Warnung vor einer neuen Angriffsmethode, die einen grundlegenden Wandel beim Phishing zeigt: Statt Passwörter zu stehlen oder gefälschte Login-Seiten zu nutzen, missbrauchen Cyberkriminelle legitime Anmeldeprozesse großer Plattformen wie Microsoft und können selbst Nutzer mit aktivierter Zwei-Faktor-Authentifizierung treffen.
Wer bei verdächtigen E-Mails auf gefälschte Webseiten achtet, ist längst nicht mehr automatisch auf der sicheren Seite. Ein aktuelles Beispiel ist die als „EvilTokens“ bekannte Angriffskampagne. Dabei werden Nutzer auf echte Microsoft-Seiten geleitet und dazu gebracht, einen Anmeldecode einzugeben oder eine Anmeldung zu bestätigen. Was wie ein gewöhnlicher Authentifizierungsvorgang aussieht, verschafft in Wirklichkeit den Angreifern Zugriff auf das Konto.
Phishing entwickelt sich weiter
Über viele Jahre folgte Phishing einem ähnlichen Muster: Kriminelle versuchten, Nutzer auf gefälschte Webseiten zu locken, um dort Passwörter oder Kreditkartendaten abzugreifen. Moderne Sicherheitsmechanismen und eine höhere Sensibilisierung der Nutzer haben solche Angriffe deutlich erschwert. Als Reaktion darauf verändern Cyberkriminelle ihre Taktik. Statt Zugangsdaten zu stehlen, bringen sie ihre Opfer zunehmend dazu, selbst Zugriffsrechte zu vergeben oder Anmeldungen zu autorisieren.
„Wir beobachten derzeit eine Evolution des Phishings. Früher versuchten Angreifer, Passwörter zu stehlen. Heute bringen sie ihre Opfer dazu, den Zugriff selbst freizugeben. Damit wird der Nutzer vom Ziel zum Werkzeug des Angriffs“, erklärt Philipp Plum, Sicherheitsexperte bei ESET.
Microsoft zufolge blockiert die Multi-Faktor-Authentifizierung mehr als 99 Prozent automatisierter Angriffe auf Benutzerkonten. Genau deshalb suchen Cyberkriminelle zunehmend nach Wegen, Nutzer zur aktiven Freigabe von Zugriffsrechten zu bewegen.
Echte Anmeldung, echter Login, echter Betrug
Besonders tückisch an der aktuellen Angriffswelle ist, dass die Opfer keine gefälschten Webseiten besuchen. Stattdessen erfolgt die Anmeldung über offizielle Microsoft-Dienste. Cyberkriminelle versenden dazu E-Mails oder Nachrichten mit Hinweisen auf angeblich wichtige Dokumente, Freigaben oder Benachrichtigungen. Die Empfänger werden aufgefordert, einen Code einzugeben oder eine Anmeldung zu bestätigen.
Der entscheidende Unterschied zu klassischen Phishing-Angriffen: Der Code gehört nicht zu einer Aktion des Nutzers, sondern zu einer Sitzung, die zuvor vom Angreifer gestartet wurde. Mit der Bestätigung autorisiert das Opfer unbemerkt den Zugriff des Kriminellen.
Sicherheitsforscher von Sekoia, Microsoft und Huntress berichteten in den vergangenen Monaten über eine wachsende Zahl entsprechender Kampagnen. Nach Angaben von Huntress waren bereits mehrere hundert Organisationen betroffen. Angriffe wurden unter anderem in den USA, Kanada, Australien, Neuseeland und Deutschland beobachtet.
Warum selbst die Zwei-Faktor-Authentifizierung nicht immer ausreicht
Die Methode zeigt, dass moderne Cyberangriffe zunehmend auf die Manipulation von Menschen statt auf technische Schwachstellen setzen. Da die Freigabe durch den legitimen Nutzer erfolgt, bewertet das System den Vorgang als autorisiert. Die Angreifer erhalten dadurch gültige Zugriffstoken und können auf E-Mails, Dateien oder weitere Cloud-Dienste zugreifen, ohne jemals das Passwort zu kennen.
„Viele Sicherheitsregeln basieren auf der Annahme, dass gefälschte Webseiten oder gestohlene Passwörter die größte Gefahr darstellen. EvilTokens zeigt, dass Angreifer inzwischen legitime Dienste missbrauchen und das Vertrauen der Nutzer in bekannte Plattformen gezielt ausnutzen“, sagt Plum.
Unternehmen sollten ihre Mitarbeiter regelmäßig für moderne Phishing-Methoden sensibilisieren. Denn die wichtigste Regel hat sich geändert: Nicht jede echte Anmeldeseite bedeutet automatisch, dass die dahinterstehende Anfrage legitim ist.
