Passkey-Betrug: Microsoft warnt vor gefälschten Update-Anfragen
Veröffentlicht am: 17.09.2026 um 19:22 Uhr | Redaktion boerse-global.de
Sicherheitsforscher von Microsoft warnen vor einer Zunahme gezielter Angriffe, bei denen Cyberkriminelle angebliche Passkey-Aktualisierungen sowie gefälschte Support-Anfragen als Vorwand nutzen. Ziel der Kampagnen ist es, Beschäftigte zu täuschen, Sicherheitsmechanismen auszuhebeln und unbefugten Zugriff auf vertrauliche Unternehmensdaten zu erlangen.
Beginn über Telefon, SMS und Teams-Nachrichten
Nach Angaben von Microsoft Security Research starten die Angriffe häufig mit einer direkten Kontaktaufnahme über Telefonanrufe, SMS oder Nachrichten im Kommunikationsdienst Microsoft Teams. Unter dem Vorwand dringender technischer Support-Anfragen oder notwendiger Sicherheitsupdates für Passkeys werden die Betroffenen auf manipulierte Phishing-Websites oder in sogenannte Device-Code-Arbeitsabläufe gelotst.
Dabei setzen die Täter auf Methoden wie Adversary-in-the-Middle-Proxys oder Device-Code-Phishing, um gültige Sitzungen abzufangen. Bei einem Device-Code-Angriff initiiert der Angreifer den Authentifizierungsprozess selbst. Das getäuschte Opfer führt die Anmeldung auf einer legitimen Anmeldeseite von Microsoft durch, woraufhin das ausgestellte Zugriffstoken direkt an den Angreifer übermittelt wird.
Um den dauerhaften Zugriff auf das kompromittierte Konto zu sichern, hinterlegen die Eindringlinge umgehend eigene Authentifizierungsmethoden zur Mehrfaktor-Authentifizierung (MFA). Beobachtet wurde unter anderem die Registrierung fremder Telefonnummern, Authenticator-Apps und Software-Einmalkennwort-Token.
Umfassende Ausspähung in Microsoft-365-Diensten
Einmal im System etabliert, greifen die Täter auf zentrale Clouddienste von Microsoft 365 zu. Betroffen sind vor allem SharePoint Online und OneDrive for Business, in Teilen auch Exchange Online sowie die Schnittstelle Microsoft Graph.
Die Angreifer laden gezielt Dokumente herunter und sammeln E-Mails über Programmierschnittstellen (REST-APIs). Einzelne Aufrufe der Graph-Schnittstelle wirken für sich genommen unauffällig; in einem dokumentierten Fall dauerte eine solche Sitzung rund eine Stunde.
Während des Zugriffs kartieren die Akteure systematisch bestehende Nutzer, Gruppen, Zugriffsrechte und angebundene Anwendungen im Verzeichnis. Microsoft Security Research ordnet diesen anfänglichen Kontozugriff mehreren Gruppierungen zu, darunter Akteuren, die unter den Bezeichnungen Storm-3121 und Storm-3032 geführt werden.
Umstellung auf moderne Authentifizierung als Einfallstor
Da Kriminelle verstärkt die Umstellung auf neue Login-Verfahren für gezielte Phishing-Attacken ausnutzen, ist fundiertes Wissen über die sichere Anwendung entscheidend. Dieser kostenlose Report zeigt, wie Sie Passkeys richtig einrichten und Ihre Konten effektiv vor Übernahmen schützen. Passkey-Ratgeber jetzt kostenlos herunterladen
Die Angriffe fallen in eine Phase weitreichender technischer Umstellungen. In Microsoft Entra ID ist der Passkey seit dem 1. September 2026 als Standard-Authentifizierungsmethode eingerichtet und steht in sämtlichen Editionen einschließlich der kostenfreien Basisversion ohne Zusatzlizenz bereit.
Die herkömmliche Authentifizierung über SMS oder Sprachanrufe soll zum 1. Februar 2027 vollständig eingestellt werden. Diese Umstellungsphase nutzen Kriminelle für ihre Social-Engineering-Vorwände aus.
Dass Identitätsdiebstahl ohne den Einsatz klassischer Schadprogramme dominiert, bestätigt auch der Crowdstrike-2026-Global-Threat-Report: Demnach kamen 82 Prozent der im Jahr 2025 erfassten Angriffe vollständig ohne Malware aus, verglichen mit 51 Prozent fünf Jahre zuvor.
Wer im beruflichen Umfeld mit sensiblen Daten arbeitet, sollte die aktuellen psychologischen Manipulationstaktiken der Hacker kennen, um nicht auf gefälschte Anfragen hereinzufallen. Ein gratis Leitfaden bietet eine detaillierte Analyse moderner Angriffsmethoden und zeigt effektive Wege zur Hacker-Abwehr auf. Kostenloses Anti-Phishing-Paket sichern
Parallel dazu registrierte das Sicherheitsunternehmen ANY.RUN eine Phishing-Kampagne namens N0va, die Organisationen in Nordamerika und Europa attackiert.
Betroffen sind Verwaltungen, der Technologiesektor, Beratungsunternehmen sowie das Gesundheitswesen. Die Angreifer missbrauchen bekannte Marken wie Microsoft Teams, SharePoint, DocuSign oder Google Drive, um über Device-Code-Workflows Zugriffstoken zu erbeuten.
Zur Abwehr empfiehlt Microsoft die konsequente Durchsetzung Phishing-resistenter Mehrfaktor-Authentifizierung wie FIDO2-Sicherheitsschlüsseln oder Windows Hello for Business über Richtlinien für bedingten Zugriff (Conditional Access).
Zudem sollten Administratoren den Device-Code-Authentifizierungsfluss für reguläre Nutzerkonten sperren und lediglich für zwingend erforderliche Systemfunktionen wie Notfallkonten, Konferenzraumsysteme oder administrative Befehlszeilenwerkzeuge freigeben.
Weiterhin raten die Experten zur kontinuierlichen Überwachung von Änderungen an Anmeldeinformationen und ungewöhnlichen Datenabflüssen in Cloud-Umgebungen.
