Multi-Faktor-Authentifizierung (MFA) gehört heute zu den wichtigsten Schutzmassnahmen für Microsoft 365. Doch moderne Phishing-Angriffe zeigen eine neue Schwachstelle: Angreifer müssen die MFA nicht unbedingt umgehen. Sie können versuchen, die bereits authentifizierte Sitzung des Benutzers zu stehlen.
Montagmorgen. Ein Mitarbeiter erhält eine E-Mail, die auf den ersten Blick völlig normal aussieht.
Vielleicht geht es um eine Rechnung, ein neues Dokument, eine gemeinsam genutzte Datei oder eine Nachricht aus Microsoft Teams:
„You have received a document for review.“
Der Mitarbeiter klickt auf den Link.
Die anschliessend geöffnete Seite sieht vertraut aus: Microsoft-365-Logo, bekannte Farben und ein professionell aussehender Login-Dialog. Ohne einen offensichtlichen Grund, misstrauisch zu werden, gibt der Mitarbeiter seine E-Mail-Adresse und sein Passwort ein. Kurz darauf erscheint die vertraute MFA-Abfrage, die er wie gewohnt über Microsoft Authenticator bestätigt – und der Login wird erfolgreich abgeschlossen.
Genau hier liegt das Problem.
Denn bei modernen Adversary-in-the-Middle (AiTM)-Angriffen kann sich der Angreifer zwischen den Benutzer und den legitimen Authentifizierungsdienst schalten.
Der Benutzer authentifiziert sich dabei tatsächlich bei Microsoft. Auch die MFA kann tatsächlich erfolgreich durchgeführt werden.
MFA wurde also nicht unbedingt „geknackt“ – sie wurde erfolgreich durchgeführt.
Das ist der entscheidende Unterschied.
Hinter solchen Angriffen stehen zunehmend Phishing-as-a-Service (PhaaS)-Plattformen.
PhaaS bedeutet vereinfacht: Angreifer können fertige Phishing-Infrastruktur und technische Komponenten nutzen, ohne die komplette Angriffsinfrastruktur selbst entwickeln zu müssen.
Ein aktuelles Beispiel ist Mirage2FA.
Das Framework ist auf Microsoft-365-Authentifizierungsprozesse ausgerichtet und nutzt einen AiTM-Ansatz. Anstatt lediglich Benutzername und Passwort zu stehlen, versucht der Angreifer, den legitimen Anmeldevorgang zu vermitteln und anschliessend die bereits authentifizierte Sitzung zu übernehmen.
Damit verschiebt sich das Angriffsziel:
Nicht nur das Passwort ist wertvoll. Die authentifizierte Sitzung ist es ebenfalls.
Moderne Phishing-Angriffe bilden nicht nur eine einzelne Login-Seite nach. Sie können den gesamten Anmeldeprozess so darstellen, dass er für den Benutzer wie ein normaler und vertrauter Microsoft-365-Login wirkt.
Für den Mitarbeiter kann der Ablauf deshalb völlig plausibel aussehen:
Der Mitarbeiter erhält eine scheinbar normale E-Mail mit einem Link zu einem Dokument, einer Rechnung oder einer Microsoft-365-Anmeldung.
Der Mitarbeiter klickt auf den Link und wird auf eine täuschend echte Phishing-Seite weitergeleitet.
Die gefälschte Seite sieht wie eine vertraute Microsoft-365-Anmeldeseite aus und führt den Benutzer durch den Login-Prozess.
Der Mitarbeiter gibt seine E-Mail-Adresse und sein Passwort ein. Die Anmeldedaten können dabei an den Angreifer weitergeleitet werden.
Der Mitarbeiter bestätigt die MFA-Anfrage. Die Authentifizierung bei Microsoft kann dabei tatsächlich erfolgreich abgeschlossen werden.
Der Angreifer versucht, die nach erfolgreicher Authentifizierung ausgestellten Session-Informationen bzw. Tokens abzugreifen und für den weiteren Zugriff zu missbrauchen.
Während der Benutzer einen normalen Microsoft-365-Anmeldevorgang wahrnimmt, versucht der Angreifer, die Kommunikation zwischen Benutzer und Microsoft zu vermitteln und dabei Authentifizierungsartefakte abzugreifen.
Doch. Unbedingt.
Das ist eine der einfachsten und wichtigsten Schutzmassnahmen.
