Gerätecode-Phishing: Wie Angreifer Microsoft 365 kapern

Phishing verändert sich. Der typische Angriff kopierte viele Jahre lang eine Anmeldeseite und wartete darauf, dass ein Opfer ein Passwort eingab. Heutzutage benötigt eine wachsende Gruppe von Angreifern überhaupt kein Passwort mehr. In der vergangenen Woche berichteten mehrere Sicherheitsanbieter und Nachrichtenagenturen über Gerätecode-Phishing, eine Technik, die eine echte Microsoft-Anmeldefunktion missbraucht, um Konten zu übernehmen, selbst wenn die Multi-Faktor-Authentifizierung (MFA) aktiv ist. In diesem Artikel wird erklärt, was Gerätecode-Phishing ist, warum es effektiv ist, was die neuesten Berichte zeigen und wie Unternehmen das Risiko reduzieren können.

Was ist Gerätecode-Phishing?

Der OAuth 2.0-Geräteautorisierungsablauf wurde für Geräte entwickelt, die keine Tastatur oder nur einen kleinen Bildschirm haben, wie z. B. Smart-TVs, Konferenzraumgeräte und Befehlszeilentools. Das Gerät zeigt einen Kurzcode an. Der Benutzer öffnet dann eine Microsoft-Seite auf einem Telefon oder Computer, gibt diesen Code ein und meldet sich an. Nachdem der Benutzer die Anfrage genehmigt hat, stellt Microsoft ein Zugriffstoken für dieses Gerät aus.

Bei einem Gerätecode-Phishing-Angriff startet der Kriminelle diesen Vorgang auf seinem eigenen System und überredet dann das Opfer, ihn abzuschließen. Das Opfer erhält auf einer gefälschten Seite einen Code und wird aufgefordert, diesen auf der Anmeldeseite des echten Microsoft-Geräts einzugeben. Das Opfer meldet sich an und übergibt die MFA wie gewohnt. Microsoft gibt den Token dann an den Angreifer weiter, nicht an das Opfer. Es wird kein Passwort gestohlen und die Anmeldung sieht in den Protokollen von Microsoft Entra ID – dem Identitätsdienst hinter Microsoft 365 – wie eine normale Gerätecode-Authentifizierung aus.

Warum diese Technik effektiv ist

Mehrere Eigenschaften machen es schwierig, den Angriff mit den Kontrollmaßnahmen zu stoppen, die die meisten Unternehmen heute einsetzen:

• Die Anmeldeseite ist echt. Das Opfer gibt den Code auf einer Microsoft-Website ein, sodass URL-Prüfungen und das Vorhängeschloss-Symbol im Webbrowser keine Warnung auslösen.
• MFA blockiert den Angriff nicht. Das Opfer führt den MFA-Schritt persönlich durch und die Genehmigung wird der Sitzung des Angreifers erteilt.
• Ein Token ermöglicht breiten Zugriff. Mit einem Token können E-Mails, Dateien, Chats und alle über Entra ID verbundenen Anwendungen geöffnet werden. Der Angreifer kann auch neue Phishing-Nachrichten vom vertrauenswürdigen Konto an Kollegen, Kunden und Partner senden.
• Passwörter sind nicht beteiligt. Durch das Zurücksetzen des Passworts allein wird der Zugriff, den das Token bietet, nicht entfernt, daher müssen auch die Sitzungen widerrufen werden.

Was die neuesten Berichte zeigen

SkyW4lker wächst schnell

Am 4. November 2026 fasste Cyber ​​Security News die Recherchen von ANY.RUN zu einem Phishing-Kit namens SkyW4lker zusammen. Diesem Bericht zufolge erschien das Phishing-Kit erstmals am 23. Juni 2026. ANY.RUN verfolgte zwischen Juni und 21. Oktober 2026 618 Sandbox-Analysen, die mit dem Phishing-Kit verknüpft waren. Die monatlichen Einsendungen stiegen von 20 im Juni auf 200 im September, und fast die Hälfte der Einsendungen kam aus den Vereinigten Staaten. Technologie-, Fertigungs- und Regierungsorganisationen waren die häufigsten Einsender.

Die Angriffskette beginnt mit einer E-Mail über einen Vertrag, eine Rechnung oder eine Zahlungsmitteilung. Eine passwortgeschützte PDF-, Word- oder Excel-Datei wird angehängt und das Passwort in den E-Mail-Text geschrieben. Die Verschlüsselung verhindert, dass viele Sicherheitsscanner diese Datei lesen. Dieses Dokument enthält einen Link, normalerweise zu einer CAPTCHA-Seite, die automatische Scanner blockiert. Das Opfer sieht dann eine gebrandete Seite mit einem Gerätecode und der Anweisung, diesen auf der Anmeldeseite des Microsoft-Geräts einzugeben. Teile der Kette werden auf vertrauenswürdigen Diensten wie Google Sites, Miro, Zoom und Smartsheet gehostet, sodass die Links Reputationsprüfungen bestehen können. ANY.RUN verknüpft dieses Phishing-Kit außerdem mit großer Sicherheit mit einem Credential-Phishing-Kit namens Gabagool, was darauf hindeutet, dass ein Entwickler beide Produkte entwickelt hat.

