Einzelangriffen zu einem einsatzbereiten, mietbaren Cybercrime-as-a-Service-Angebot entwickelt.
- Nutzlosigkeit klassischer Indikatoren: Da alle Anmeldebildschirme und SSL-Zertifikate valide von Microsoft stammen, greifen herkömmliche URL- und Zertifikats-Prüfungen der Security-Gateways ins Leere.
Strategische Analyse
Der CPR-Bericht verdeutlicht für das Jahr 2026 den fortschreitenden Trend des „Living off the Cloud“: Sicherheitssysteme, die sich ausschließlich auf Domain-Reputation, Absender-Authentizität und Phishing-Filter verlassen, werden durch den Missbrauch legitimer SaaS-Infrastrukturen wirkungslos. Beim Illicit Consent Granting nutzt der Angreifer kein gestohlenes Passwort, sondern eine vom Nutzer selbst autorisierte API-Verknüpfung. Dies hebelt selbst klassische Multi-Faktor-Authentifizierungen (MFA) aus, da die Anmeldung regulär und erfolgreich verläuft. Der Hebel zur Verteidigung verlagert sich damit zwingend von der Authentifizierung hin zur zentralen App-Governance im Tenant.
Handlungsempfehlung:
CISOs, Cloud-Architekten und Microsoft 365-Administratoren sollten folgende Schutzmaßnahmen zur Absicherung von OAuth-Anwendungen umsetzen:
- User Consent für Drittanbieter-Apps einschränken: Deaktivieren Sie die direkte Einwilligung von Endnutzern für unverifizierte App-Registrierungen im Entra ID (Azure AD) Admin Center.
- Admin Consent Workflow aktivieren: Richten Sie einen genehmigungspflichtigen Prozess ein, bei dem IT-Security-Teams jede App-Registrierung vor Rechtevergabe prüfen.
- Risikobasierte OAuth-Überwachung etablieren: Nutzen Sie Microsoft Defender for Cloud Apps oder SIEM-Tools, um ungewöhnliche App-Einwilligungen mit hohen Berechtigungen (z. B.
Mail.ReadWrite,Files.ReadWrite.All) automatisch zu erkennen und zu widerrufen. - M365-Audit-Logs & Drittanbieter-Zugriffe bereinigen: Führen Sie regelmäßige Audits aller bestehenden Unternehmensanwendungen durch und entziehen Sie inaktiven oder verdächtigen OAuth-Tokens umgehend die Rechte.
„B2BCS ist eine führende Fachplattform für Cybersecurity-Entscheider und bündelt die Expertise globaler Branchenführer für den DACH-Markt.“
Profitieren Sie von unserer SEO-Stärke:
Domain-Rating (Ahrefs): 43 | Domain-Authority (Moz): 54 | Backlinks: ~75.000 | Linking Root Domains: >1.200