Bevor Mitarbeiter einen Link öffnen, sollten sie prüfen:
Wenn eine E-Mail beispielsweise zu Microsoft 365 führen soll, sollte die Domain entsprechend plausibel und eindeutig zu Microsoft gehören.
Noch besser: Unerwartete Logins nicht über den E-Mail-Link durchführen.
Wenn plötzlich eine Anmeldung verlangt wird, sollte Microsoft 365 lieber über ein bekanntes Lesezeichen, die gewohnte Unternehmensanwendung oder einen bereits bekannten Zugang geöffnet werden.
Aber: Eine URL-Prüfung allein reicht nicht aus.
Moderne Phishing-Angriffe können legitime Dienste, Weiterleitungen, kompromittierte Webseiten und täuschend echte Login-Seiten verwenden.
Ausserdem kann man von einem Mitarbeiter nicht erwarten, dass er jede URL technisch analysieren kann.
Deshalb muss der Schutz auf mehreren Ebenen erfolgen.
Hier ist eine wichtige Klarstellung:
MFA ist nicht nutzlos. Ganz im Gegenteil.
MFA verhindert weiterhin viele klassische Account-Takeover-Angriffe.
Das Problem ist vielmehr, dass nicht jede MFA-Methode gleichermassen gegen AiTM-Angriffe geschützt ist.
Microsoft empfiehlt deshalb zunehmend phishing-resistente Authentifizierung, beispielsweise Passkeys, FIDO2 Security Keys oder Windows Hello for Business. Diese Methoden verwenden kryptografische Verfahren, die wesentlich besser gegen Phishing und die Weiterleitung von Authentifizierungsprozessen geschützt sind.
Der Unterschied ist entscheidend:
Klassische MFA:
Der Benutzer kann unter bestimmten Umständen dazu gebracht werden, eine echte MFA-Anfrage im Rahmen eines manipulierten Anmeldevorgangs zu bestätigen.
Phishing-resistente MFA:
Die Authentifizierung ist kryptografisch an den vorgesehenen Anmeldekontext gebunden und kann nicht einfach über eine gefälschte Website weitergereicht werden.
Es gibt keinen einzelnen Schutzmechanismus, der Session Theft zuverlässig verhindert. Entscheidend ist deshalb eine Kombination aus mehreren Sicherheitsmassnahmen, die unterschiedliche Phasen des Angriffs absichern – von der Authentifizierung über das verwendete Gerät bis hin zur laufenden Sitzung.
Für besonders kritische Konten sollte phishing-resistente Authentifizierung verpflichtend sein.
Dazu gehören beispielsweise:
Microsoft empfiehlt diese Methoden ausdrücklich als besonders sichere Authentifizierungsverfahren.
Besonders wichtig ist dies für Administrator- und privilegierte Konten.
Microsoft Entra Conditional Access ermöglicht es Unternehmen, Zugriffe anhand weiterer Bedingungen zu kontrollieren.
Beispielsweise kann der Zugriff auf Unternehmensressourcen davon abhängig gemacht werden, ob:
Besonders sinnvoll ist die Kombination aus:
Identity + Device + Risk
Ein gestohlenes Authentifizierungsartefakt sollte nicht automatisch ausreichen, um von einem unbekannten oder nicht verwalteten Gerät auf Unternehmensdaten zuzugreifen.
Microsoft empfiehlt ausdrücklich, Zugriffe auf verwaltete bzw. konforme Geräte zu beschränken.
Bei einem Token-Theft-Angriff kann ein gestohlenes Token als bereits gültiger Nachweis der Identität missbraucht werden.
Token Protection soll genau dieses Risiko reduzieren.
Dabei werden unterstützte Sign-in-Session-Tokens kryptografisch an das vorgesehene Gerät gebunden. Ein gestohlenes Token soll dadurch nicht einfach auf dem Gerät des Angreifers wiederverwendet werden können.
Allerdings ist die Unterstützung derzeit abhängig von Plattform, Anwendung und Szenario. Token Protection sollte daher als zusätzliche Schutzschicht und nicht als universelle Lösung betrachtet werden.
Eine erfolgreiche Anmeldung bedeutet nicht automatisch, dass eine Sitzung für immer vertrauenswürdig bleiben sollte.
