Device-Code-Phishing: Bedrohung wächst 37-fach in sechs Monaten
Veröffentlicht am: 31.07.2026 um 17:23 Uhr | Redaktion boerse-global.de
Die Bedrohungslage durch Device-Code-Phishing hat sich innerhalb der ersten Jahreshälfte 2026 drastisch verschärft. Berichten aus der Cybersicherheitsbranche zufolge entwickelte sich der Missbrauch des sogenannten OAuth-2.0-Device-Authorization-Grants in weniger als sechs Monaten von einer Nischentaktik zu einer Bedrohung im industriellen Maßstab. Experten beobachten dabei eine Professionalisierung der Angreifer, die zunehmend automatisierte Werkzeuge und Cloud-Dienste einsetzen.
Rasante Entwicklung im laufenden Jahr
Obwohl Sicherheitsforscher den zugrunde liegenden Angriffsvektor bereits im Jahr 2020 beschrieben haben, nahm die Dynamik erst in den vergangenen Jahren zu. Nachdem Nationalstaaten-Akteure wie Storm-2372 die Technik im Jahr 2024 einsetzten und die Gruppe ShinyHunters im Folgejahr bei einer Kampagne gegen Salesforce über 1.000 Organisationen sowie 1,5 Milliarden Datensätze kompromittierte, folgte Anfang 2026 der Durchbruch in der Breite.
Ein wesentlicher Treiber war das Aufkommen des sogenannten EvilTokens-Kits im Februar 2026. In der Folge meldete Microsoft bis April alle 24 Stunden zwischen 10 und 15 neue Kampagnen. Das Unternehmen Barracuda verzeichnete in einem Zeitraum von nur vier Wochen insgesamt 7 Millionen Angriffe. Diese Entwicklung veranlasste auch das FBI zu einer offiziellen Warnung vor spezifischen Tools wie Kali365.
Technologische Skalierung durch Phishing-as-a-Service
Die Zunahme der Angriffe wird durch die Verfügbarkeit spezialisierter Plattformen begünstigt. Das Unternehmen Push Security verfolgt mittlerweile mehr als 25 verschiedene Kits. Zu Beginn des Jahres 2026 galt Device-Code-Phishing noch als Randerscheinung, doch innerhalb von sechs Monaten registrierten die Analysten eine Verachtzehnfachung der verfügbaren Kits sowie einen 37-fachen Anstieg der Erkennungsraten.
Diese Technik ist besonders gefährlich, da sie laut Push Security gängige Multi-Faktor-Authentifizierungen (MFA), einschließlich Passkeys, umgehen kann. Aktuelle Phishing-as-a-Service-Plattformen wie Tycoon2FA und Kali365 haben Device-Code-Phishing fest in ihr Repertoire aufgenommen. Besonders leistungsfähige Tools wie ARToken bieten Angreifern über 80 API-Endpunkte. Damit lassen sich komplexe Operationen wie die Persistenz von Primary Refresh Tokens (PRT), Postfachzugriffe, die Automatisierung von Business-Email-Compromise (BEC) sowie die Exfiltration von Daten aus SharePoint-Umgebungen durchführen.
Rekord-Schäden durch Phishing zeigen, dass herkömmliche Sicherheitsmaßnahmen oft nicht mehr ausreichen. Erfahren Sie in diesem kostenlosen Anti-Phishing-Paket, wie Ihr Unternehmen Awareness-Kampagnen und Schutzstrategien effektiv umsetzen kann. Effektive Wege zur Hacker-Abwehr jetzt gratis herunterladen
Branchenweite Auswirkungen und KI-Einfluss
Analysen von Cisco Talos unterstreichen den Ernst der Lage: Im zweiten Quartal war Phishing der primäre Vektor für den Erstzugriff und trat bei mehr als der Hälfte aller Incident-Response-Einsätze auf. Im ersten Quartal lag dieser Anteil noch bei einem Drittel. Bei 65 % dieser Einsätze wurde der Missbrauch von Authentifizierungsverfahren festgestellt, wobei häufig OAuth-Device-Code-Phishing zum Einsatz kam.
Zusätzlich verschärft der Einsatz von Künstlicher Intelligenz (KI) die Bedrohung. Laut Zimperium sind KI-generierte Phishing-Betrügereien etwa 4,5-mal überzeugender als herkömmliche Methoden. Die Wachstumsrate in diesem Bereich liege bei über 1200 %. Seit Januar 2025 stiegen die Phishing-Vorfälle auf mobilen Mitarbeitergeräten um 380 %, wobei 86 % dieser Angriffe KI-generierte Elemente enthielten.
Wer die Sicherheit im Unternehmen angesichts neuer KI-Gesetze und komplexer Cyberrisiken stärken möchte, findet in diesem E-Book wichtige Orientierung. Der kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Gratis-E-Book zu Cyber Security Trends sichern
Fokus auf Cloud-Dienste und Abwehrmöglichkeiten
Obwohl 99 % der aktuellen Angriffe auf Microsoft-Infrastrukturen abzielen, ist die Gefahr plattformübergreifend, da der OAuth-Standard auch von anderen Diensten wie GitHub und AWS unterstützt wird. Die Angreifer nutzen für ihre Kampagnen oft Social-Engineering-Vorwände wie den Ablauf von Passwörtern, die Erneuerung von Zertifikaten oder Kontoeinschränkungen.
Zur Abwehr der Bedrohung empfehlen Sicherheitsexperten von Barracuda den Einsatz automatisierter Bedrohungserkennung sowie phishing-resistenter MFA-Lösungen wie FIDO2. Zudem sollten Unternehmen auf Conditional-Access-Richtlinien und isolierte URL-Analysen setzen, um den Missbrauch von Device-Flows frühzeitig zu unterbinden. Da gestohlene Zugangsdaten oft in Echtzeit über Kanäle wie Telegram exfiltriert werden, ist eine schnelle Reaktion der Verteidigungssysteme entscheidend.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf- oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
