Zur Startseite gehen
Beratungstermin vereinbaren
Kategorien

Wichtige Information für unsere Kunden

Microsoft 365: Phishing-Angriffe können MFA umgehen

26.08.2026 | Aktuell beobachten wir bei unseren Kunden Phishing-Angriffe auf Microsoft 365, die zunehmend nicht mehr nur auf Benutzernamen und Passwörter, sondern auch auf Anmeldesitzungen und Zugriffstokens abzielen. Dabei kommen unter anderem Device-Code-Phishing und Adversary-in-the-Middle-Angriffe (AiTM) zum Einsatz. Unter bestimmten Voraussetzungen können Angreifer dadurch auch MFA-Schutzmechanismen umgehen. 

Hintergrund 

Beim Device-Code-Phishing werden Benutzer beispielsweise über vermeintliche Teams-, SharePoint- oder Dokumentenanfragen dazu verleitet, einen Gerätecode zu bestätigen. Besonders tückisch: Die Anmeldung kann dabei auf einer echten Microsoft-Seite erfolgen. Nach erfolgreicher Authentifizierung erhält jedoch der Angreifer ein gültiges Zugriffstoken, das für den Zugriff auf Microsoft-365-Ressourcen missbraucht werden kann. 

Bei AiTM-Phishing wird die Anmeldung über eine vom Angreifer kontrollierte Infrastruktur geleitet. Der Benutzer führt seine Microsoft-Anmeldung einschließlich MFA durch. Dabei können Angreifer die authentifizierte Sitzung bzw. Session-Cookies abgreifen und anschließend für eigene Zugriffe verwenden. 

Klassische MFA-Verfahren wie SMS, Einmalcodes (OTP) oder Push-Bestätigungen bieten daher allein keinen vollständigen Schutz gegen diese Angriffsmethoden. Die von uns analysierte Angriffstechnik unterstützt genau solche kombinierten Token- und Session-Capture-Verfahren. Nach erfolgreicher Kompromittierung können erbeutete Tokens unter anderem für den Zugriff auf E-Mails und weitere Microsoft-365-Ressourcen missbraucht werden. 

Betroffene Systeme und Konten 

Betroffen sind Microsoft-365- und Microsoft-Entra-ID-Umgebungen. Ein besonderes Risiko besteht bei administrativen und privilegierten Konten, da eine erfolgreiche Übernahme hier weitreichende Zugriffe ermöglichen kann.

Handlungsempfehlung 

MFA bleibt eine wichtige grundlegende Schutzmaßnahme. Token- und Session-Phishing-Angriffe zeigen jedoch, dass klassische MFA allein nicht mehr für jedes Angriffsszenario ausreicht. Prüfen Sie daher Ihre Microsoft-365- und Entra-ID-Konfiguration und ergänzen Sie bestehende Schutzmaßnahmen gezielt. 

Wir empfehlen insbesondere: 
  • MFA aktivieren: Ist noch keine MFA eingerichtet, sollte sie für alle Benutzer aktiviert werden. Administrative und besonders schützenswerte Konten sollten zuerst berücksichtigt werden. 
  • Phishing-resistente MFA einführen: Bestehende MFA-Verfahren schrittweise auf phishing-resistente Methoden wie FIDO2-Sicherheitsschlüssel, Passkeys oder Windows Hello for Business umstellen. Für privilegierte Konten sollte phishing-resistente MFA verpflichtend sein. 
  • Device Code Flow einschränken: Wird dieser im Unternehmen nicht benötigt, sollte er über Microsoft Entra Conditional Access blockiert werden. Vor der Aktivierung sollte die Richtlinie im Report-only-Modus getestet werden. 
  • Zugriffe zusätzlich absichern: Für sensible Ressourcen nach Möglichkeit über Conditional Access nur verwaltete bzw. konforme Geräte zulassen. 
  • Token Protection prüfen: Für unterstützte Anwendungen kann Microsoft Entra Token Protection die Wiederverwendung gestohlener Sitzungstokens zusätzlich erschweren. 
  • Anmeldungen geografisch einschränken: Länder und Regionen, aus denen keine legitimen Anmeldungen zu erwarten sind, sollten über Conditional Access blockiert werden. Erforderliche Ausnahmen, etwa für Geschäftsreisen und Notfallkonten, müssen dabei berücksichtigt werden. 
  • Mitarbeitende sensibilisieren: Unerwartete Aufforderungen zur Eingabe oder Bestätigung eines Gerätecodes – beispielsweise über Teams, E-Mail oder vermeintliche Dokumentfreigaben – sollten als verdächtig behandelt und der IT gemeldet werden. 
Gerne unterstützen wir Sie bei der Überprüfung Ihrer Microsoft-365- und Entra-ID-Umgebung und der Umsetzung geeigneter Schutzmaßnahmen.

Die bereitgestellten Informationen dienen als unverbindliche Orientierungshilfe. Die Prüfung und Umsetzung im eigenen System liegt in der Verantwortung des jeweiligen Administrators. Sollten Sie Fragen haben oder Unterstützung benötigen, stehen wir Ihnen gerne zur Verfügung.

Weiterführende Informationen 

Microsoft beschreibt aktuelle Device-Code-Phishing-Kampagnen und empfiehlt unter anderem das Einschränken des Device Code Flow sowie phishing-resistente Authentifizierung. Das FBI warnt zusätzlich vor dem Diebstahl von Session-Cookies zur Umgehung von MFA. Auch CISA und BSI empfehlen phishing-resistente Authentifizierungsverfahren: