Microsoft 365 ist für viele Unternehmen das zentrale Werkzeug für Kommunikation, Zusammenarbeit und Geschäftsprozesse. E-Mails, Kalender, Dokumente und interne Informationen laufen häufig über Outlook und die Microsoft-Cloud. Gerade deshalb sind Microsoft-365-Konten ein attraktives Ziel für Cyberkriminelle.

In einer aktuellen, groß angelegten Phishing-Kampagne zielen Angreifer nicht nur darauf ab, Passwörter zu stehlen. Sie nutzen eine deutlich ausgefeiltere Methode: Adversary-in-the-Middle-Angriffe (AitM). Dabei werden Anmeldevorgänge abgefangen und gültige Sitzungen übernommen – teilweise sogar trotz aktivierter Multifaktor-Authentifizierung (MFA).

Das Ziel der Kampagne: Mitarbeiterinnen und Mitarbeitern aus Bereichen wie Personal, Buchhaltung und Finanzwesen identifizieren und deren E-Mails auswerten.

Was ist ein Adversary-in-the-Middle-Angriff (AitM)?

Bei einem klassischen Phishing-Angriff führt ein Link meist zu einer gefälschten Login-Seite, wie zum Beispiel: „Ihr Microsoft-365-Konto wurde gesperrt. Bitte melden Sie sich erneut an.“ Der Nutzer gibt Benutzername und Passwort ein und der Angreifer erhält die Daten.

AitM-Angriffe gehen einen Schritt weiter. Der Angreifer stellt sich zwischen den Mitarbeitenden → der gefälschten Anmeldeseite → und dem echten Microsoft-Login.

Die gefälschte Seite arbeitet dabei wie ein Vermittler:

1. Der Nutzer öffnet eine täuschend echte Microsoft-Anmeldeseite.
2. Die Eingaben werden an Microsoft weitergeleitet.
3. Die Antwort von Microsoft wird zurück an den Nutzer übertragen.
4. Der Angreifer kann die Sitzung abfangen.

Der Angreifer muss nicht unbedingt das Passwort stehlen. Es reicht, wenn er eine gültige Sitzung übernimmt!

Warum hilft MFA hier nicht immer?

Viele Unternehmen setzen heute auf Multifaktor-Authentifizierung. Das ist gut so und es ist weiterhin eine sehr wichtige Sicherheitsmaßnahme. Allerdings schützt MFA hauptsächlich vor gestohlenen Passwörtern. Bei einem AitM-Angriff hingegen, kann ein Angreifer den gesamten Anmeldevorgang begleiten:

• Benutzername
• Passwort
• MFA-Code
• Sitzungstoken

Wenn der Nutzer den MFA-Code auf einer gefälschten Seite eingibt, kann der Angreifer die erfolgreiche Anmeldung übernehmen:

• Normales Phishing: Passwort gestohlen → Konto gefährdet
• AitM-Phishing: Anmeldung abgefangen → aktive Sitzung übernommen

Wie läuft der Angriff ab?

Die Angriffe beginnen häufig mit scheinbar harmlosen E-Mails mit dem Betreff: „Sie haben eine neue Sprachnachricht erhalten.“ oder:„Bitte prüfen Sie Ihre aktuelle Nachricht.“ Der Link führt nicht direkt zu einer bekannten Schadseite. Stattdessen nutzen die Angreifer mehrere Weiterleitungen über legitime Dienste. Zum Einsatz kommen unter anderem:

• Google-Dienste
• Google Meet-Links
• Werbe-Weiterleitungen
• Amazon-Webserver

Warum? Weil Sicherheitsfilter bekannte und vertrauenswürdige Dienste oft weniger kritisch bewerten.

Der Ablauf:

1. Mitarbeiter erhält eine Phishing-Mail.
2. Klick auf den Link.
3. Mehrere Weiterleitungen verschleiern das eigentliche Ziel.
4. Nutzer landet auf einer gefälschten Microsoft-Anmeldeseite.
5. Anmeldung wird abgefangen.
6. Angreifer behalten Zugriff auf die Sitzung.

Was machen die Angreifer nach der Kontoübernahme?