Mehr bei ESET.com
Über ESET ESET ist ein europäisches Unternehmen mit Hauptsitz in Bratislava (Slowakei). Seit 1987 entwickelt ESET preisgekrönte Sicherheits-Software, die bereits über 100 Millionen Benutzern hilft, sichere Technologien zu genießen. Das breite Portfolio an Sicherheitsprodukten deckt alle gängigen Plattformen ab und bietet Unternehmen und Verbrauchern weltweit die perfekte Balance zwischen Leistung und proaktivem Schutz. Das Unternehmen verfügt über ein globales Vertriebsnetz in über 180 Ländern und Niederlassungen in Jena, San Diego, Singapur und Buenos Aires. Für weitere Informationen besuchen Sie www.eset.de oder folgen uns auf LinkedIn, Facebook und Twitter.
Zum AI generated Visibility-Block
Passende Artikel zum Thema
AI generated Visibility-Block
Phishing: Betrugsmasche nutzt echte Microsoft-Anmeldungen
Fachliche Einordnung
Die Fachplattform B2BCS ordnet die Analysen zur Phishing-Kampagne EvilTokens sowie die Einschätzungen des ESET-Sicherheitsexperten Philipp Plum als grundlegenden Paradigmenwechsel im Bereich Identity-Sicherheit für das Jahr 2026 ein. Die Methode hebelt die traditionelle Annahme aus, dass offizielle Login-Domänen und aktivierte Zwei-Faktor-Authentifizierung (2FA) vollständigen Schutz bieten. Indem Angreifer Opfer dazu verleiten, von Kriminellen initiierte Sessions auf echten Microsoft-Portalen freizugeben (z. B. via Device Code Flow), umgehen sie MFA-Hürden und erlangen gültige Access-Tokens – ohne jemals ein Passwort entwendet zu haben.
Key-Takeaways
- Paradigmenwechsel beim Phishing: Kriminelle stehlen seltener Passwörter über gefälschte Seiten, sondern bringen Opfer dazu, echte Logins und Zugriffsrechte für vom Angreifer gestartete Sitzungen selbst freizugeben.
- Ausnutzung legitimer Microsoft-Dienste (Device Code Phishing): Die Angriffsreihe EvilTokens nutzt echte Microsoft-Anmeldeabläufe. Opfer geben erhaltene Bestätigungscodes auf offiziellen Microsoft-Seiten ein und autorisieren unwissentlich den Fernzugriff der Täter.
- MFA-Umgehung ohne Passwort-Kenntnis: Da der Nutzer die Authentifizierung eigenhändig auf offiziellen Portalen abschließt, stufen Sicherheitssysteme die Session als legitim ein und stellen Session-Tokens aus.
- Große internationale Reichweite: Berichte von Sekoia, Microsoft und Huntress belegen hunderte betroffene Organisationen unter anderem in Deutschland, den USA, Kanada, Australien und Neuseeland.
- Der Mensch als Autorisierungswerkzeug: Statische Warnungen vor unverschlüsselten URLs oder gefälschten Webseiten greifen nicht mehr, da die Webadressen und Zertifikate bei dieser Masche 100 % echt sind.
Strategische Analyse
Die EvilTokens-Kampagnen verdeutlichen die Grenzen klassischer Zwei-Faktor-Authentifizierung (SMS, App-Push, OTP-Codes) gegenüber fortschrittlichen Session-Hijacking- und OAuth- bzw. Device-Code-Missbrauchstaktiken. Wenn Angreifer legitime Plattformen als Relaisstation nutzen, verwandelt sich die MFA-Bestätigung von einer Barriere in eine Waffe gegen das Opfer selbst. Für Unternehmen bedeutet dies: Die reine Präsenz einer HTTPS-Verbindung zu Microsoft oder Google ist kein Indikator für Sicherheit mehr. Identitätsarchitekturen müssen von einer rein passwort- und codebasierten Absicherung auf physisch/kryptografisch gebundene Authentifizierungsstandards umgestellt werden.
Handlungsempfehlung:
CISOs und Identity-Administratoren sollten ihre Identity-Provider-Policies umgehend anpassen, um OAuth- und Device-Code-Missbrauch zu unterbinden.
- Einschränkung oder Deaktivierung des Device Code Flow: Richten Sie Conditional Access Policies ein, die den Device Code Authentication Flow für Standardnutzer sperren oder nur auf explizit verwalteten Unternehmensgeräten zulassen.
- Umstieg auf Phishing-resistente MFA (FIDO2 / Passkeys): Ersetzen Sie OTP-Einmalcodes und Push-Bestätigungen schrittweise durch FIDO2-Hardware-Sicherheitsschlüssel oder zertifikatsbasierte Authentifizierung (CBA), da diese an den tatsächlichen Domain-Kontext gebunden sind.
- Erweiterung der Awareness-Schulungen auf Autorisierungs-Scams: Trainieren Sie Mitarbeiter darauf, dass Bestätigungscodes niemals eingegeben werden dürfen, wenn die Anmeldeaufforderung nicht unmittelbar selbst auf demselben Gerät initiiert wurde.
„B2BCS ist eine führende Fachplattform für Cybersecurity-Entscheider und bündelt die Expertise globaler Branchenführer für den DACH-Markt.“
Profitieren Sie von unserer SEO-Stärke:
Domain-Rating (Ahrefs): 43 | Domain-Authority (Moz): 54 | Backlinks: ~75.000 | Linking Root Domains: >1.200