Microsoft 365: 81 Millionen Login-Attacken in nur 14 Tagen
Veröffentlicht am: 03.07.2026 um 08:26 Uhr | Redaktion boerse-global.de
Innerhalb von nur 14 Tagen registrierten Sicherheitsexperten rund 81 Millionen Login-Versuche – ein neuer Höchststand bei sogenannten Credential-Spraying-Attacken.
Der Vorfall, den das Cybersicherheitsunternehmen Huntress dokumentierte, zeigt eine gefährliche Eskalation: Zwischen dem 12. und 26. Juni gelang es den Angreifern, 78 Konten in 64 verschiedenen Organisationen zu kompromittieren. Besonders alarmierend: Die Hacker nutzten eine Methode, die selbst aktivierte Zwei-Faktor-Authentifizierung (MFA) aushebeln kann.
Wie die Angreifer die Sicherheitslücke fanden
Im Zentrum der Attacke steht der sogenannte ROPC-Flow (Resource Owner Password Credentials) der Azure-Befehlszeilenschnittstelle. Diese eigentlich für Entwickler gedachte Funktion erlaubt es, sich mit Benutzername und Passwort anzumelden – ohne MFA-Abfrage. Sind die Conditional-Access-Richtlinien nicht korrekt konfiguriert, öffnet sich hier ein gefährliches Einfallstor.
Die Zahlen sprechen eine deutliche Sprache: An einem einzigen Tag Ende Juni wurden 23 Unternehmen angegriffen – 15 davon hatten MFA aktiviert. Dennoch drangen die Täter ein. Branchenweit haben Credential-Spraying-Angriffe in den letzten sechs Monaten um das 155-Fache zugenommen.
Drei Sekunden bis zur Kontoübernahme
Noch beunruhigender sind neuere Entwicklungen. Eine kürzlich identifizierte Angriffsvariante namens „ConsentFix“ zielt auf Microsoft 365 OAuth-Flows ab. Die Methode ist erschreckend effizient: Opfer werden getrickst, einen Callback-Link in ihren Browser zu ziehen – und schon sind die OAuth-Tokens gekapert. Passwort und MFA werden dabei komplett umgangen. Die gesamte Prozedur dauert gerade einmal drei Sekunden.
Angesichts von über 80 Millionen Login-Versuchen in nur zwei Wochen wird deutlich, wie verwundbar klassische Passwörter heute sind. Ein kostenloser Report zeigt Ihnen, wie Sie mit der neuen Passkey-Technologie Ihre Konten bei Microsoft, Amazon und Co. endlich unknackbar machen. Passkeys einrichten und Passwort-Stress beenden
Dokumentationen zu dieser Technik tauchten bereits im März 2026 in Cybercrime-Foren auf. Parallel dazu nutzt die als ToddyCat bekannte Advanced-Persistent-Threat-Gruppe eine neue Malware namens Umbrij. Sie missbraucht die Remote-Debugging-Funktionen von Chrome und Edge, um OAuth-Tokens zu stehlen. Besonders perfide: Über aktive Gmail-Sitzungen erlangt die Schadsoftware Zugriff auf Google Drive, Kontakte und Kalenderdaten.
Russische Phishing-Kampagnen zielen auf Signal-Nutzer
Auch staatliche Akteure sind aktiv. Das FBI und die US-Cybersicherheitsbehörde CISA warnten kürzlich vor einer russischen Phishing-Kampagne. Die dahinterstehenden Gruppen UNC5792 und UNC4221 werden dem Inlandsgeheimdienst FSB zugerechnet.
Anders als bei üblichen Phishing-Attacken zielen die Angreifer nicht auf Verifikationscodes ab. Stattdessen versuchen sie, die Backup-Wiederherstellungsschlüssel von Signal-Nutzern zu stehlen. Mit diesen Schlüsseln können Angreifer Konten vollständig übernehmen und den gesamten Nachrichtenverlauf einsehen. Hauptziele: Regierungsbeamte, Militärangehörige und Journalisten in den USA, Europa und der Ukraine.
Die Flut der gestohlenen Zugangsdaten
Die Angriffswelle ist Teil eines dramatischen Trends. Account-Übernahme-Betrug (Account Takeover, ATO) stieg zwischen dem ersten Halbjahr 2021 und dem ersten Halbjahr 2025 um 141 Prozent – allein im letzten Jahr kamen weitere 21 Prozent hinzu. Bei Marktplatz-Konten betrug der Anstieg sogar 90 Prozent im Jahresvergleich.
Die Treiber dieser Entwicklung sind gigantische Datenlecks. Am 15. Juni 2026 fügte der Dienst Have I Been Pwned 124 Millionen Passwörter und 56,3 Millionen E-Mail-Adressen hinzu – allesamt aus sogenannten „Stealer Logs“, also Daten von infizierten Geräten. Nur zwei Tage später wurde ein Datenleck beim japanischen Telekommunikationsriesen KDDI bekannt: 14,22 Millionen Kunden von fünf Internetdienstanbietern waren betroffen, ihre E-Mail-Adressen und Passwörter sind nun im Umlauf.
Statistiken belegen, dass allein in Deutschland pro Quartal 4,7 Millionen Konten gehackt werden – oft mit verheerenden Folgen für die Betroffenen. Erfahren Sie in diesem Ratgeber, warum Experten heute zum kompletten Verzicht auf Passwörter raten und wie Sie die sichere Alternative sofort nutzen. Warum immer mehr Deutsche Passwörter abschaffen – jetzt gratis nachlesen
So erkennen Unternehmen eine Kompromittierung
Sicherheitsexperten nennen drei klare Warnsignale für kompromittierte Outlook- oder Microsoft-365-Konten:
- Unerkannte Anmeldeaktivitäten
- Plötzlich auftauchende, unbekannte Weiterleitungsregeln
- Meldungen über seltsame E-Mails, die angeblich vom eigenen Konto versendet wurden
Was jetzt zu tun ist
FBI und Cybersicherheitsfirmen empfehlen ein Bündel an Schutzmaßnahmen:
- Device-Code-Flows und Azure-CLI-Zugriff über Conditional-Access-Richtlinien einschränken
- Neue Backup-Wiederherstellungsschlüssel für Signal und andere Messenger generieren
- Auf Passkeys umstellen – Branchenanalysten zufolge reduziert dies Account-Übernahmen um über 90 Prozent
- Cyber-Fraud-Fusion-Teams einrichten – Gartner prognostiziert, dass 20 Prozent der Großunternehmen diese Strategie bis 2028 umsetzen werden
Für bereits betroffene Organisationen gilt eine wichtige Regel: Nicht sofort abmelden, solange man noch auf dem Gerät aktiv ist. Stattdessen sollten Nutzer die offiziellen Wiederherstellungsformulare verwenden, Kaufbelege zur Identitätsprüfung bereithalten und alle aktiven Sitzungen sowie verdächtige Drittanbieter-Berechtigungen widerrufen.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf- oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
