Microsoft 365: 120 Organisationen bei Consent-Phishing-Welle angegriffen
Veröffentlicht am: 05.08.2026 um 20:22 Uhr | Redaktion boerse-global.de
Phishing-Kampagnen nutzen zunehmend legitime Microsoft-Infrastruktur, um Sicherheitsmaßnahmen zu umgehen. Besonders betroffen: Teams, Outlook und SharePoint.
Deutsche Unternehmen müssen sich auf eine neue Generation von Cyberangriffen einstellen. Sicherheitsforscher haben mehrere ausgeklügelte Kampagnen aufgedeckt, die Microsoft-365-Umgebungen ins Visier nehmen. Die Angreifer setzen dabei auf eine perfide Strategie: Sie nutzen die vertrauenswürdige Microsoft-Infrastruktur selbst, um Sicherheitslösungen und Multi-Faktor-Authentifizierung (MFA) zu umgehen.
Consent Phishing: Wenn die Anmeldung zur Falle wird
Eine besonders dreiste Kampagne hat Check Point Research zwischen dem 25. Juni und Juli 2026 aufgedeckt. Rund 120 Organisationen wurden dabei ins Visier genommen. Die Angreifer verschickten mehr als 200 Phishing-E-Mails – oft getarnt als Benachrichtigungen von Microsoft Teams. Die Opfer landeten auf echten Microsoft-Anmeldeseiten, wo sie sich regulär einloggten.
Der Clou: Nach erfolgreicher Authentifizierung wurden die Nutzer aufgefordert, einer scheinbar harmlosen Anwendung Zugriffsrechte zu gewähren. Wer zustimmte, gab den Angreifern dauerhaften Zugriff auf E-Mails, Dateien, Kalender und Teams-Daten. Da die Anmeldung über den offiziellen Microsoft-Identitätsanbieter lief, mussten die Kriminellen MFA nicht einmal überwinden. Branchenkenner warnen: Diese Methode ist inzwischen zur Ware geworden – als mietbarer Dienst für Cyberkriminelle.
Greatness-Plattform: Phishing als Abo-Modell
Auch die Phishing-as-a-Service-Plattform Greatness macht von sich reden. Seit Mitte 2022 aktiv, verlangt der Dienst 289 Dollar pro Monat – bezahlbar bequem über Telegram. Die Betreiber haben ihre Taktik verfeinert und setzen auf Adversary-in-the-Middle-Angriffe sowie Device-Code-Phishing.
Aktuell imitieren die Angreifer E-Mails des Kommunikationsdienstes RingCentral. Diese landen oft dank Safe-Sender-Whitelisting direkt im Posteingang. Nach einem Sicherheitsvorfall bei RingCentral am 28. Juli nutzten die Kriminellen die Verwirrung offenbar für besonders glaubwürdige Köder. Gestohlene Zugriffstokens bleiben dabei über zwei Wochen gültig – genug Zeit, um Postfächer zu durchforsten und Daten aus SharePoint und OneDrive über die Microsoft-Graph-API abzugreifen.
Angesichts der Zunahme raffinierter Angriffe auf Geschäftskonten wird eine fundierte Abwehrstrategie für Firmen immer wichtiger. Dieser kostenlose Leitfaden zeigt Ihnen in vier Schritten, wie Sie Phishing-Angriffe stoppen, bevor sie Schaden anrichten. Anti-Phishing-Paket für Unternehmen jetzt gratis herunterladen
Teams-Vishing: Ransomware in Rekordzeit
Eine dritte Kampagne mit dem Namen STAC4749 zielt seit Februar 2026 auf Organisationen in Nordamerika. Die Masche: Zwei Minuten lange Telefonanrufe, getarnt als IT-Helpdesk. Die Opfer werden zu Microsoft-Teams-Gesprächen gelotst, wo die Angreifer die Ransomware „Chaos" installieren.
Sophos-Forscher staunen über die Geschwindigkeit: Im schnellsten dokumentierten Fall dauerte es weniger als 17 Stunden vom ersten Kontakt bis zur vollständigen Verschlüsselung. Rund 95 Prozent der Opfer sitzen in den USA und Kanada – doch die Methode könnte auch nach Europa schwappen.
Device-Code-Phishing boomt: 1.500 Prozent mehr Angriffe
Besonders rasant entwickelt sich Device-Code-Phishing: 2026 verzeichneten Marktforscher einen Anstieg um 1.500 Prozent. Die Technik ist heimtückisch: Ein Code auf einer echten Microsoft-Seite genügt, um Tokens zu erzeugen – ganz ohne Passwort oder MFA. Experten raten Unternehmen, den Device-Code-Flow zu blockieren, wenn er nicht innerhalb von 25 Tagen genutzt wurde.
Wer die Sicherheit seiner Unternehmens-IT proaktiv verbessern möchte, findet in diesem Experten-Report wertvolle Informationen zu aktuellen Bedrohungstrends und gesetzlichen Anforderungen. Erfahren Sie kostenlos, wie Sie Sicherheitslücken schließen und Ihre Firma wirksam schützen. Gratis-E-Book: Cyber Security Bedrohungen abwenden
KI als Waffe: Copilot im Visier von Angreifern
Neue Forschung zeigt zudem, wie KI-Tools missbraucht werden können. Barracudas Red Team demonstrierte: Mit kompromittierten Konten lässt sich Microsoft Copilot nutzen, um Führungskräfte zu identifizieren, überzeugende Phishing-Nachrichten zu verfassen und Postfachregeln zu erstellen, die die Aktivitäten verbergen. In einer simulation führte das zu einer betrügerischen Kontoumstellung mit einem Schaden von 247.500 Dollar.
Kalender als Kommandozentrale
Selbst Microsoft-Kalender werden zweckentfremdet: Die Malware Hollowgraph nutzt Kalendereinträge mit Zukunftsterminen – etwa dem 13. Mai 2050 – als versteckten Kanal für Kommandos über die Graph-API. Beobachtet wurde diese Aktivität zuletzt zwischen dem 3. Juni und 9. Juli, hauptsächlich gegen Organisationen in Israel.
Für deutsche Unternehmen gilt: Die Bedrohungslage hat sich fundamental verändert. Reine Passwort-Sicherheit genügt nicht mehr – wer MFA umgehen kann, braucht auch keine Passwörter.