Gefälschte Einladungen zu KI-Veranstaltungen

Am 6. November 2026 berichtete TechRadar über Untersuchungen von Push Security zu Phishing-Seiten, die für Veranstaltungen bekannter KI- und Technologieunternehmen werben. Zu den Verlockungen gehörten ein Livestream, ein privates Briefing und eine Konferenzpräsentation. Den Besuchern wurden Belohnungen versprochen, etwa ein kostenloses Abonnement für einen KI-Dienst, und sie wurden aufgefordert, sich zunächst mit einem Microsoft- oder Google-Konto anzumelden. Dem Bericht zufolge nutzte die Microsoft-Route die Kali365-Plattform für Gerätecode-Phishing, und eine zweite Plattform namens VoidProxy erbeutete weitere Anmeldeinformationen und Sitzungscookies. Für Google-Konten fungierte VoidProxy als Reverse-Proxy, der die echte Anmeldeseite weiterleitete und das Passwort, die MFA-Antwort und das Sitzungscookie kopierte. Die Forscher stellten fest, dass das Interesse der Mitarbeiter an neuen KI-Tools solche Köder wirksam macht.

Breiterer Trend im Trellix-Bericht

Der Trellix CyberThreat Report für November 2026 deckt den Zeitraum von April bis September 2026 ab. Darin heißt es, dass Gerätecode- und OAuth-Missbrauch in 2,7 Prozent der Kampagnen auftrat, verglichen mit 1,3 Prozent zuvor. Der Bericht nennt Kali365, EvilTokens und Forg365 als Phishing-as-a-Service-Kits, die den Microsoft-Geräteautorisierungsfluss nutzen, um Entra-ID-Tokens zu stehlen. Außerdem werden Voice-Phishing-Kampagnen beschrieben, bei denen sich Angreifer als IT-Mitarbeiter ausgeben, um Single-Sign-On- und Microsoft-365-Umgebungen zu kompromittieren. Zusammengenommen zeigen diese Ergebnisse, dass sich Identitätsangriffe von gestohlenen Passwörtern auf gestohlene Sitzungen und Token verlagern.

Wie Organisationen das Risiko reduzieren können

Die Berichte schlagen einige Maßnahmen vor:

1. Beschränken Sie den Gerätecodefluss. Die meisten Unternehmen benötigen diesen Ablauf nur für einige wenige Geräte, beispielsweise Besprechungsraumsysteme oder Befehlszeilentools. Eine Richtlinie für bedingten Zugriff in Microsoft Entra kann den Fluss für alle anderen Benutzer und Szenarien blockieren. ANY.RUN beschreibt diese einzelne Kontrolle als diejenige, die den Nutzen des Angriffs zunichte macht.
2. Überwachen Sie Anmeldeprotokolle. Suchen Sie nach Gerätecode-Authentifizierungen und vergleichen Sie die Zeitstempel mit verdächtigen E-Mails oder Dokumentenfreigabebenachrichtigungen, die vom selben Benutzer empfangen wurden. Eine Gerätecode-Anmeldung wenige Minuten nach einer Rechnungs-E-Mail ist ein starkes Warnzeichen.
3. Bereiten Sie einen Reaktionsplan für Token-Diebstahl vor. Wenn eine Kompromittierung vermutet wird, widerrufen Sie die Sitzungen, setzen Sie die Anmeldeinformationen zurück, überprüfen Sie die Postfachregeln und Anwendungseinwilligungen und überprüfen Sie ausgehende E-Mails auf Nachrichten, die an Kollegen und Partner gesendet werden.
4. Überprüfen Sie Anhänge in einer Sandbox. Passwortgeschützte Dateien und CAPTCHA-geschützte Links sollen ein automatisches Scannen verhindern. Eine isolierte Testumgebung kann die Datei öffnen, das Passwort eingeben und den realen Netzwerkverkehr beobachten.
5. Schulen Sie Ihre Mitarbeiter anhand einer klaren Regel. Ein Benutzer sollte einen Gerätecode nur dann eingeben, wenn er oder sie persönlich eine Anmeldung auf einem Gerät gestartet hat. Ein Code, der über eine E-Mail, ein Dokument oder eine Webseite eingeht, ist ein Grund, innezuhalten und die IT-Abteilung anzurufen.