Kali365: FBI warnt vor Phishing-Plattform, die MFA aushebelt

Die Phishing-Plattform Kali365 umgeht Zwei-Faktor-Authentifizierung via OAuth-Token-Diebstahl und gefährdet Unternehmen weltweit.

Das FBI warnt vor einer neuen Phishing-Welle, die selbst Zwei-Faktor-Authentifizierung aushebelt – während Microsoft gleichzeitig seine Outlook-Strategie radikal vereinfacht.

Neue Gefahr für Unternehmen: Kali365 umgeht MFA-Schutz

Am 21. Mai 2026 schlug das FBI Alarm: Eine Phishing-as-a-Service-Plattform namens Kali365 greift gezielt Microsoft-365-Konten an. Seit April 2026 ist das System aktiv und nutzt eine raffinierte Methode: den OAuth Device Code Flow. Statt nach Passwörtern zu fischen, trickst Kali365 die Nutzer aus, indem es sie dazu bringt, eine fremde Sitzung über eine legitime Microsoft-Anmeldeseite zu autorisieren.

Der Angriff läuft so ab: Der Hacker generiert einen Gerätecode und schickt ihn per Phishing-Mail an das Opfer. Dieses wird aufgefordert, den Code auf dem offiziellen Microsoft-Portal einzugeben. Sobald das geschieht, erhält der Angreifer ein OAuth-Token – und damit vollen Zugriff auf Outlook, Teams und OneDrive, ohne dass ein Passwort oder eine MFA-Abfrage nötig wäre.

Anzeige

Angriffe auf Firmendaten werden immer raffinierter, wobei Hacker gezielt psychologische Schwachstellen ausnutzen, um Sicherheitsbarrieren zu umgehen. In diesem kostenlosen Ratgeber erfahren Sie, wie Sie Ihr Unternehmen in vier Schritten effektiv vor Phishing-Angriffen und Datenklau schützen. Anti-Phishing-Paket jetzt kostenlos anfordern

Sicherheitsforscher haben acht spezifische E-Mail-Betreffzeilen identifiziert, die in diesen Kampagnen verwendet werden. Betroffen sind bereits hunderte Organisationen in Nordamerika und Europa – darunter Unternehmen aus Fertigung, Bildung, Finanzen und Gesundheitswesen.

Das Geschäftsmodell dahinter ist erschreckend professionell: Kali365 bietet Abonnement-Stufen von 250 Euro für 30 Tage bis zu 2.000 Euro für ein Jahr. Die Plattform liefert KI-generierte Phishing-Köder in rund 15 Sprachen, 34 Design-Vorlagen und Echtzeit-Kampagnen-Tracking. Ähnliche Dienste wie EvilTokens (seit Februar 2026 dokumentiert) und Tycoon2FA nutzen vergleichbare Methoden. Oft registrieren Angreifer nach dem Eindringen zweite Geräte oder legen versteckte Postfachregeln an, um dauerhaft im Netzwerk zu bleiben.

Outlook Lite eingestellt: Ära der schlanken App endet

Parallel zu den Sicherheitswarnungen hat Microsoft einen strategischen Meilenstein erreicht. Am 25. Mai 2026 stellte das Unternehmen Outlook Lite für Android endgültig ein. Die schlanke Version, die über zehn Millionen Downloads verzeichnete, bietet keine Postfachfunktionen mehr. Bereits im Oktober 2025 wurden neue Downloads gestoppt.

Betroffene Nutzer werden auf die Standard-App Outlook Mobile verwiesen. Microsoft betont, dass alle Daten – E-Mails, Anhänge und Kalendereinträge – sicher in der Cloud bleiben und nach der Anmeldung in der Vollversion sofort verfügbar sind. Als Grund für die Einstellung nennt das Unternehmen die technische Weiterentwicklung und das Ziel einer einheitlichen Funktionspalette.

Auf dem Desktop schreitet der Wandel vom „Classic" Outlook zum „New" Outlook ebenfalls voran. Die neue Version hat in diesem Jahr einen wichtigen Meilenstein erreicht: die Integration von PST-Export-Funktionen, die Ende 2025 allgemein verfügbar wurden. Der moderne Client bietet nun robuste Offline-Funktionen und eine tiefe Integration mit Copilot, Microsofts KI-Assistent.

Microsoft hat zugesichert, die Classic-Version bis 2029 zu unterstützen. Neue Funktionen erhält sie jedoch nicht mehr. Ein Haken bleibt: Das neue Outlook unterstützt weder COM-Add-ins noch VBA-Makros – ein Hindernis für Unternehmen mit individuellen Legacy-Automatisierungslösungen.