Continuous Access Evaluation (CAE) ermöglicht unterstützten Microsoft-Diensten, bestimmte sicherheitsrelevante Änderungen während einer laufenden Sitzung schneller zu berücksichtigen.
Dazu gehören beispielsweise:
CAE reduziert dabei nicht einfach pauschal die Lebensdauer aller Tokens. Stattdessen können unterstützte Dienste auf kritische Ereignisse reagieren und eine laufende Sitzung schneller ungültig machen. Microsoft beschreibt für kritische Ereignisse eine Reaktion nahe Echtzeit, wobei je nach Situation eine Verzögerung von bis zu 15 Minuten auftreten kann.
Unternehmen sollten überprüfen, ob noch alte Authentifizierungsprotokolle verwendet werden.
Wo Legacy Authentication nicht mehr benötigt wird, sollte sie deaktiviert werden.
Das ist eine grundlegende Sicherheitsmassnahme und reduziert unnötige Angriffsflächen.
MFA und Conditional Access ersetzen kein Monitoring.
Unternehmen sollten unter anderem auf folgende Signale achten:
Dabei sollte nicht nur der Login selbst betrachtet werden.
Auch das Verhalten nach der Authentifizierung kann wichtige Hinweise auf einen kompromittierten Account liefern.
Nicht abwarten.
Wenn der Verdacht besteht, dass Zugangsdaten oder eine authentifizierte Sitzung kompromittiert wurden, sollte das Unternehmen schnell reagieren.
1. Betroffenes Konto absichern und Passwort zurücksetzen
2. Aktive Sessions und Refresh Tokens widerrufen
3. Microsoft-Entra-Sign-in-Logs überprüfen
4. OAuth-App-Berechtigungen kontrollieren
5. Inbox Rules in Exchange Online überprüfen
6. Aktivitäten in Exchange, Teams, SharePoint und OneDrive untersuchen
7. Bei einem kompromittierten privilegierten Konto administrative Aktivitäten überprüfen
Microsoft stellt für Notfälle ausdrücklich Mechanismen zum Widerruf von Benutzerzugriffen und Tokens bereit.
Wichtig:
Ein Passwortwechsel allein sollte bei einem vermuteten Session Theft nicht die einzige Massnahme sein.
Denn möglicherweise wurde nicht nur das Passwort kompromittiert, sondern bereits eine gültige Sitzung bzw. ein Token gestohlen.
Technische Sicherheitsmassnahmen sind wichtig. Gleichzeitig bleibt das Verhalten der Mitarbeiter ein wichtiger Bestandteil der Sicherheitskette.
Eine einfache Regel hilft:
Wenn Sie nicht erwartet haben, sich anzumelden, klicken Sie nicht einfach auf den Login-Link.
Stattdessen:
Microsoft 365 direkt über die bekannte Anwendung oder ein gespeichertes Lesezeichen öffnen.
Und wenn eine E-Mail ungewöhnlich wirkt:
Nicht weiterklicken – intern nachfragen.
Mitarbeiter sollten ausserdem wissen, dass eine erfolgreiche MFA-Anfrage nicht automatisch bedeutet, dass der gesamte Anmeldevorgang legitim war.
Moderne Angriffe verändern die Frage, die Unternehmen sich stellen sollten.
Es reicht nicht mehr, nur zu fragen:
„Haben wir MFA aktiviert?“
Die wichtigere Frage lautet:
„Was passiert, wenn eine bereits authentifizierte Sitzung kompromittiert wird?“
Ein moderner Schutz für Microsoft 365 sollte deshalb mehrere Ebenen kombinieren:
MFA bleibt eine zentrale Sicherheitsmassnahme. Sie sollte jedoch nicht als alleinige Sicherheitsgrenze betrachtet werden.
Die moderne Identitätssicherheit beginnt beim Login – und endet nicht mit dem erfolgreichen Login.
Wir unterstützen Unternehmen bei der Überprüfung ihrer Microsoft-Entra-ID- und Microsoft-365-Sicherheitskonfiguration – von MFA und Conditional Access bis hin zu Geräte-Compliance, Token-Schutz und Identity Protection.
Kontaktieren Sie DAP IT Solutions für einen Security Check Ihrer Microsoft-365-Umgebung.
Komplette IT-Betreuung für Unternehmen und Zuhause – sicher, stabil und persönlich.
Microsoft Copilot: KI und Business-E-Mail-Betrug
