Kali365-Phishing: Hacker hebeln MFA für 230 Euro ab

Microsoft stellt Outlook Lite ein und beendet SMS-Authentifizierung. Neue Phishing-Plattform Kali365 umgeht Zwei-Faktor-Schutz.

Die letzte Maiwoche 2026 bringt für Outlook-Nutzer und IT-Administratoren gleich mehrere Baustellen: Ein hartnäckiger Anzeigefehler im klassischen Desktop-Client, die offizielle Einstellung von Outlook Lite für Android und eine neue Generation von Phishing-Plattformen, die selbst die Zwei-Faktor-Authentifizierung aushebeln.

Aus für Outlook Lite: Millionen Nutzer müssen umsteigen

Am 25. Mai 2026 hat Microsoft den Support für Outlook Lite für Android eingestellt. Die leichte Version des E-Mail-Clients, die vor allem auf älteren oder schwächeren Geräten lief, ist damit Geschichte. Mehr als zehn Millionen Nutzer sind betroffen. Die gute Nachricht: Bestehende E-Mails und Daten bleiben erhalten und sind über die Standard-App Outlook Mobile weiterhin zugänglich. Der Haken: Wer ein Gerät mit wenig Arbeitsspeicher oder älterer Hardware nutzt, muss nun zur ressourcenhungrigeren Vollversion wechseln.

Anzeige

Outlook macht Probleme? Dieser häufige Einrichtungsfehler kostet Sie täglich wertvolle Zeit. Eine kostenlose Schritt-für-Schritt-Anleitung zeigt, wie Sie Outlook in wenigen Minuten korrekt einrichten – für alle Versionen von 2003 bis 365. Outlook-Einrichtungs-Guide kostenlos herunterladen

Klassischer Outlook-Client: Bilder bleiben unsichtbar

Parallel dazu kämpft Microsoft mit einem hartnäckigen Bug in der klassischen Desktop-Version. Seit dem 24. Mai ist bekannt, dass in Version 2604 (Build 19929.20164) Bilder nicht richtig angezeigt werden – und zwar immer dann, wenn die Option „Oben und unten“ für den Textumbruch aktiviert ist. Die Bilder bleiben dann schlicht leer oder laden gar nicht erst.

Microsoft hat den Fehler bestätigt, einen offiziellen Patch gibt es jedoch noch nicht. Als Übergangslösung empfehlen die Entwickler, auf die problematische Formatierung zu verzichten oder auf die „New Outlook“-Oberfläche umzusteigen – dort tritt der Fehler nicht auf.

Doch damit nicht genug: Am selben Tag häuften sich auch Meldungen über Probleme mit Outlook.com. Nutzer berichteten von rätselhaften Fehlermeldungen wie „Konto bereits vergeben“ beim Zugriff auf eigene, langjährige Adressen. Andere klagten über verschwundene E-Mails, Spam-Fluten und sogar Erpressungsversuche nach unbefugten Zugriffen auf ihre Konten.

Das Ende der SMS-Authentifizierung

Ein grundlegender Wandel zeichnet sich bei der Sicherheitsstrategie ab: Seit dem 25. Mai 2026 unterstützt Microsoft keine SMS-basierte Authentifizierung mehr für persönliche Microsoft- und Xbox-Konten. Der Grund: SIM-Swapping-Angriffe und SMS-Phishing haben ein Ausmaß erreicht, das diese Methode nicht mehr tragbar macht.

Stattdessen sollen Nutzer auf Passkeys umsteigen – also biometrische Verfahren oder hardwarebasierte PINs. Das ist zwar sicherer, bedeutet aber eine Umstellung für alle, die jahrelang bequem per Textnachricht ihr Konto freigeschaltet haben.

Anzeige

Da in Deutschland pro Quartal rund 4,7 Millionen Online-Konten gehackt werden, ist der Umstieg auf sicherere Methoden wie Passkeys wichtiger denn je. Dieser kostenlose Report zeigt Ihnen, wie Sie die neue Technologie bei Amazon, Microsoft und WhatsApp sofort einrichten. Kostenlosen Passkey-Ratgeber jetzt sichern

Phishing-as-a-Service: Wenn Hacker im Abo-Modell zuschlagen

Die größte Gefahr lauert jedoch im Hintergrund. Das FBI warnte bereits am 21. Mai vor einer neuen Phishing-Plattform namens Kali365. Seit April 2026 ist sie aktiv und funktioniert wie ein Dienstleistungsabonnement: Für umgerechnet rund 230 Euro pro Monat können Kriminelle auf eine hochentwickelte Angriffsplattform zugreifen.