Wenn Outlook streikt: Aktuelle Fehler und Lösungen

Seit Mitte Mai 2026 berichten einige Nutzer von erheblichen Zugriffsproblemen. Eine „TenantAccessBlockedException" (HTTP 500-Fehler) tritt auf, wenn Outlook oder andere Office-Anwendungen geöffnet werden sollen. Dieser Fehler zeigt an, dass der Zugriff auf den Exchange-Online-Mandanten oder das einzelne Postfach blockiert ist. Meist ist ein administrativer Eingriff nötig – etwa die Überprüfung von Lizenzen oder das Öffnen eines Support-Tickets bei Microsoft.

Anzeige

Ob blockierter Zugriff oder feststeckende E-Mails – viele Outlook-Fehler lassen sich mit den richtigen Einstellungen in wenigen Minuten beheben. Dieser kostenlose Spezialkurs zeigt Ihnen Schritt für Schritt, wie Sie Ihr Postfach korrekt konfigurieren und mit Profi-Tricks täglich wertvolle Zeit sparen. Kostenlose Outlook-Installationshilfe sichern

Neben diesen systemischen Problemen plagen alltägliche Hürden die Nutzer. Technische Anleitungen von Ende Mai 2026 zeigen: Die häufigste Ursache für E-Mails, die im Postausgang stecken bleiben, ist die versehentliche Aktivierung des Offline-Modus. Nutzer sollten die Statusleiste prüfen und den Offline-Schalter deaktivieren.

Auch Dateigrößen-Beschränkungen führen regelmäßig zu Zustellungsfehlern. Bei Anhängen über etwa 11 Megabyte schlägt der Client vor, stattdessen einen OneDrive-Link zu verwenden. Bleiben E-Mails trotz stabiler Verbindung ungesendet, empfehlen Experten, den Entwurf neu zu erstellen, manuell einen Sende-/Empfangs-Zyklus auszulösen oder die Anwendung neu zu starten.

Die neue Realität: Authentifizierung im Wandel

Das Auftauchen von Kali365 und ähnlichen Werkzeugen markiert einen Wendepunkt in der Cybersicherheit. Herkömmliche Zwei-Faktor-Authentifizierung ist kein absoluter Schutz mehr. Solange der OAuth Device Code Flow für alle Nutzer aktiviert bleibt, besteht das Risiko von Token-Diebstählen.

Das FBI und unabhängige Forscher empfehlen IT-Administratoren, den Device Code Flow für alle Nutzer zu blockieren, die ihn nicht für spezifische Hardware-Konfigurationen benötigen. Der Trend geht zu einer „Defense-in-Depth"-Strategie: Organisationen sollen zunehmend Conditional-Access-Richtlinien und kontinuierliches Token-Monitoring einführen, um unbefugte Geräteregistrierungen zu erkennen.

Die Tatsache, dass Angreifer ausgefeilte KI-gestützte Phishing-Kits für nur 250 Euro kaufen können, senkt die Einstiegshürde für Cyberkriminelle drastisch. Jedes Postfach wird so zum potenziellen Einfallstor für Industriespionage.

Ausblick: Die nächsten Jahre werden entscheidend

Die Abschaltung von Outlook Lite und das geplante Ende von Classic Outlook im Jahr 2029 sind Teil von Microsofts Strategie, die Codebasis zu vereinheitlichen. Weniger unterstützte Clients bedeuten schnellere Sicherheitsupdates und KI-Funktionen. Doch das Fehlen von COM-Add-ins in der neuen Version zeigt: Die Classic-Umgebung wird für Industrie- und Finanzsektoren noch Jahre notwendig bleiben.

Für Unternehmen wird die Balance zwischen Sicherheit und Benutzerfreundlichkeit zur zentralen Herausforderung. Strengere Authentifizierungsrichtlinien können den Komfort einschränken – doch das Risiko automatisierter Sitzungsübernahmen durch Dienste wie Kali365 ist real.

Das neue Outlook erhält monatliche Updates und tiefere Copilot-Integration. Der Anreiz für eine freiwillige Migration steigt damit. Doch die jüngsten Fehler wie die Tenant-Zugriffsausnahmen zeigen die Komplexität einer globalen Cloud-Infrastruktur. Für den Rest des Jahres 2026 bleibt das Ziel klar: die Authentifizierungskette sichern und sicherstellen, dass der Wechsel zu modernen Clients keine wichtigen Daten oder Arbeitsabläufe zurücklässt.