Microsoft 365: Neue Phishing-Welle überflutet deutsche Unternehmen

Eine neue, hochprofessionelle Phishing-Kampagne nutzt gefälschte Microsoft-Benachrichtigungen, um Unternehmensdaten zu stehlen und umgeht dabei gängige Sicherheitsbarrieren wie die Zwei-Faktor-Authentifizierung.

Eine hochprofessionelle Angriffswelle zielt mit täuschend echten Microsoft-Benachrichtigungen auf deutsche Firmen. Die Betrüger umgehen gängige Sicherheitsbarrieren und stellen eine massive Bedrohung dar.

In diesen Tagen schlagen IT-Sicherheitsexperten Alarm: Eine neue, äußerst raffinierte Phishing-Kampagne überschwemmt die Postfächer deutscher Microsoft-365-Nutzer. Die Angreifer setzen keine plumper Fälschungen ein, sondern perfekt imitierte Warnungen zu Abrechnungen oder Systemproblemen. Ihr Ziel: sensible Unternehmensdaten erbeuten. Die Kampagne ist so ausgeklügelt, dass selbst etablierte Sicherheitsprüfungen oft versagen.

Die perfide Masche: Betrug aus der Microsoft-Infrastruktur

Das Besondere an dieser Angriffswelle ist ihre technische Tiefe. Cyberkriminelle missbrauchen gezielt Microsofts eigene Dienste, um ihren Betrug zu tarnen. Eine besonders heimtückische Methode nutzt Microsoft Entra ID (ehemals Azure Active Directory). Dabei schleusen die Täter betrügerische Inhalte in offizielle System-E-Mails ein. Das Ergebnis: Die Nachrichten stammen von legitimen Microsoft-Servern und bestehen alle technischen Authentifizierungstests. Für den Empfänger wirken sie absolut vertrauenswürdig.

Anzeige

Diese raffinierten Microsoft‑Phishing‑Methoden zeigen, wie knapp Unternehmen heute an der Kompromittierung vorbeischrammen. Ein kostenloses Anti‑Phishing‑Paket erklärt in einer klaren 4‑Schritte‑Anleitung, wie Sie CEO‑Fraud, Echtzeit‑Phishing via SharePoint und manipulierte Entra‑ID‑Meldungen erkennen, psychologische Angriffe entschärfen und technische Härtungsmaßnahmen einführen. Ideal für IT‑Verantwortliche und Entscheider, die Angriffsflächen schnell schließen wollen. Anti‑Phishing‑Paket jetzt herunterladen

Eine zweite, weit verbreitete Masche sind gefälschte Rechnungsmails. Diese behaupten, ein Microsoft-365-Abo werde automatisch zu horrenden Preisen – oft im dreistelligen Bereich – verlängert. Der Haken liegt nicht in einem Link, sondern in einer angegebenen Telefonnummer. Wer aus Sorge dort anruft, landet bei einer gefälschten Microsoft-Hotline. Geschulte Betrüger überreden die Anrufer dann, eine Fernwartungssoftware zu installieren. Diese öffnet den Angreifern Tür und Tor zum gesamten Rechner.

Echtzeit-Phishing umgeht sogar die Zwei-Faktor-Authentifizierung

Eine weitere Gefahr lauert in scheinbaren Einladungen zur Kollaborationsplattform SharePoint. Die Opfer erhalten eine E-Mail mit einem Link zu einem „geteilten Dokument“. Dieser führt zunächst auf eine echte Microsoft-Seite. Ein zweiter Link innerhalb des Dokuments leitet jedoch auf eine gefälstigte Anmeldeseite um. Die Täter nutzen die dort eingegebenen Zugangsdaten in Echtzeit, um sich im echten Konto anzumelden.

Das Perfide: Selbst die Zwei-Faktor-Authentifizierung (2FA) bietet hier keinen sicheren Schutz. Die Angreifer leiten die 2FA-Abfrage einfach an das ahnungslose Opfer weiter, das den Code dann auf der betrügerischen Seite eingibt. Damit ist die letzte Sicherheitsbarriere gefallen.

Professionelle Cyberkriminalität fordert die IT-Sicherheit heraus

Diese Angriffswelle zeigt die zunehmende Professionalisierung der Cyberkriminalität. Es handelt sich nicht um einfachen Spam, sondern um technisch anspruchsvolle Operationen, die das Vertrauen in digitale Infrastrukturen untergraben. Klassische Spam-Filter, die verdächtige Absender blockieren, sind hier machtlos. Die E-Mails kommen ja scheinbar von vertrauenswürdigen Quellen.

Die psychologische Komponente verstärkt die Gefahr. Durch das Erzeugen von Druck – etwa mit angeblichen Sofortzahlungen – bringen die Betrüger Mitarbeiter dazu, unüberlegt zu handeln. Der Faktor Mensch bleibt das größte Einfallstor.

So können sich Unternehmen schützen

Angesichts dieser Bedrohung sind kombinierte Maßnahmen entscheidend. Technische Lösungen allein reichen nicht mehr aus.

• Sensibilisierung der Mitarbeiter ist zentral: Regelmäßige Schulungen müssen für die neuen Gefahren sensibilisieren. Eine goldene Regel: Nie eine in einer E-Mail angegebene Support-Nummer anrufen. Stets die offizielle Kontaktmöglichkeit von der Unternehmenswebsite nutzen.
• Vorsicht bei allen Aufforderungen: Extreme Skepsis ist geboten bei Mails, die zu unerwarteten Handlungen wie Anrufen oder Dateneingaben auffordern.
• Links und Absender prüfen: Vor dem Klick sollte die URL im Browser genau kontrolliert werden. Auch bei vertrauenswürdig wirkenden Absendern gilt: im Zweifel nicht interagieren.
• Technische Absicherung verstärken: Unternehmen sollten fortschrittliche E-Mail-Sicherheit nutzen, die auf Verhaltensanalyse und Anomalie-Erkennung setzt. Wo möglich, sollten widerstandsfähigere Multi-Faktor-Authentifizierungs-Methoden (MFA) aktiviert werden.
• Im Schadensfall schnell handeln: Bei einem Verdacht muss das betroffene System sofort vom Netzwerk getrennt werden. Passwörter sind zu ändern und der Vorfall der IT-Abteilung sowie der Polizei zu melden.

Die aktuelle Lage macht deutlich: Nur eine Kultur der digitalen Achtsamkeit, gepaart mit robusten technischen Maßnahmen, kann Unternehmen wirksam vor diesen ausgeklügelten Angriffen schützen.

PS: Sie wollen konkreten Schutz für Ihr Unternehmen? Das kostenlose Anti‑Phishing‑Paket bietet neben der 4‑Schritte‑Anleitung konkrete Checklisten, Schulungsmaterial für Mitarbeiter und Praxis‑Tipps gegen CEO‑Fraud und SharePoint‑Angriffe – sofort umsetzbar für kleine und mittlere IT‑Teams. Jetzt Anti‑Phishing‑Guide anfordern