Das Besondere: Kali365 nutzt den legitimen Microsoft OAuth Device Code Flow, um die Zwei-Faktor-Authentifizierung (MFA) zu umgehen. Selbst wer MFA aktiviert hat, ist nicht geschützt. Hunderte Organisationen in Nordamerika und Europa sollen bereits angegriffen worden sein. Sicherheitsexperten raten Administratoren dringend, den Device Code Flow in den Entra-ID-Einstellungen zu blockieren.

Missbrauch offizieller Microsoft-Adressen

Noch perfider: Angreifer nutzen seit Monaten die offizielle Microsoft-Benachrichtigungsadresse [e-mail], um Phishing-Mails zu versenden. Die Nachrichten sehen aus wie echte Sicherheitswarnungen – und täuschen selbst erfahrene Nutzer. Microsoft hat den Vorfall bestätigt und arbeitet an einer Sicherung der automatischen Benachrichtigungssysteme.

Die 2,8-Millionen-Angriffswelle

Seit Jahresbeginn 2026 treibt zudem eine Schadsoftware namens CypherLoc ihr Unwesen. Rund 2,8 Millionen Angriffe wurden damit bereits registriert. Die Masche: Verschlüsselte JavaScript-Codes lösen gefälschte Browser-Pop-ups aus, die vorgeben, der Computer sei infiziert. Die Opfer werden aufgefordert, angebliche Microsoft-Support-Hotlines anzurufen.

Besonders dreist: Ein Fall aus Kalifornien, bei dem eine mehrstufige Betrugsmasche mit falschen Support-Pop-ups und angeblichen Bundesermittlern älteren Opfern umgerechnet über 90.000 Euro abnahm.

Storm-2949: Datenklau in vier Minuten

Auch die Bedrohung für Unternehmen wächst. Microsoft Threat Intelligence hat eine Hackergruppe namens Storm-2949 identifiziert, die mit erschreckender Geschwindigkeit vorgeht. Die Angreifer nutzen Social Engineering und Schwachstellen im Azure Role-Based Access Control (RBAC), um in Systeme einzudringen.

In beobachteten Fällen gelang es ihnen, über die Self-Service-Passwortzurücksetzung (SSPR) Konten zu kompromittieren, sich quer durchs Netzwerk zu bewegen und sensible Daten aus Azure Key Vaults zu stehlen – in nur vier Minuten. Die gestohlenen Daten, darunter Datenbank-Strings und Zugangsdaten, werden per Python-Skripts und Shared-Access-Signature-Tokens in fremde Umgebungen verschoben.

Windows 11: Suchfunktion wird optimiert

Nicht nur Sicherheit, auch Alltagstauglichkeit steht auf der Agenda. Seit dem 24. Mai testet Microsoft den Build 26300.8493 für Windows 11. Die Neuerung: Die Suchfunktion soll lokale Dateien und Apps künftig zuverlässiger priorisieren als bisher – ein lang gehegter Wunsch vieler Nutzer, die sich über die Dominanz von Web-Ergebnissen arbeiteten.

Netzwerkwartung und System-Updates

An der Cal Poly Pomona in Kalifornien läuft der Countdown: Bis zum 26. Mai müssen Nutzer ihre Systeme auf Windows 11 Version 25H2 oder macOS 26 Tahoe aktualisiert haben. Zwei Tage später folgt eine geplante Netzwerkwartung, die kurzzeitige Unterbrechungen mit sich bringen wird.

Was bleibt: Handlungsempfehlungen für Unternehmen und Privatnutzer

Die aktuellen Entwicklungen zeichnen ein klares Bild: Microsoft treibt die Modernisierung seiner Plattformen voran – mitunter schmerzhaft für Nutzer, die an alten Gewohnheiten festhalten. Die Einstellung von Outlook Lite und der Zwang zu Passkeys sind Teil dieser Strategie.

Für IT-Administratoren stehen jetzt drei Maßnahmen im Vordergrund:

1. Device Code Flow in Entra ID blockieren – sonst hilft auch die beste MFA nicht
2. SMS-Authentifizierung durch Passkeys ersetzen – SIM-Swapping ist eine reale Gefahr
3. Azure RBAC-Berechtigungen überprüfen – Storm-2949 zeigt, wie schnell Daten abfließen können

Entwickler, die SMTP-Verbindungen über smtp-mail.outlook.com nutzen, müssen zudem beachten: Microsoft akzeptiert nur noch OAuth2 oder Modern Auth für den Produktivbetrieb. App-Passwörter sind nur noch für Testzwecke geduldet.

Die nächsten Wochen werden zeigen, ob Microsoft die Bug- und Sicherheitsprobleme in den Griff bekommt – oder ob die Nutzer weiterhin zwischen veralteter Software und neuen Gefahren navigieren müssen.