Interessant ist, dass die Angreifer häufig nicht sofort Passwörter oder Einstellungen verändern, stattdessen beobachten sie zunächst nur und suchen gezielt nach Mitarbeitenden, die mit Geldflüssen zu tun haben:

• Buchhaltung
• Personalabteilung
• Lohnabrechnung
• Einkauf
• Geschäftsführung

Anschließend durchsuchen sie E-Mails nach Begriffen wie:

• Gehaltszahlungen
• Rechnungen
• Bankverbindungen
• Überweisungen
• Lieferanten
• Zahlungsfreigaben
• interne Dokumente

Die Gefahr: Betrug mit Gehaltszahlungen und Rechnungen

Ein mögliches Angriffsszenario:

1. Ein Angreifer übernimmt das Konto eines Mitarbeiters aus der Personalabteilung.
2. Er liest die interne Kommunikation.
3. Er findet Informationen über Gehaltszahlungen.
4. Er versucht, Zahlungsinformationen zu manipulieren, zum Beispiel durch:
   • Änderung einer Bankverbindung
   • gefälschte Anweisung an die Buchhaltung
   • Manipulation von Lieferantendaten

Solche Angriffe werden als Business Email Compromise (BEC) bezeichnet.

Passend zum Thema: Business-Email-Compromise: Warum es so gefährlich ist und wie man sich schützen kann

Warum werden diese Angriffe oft spät entdeckt?

Die Angreifer vermeiden auffällige Aktionen.

Sie:

• ändern keine Passwörter
• legen nicht sofort neue Benutzer an
• versenden nicht massenhaft Spam
• verändern keine Sicherheitsoptionen

Stattdessen:

• halten sie gestohlene Sitzungen aktiv
• lesen E-Mails
• sammeln Informationen
• warten auf günstige Momente

Teilweise kommen sogenannte Residential Proxies zum Einsatz. Sie sorgen dafür, dass ein Zugriff so aussieht, als würde er von einem normalen Internetanschluss eines echten Nutzers kommen. Dadurch fällt weniger schnell auf, dass dahinter ein automatisiertes System steckt.

Warnzeichen für Unternehmen

Folgende Hinweise sollten ernst genommen werden:

Ungewöhnliche Anmeldungen

Zum Beispiel:

• neue Länder oder Regionen
• ungewöhnliche Geräte
• ungewöhnliche Browser
• wechselnde IP-Adressen

Auffällige E-Mail-Aktivitäten

Zum Beispiel:

• plötzliches Lesen vieler alter Nachrichten
• Zugriffe auf Finanz- oder Personalpostfächer
• unerklärliche Suchaktivitäten

Verdächtige Login-Seiten

Warnzeichen:

• ungewöhnliche URL
• Weiterleitungen über fremde Domains
• Login-Aufforderungen außerhalb normaler Arbeitsabläufe

Wie schützen sich Unternehmen?

1. Phishing-resistente MFA verwenden

Nicht jede MFA ist gleich sicher. Empfehlenswert sind z. B.:

• Passkeys
• FIDO2-Sicherheitsschlüssel
• Hardware-Token

Diese Methoden schützen besser gegen AitM-Angriffe, weil die Anmeldung kryptografisch an die echte Webseite gebunden ist.

2. Conditional Access aktivieren

Unternehmen mit Microsoft 365 sollten Zugriffsregeln nutzen.

Beispiele:

• Zugriff nur von verwalteten Geräten erlauben
• unbekannte Regionen blockieren
• riskante Anmeldungen zusätzliche prüfen
• alte Authentifizierungsverfahren deaktivieren

3. Microsoft-365-Überwachung gezielt einsetzen

Unternehmen sollten insbesondere folgende Bereiche überwachen:

• Login-Aktivitäten
• ungewöhnliche Sitzungen
• verdächtige OAuth-Zugriffe
• Zugriffe auf Postfächer
• ungewöhnliche API-Nutzung

Wichtige Fragen:

• Meldet sich ein Benutzer plötzlich anders an?
• Greift ein Konto ungewöhnlich viele E-Mails ab?
• Werden Finanzpostfächer durchsucht?

4. Mitarbeiter für moderne Phishing-Angriffe sensibilisieren

Klassische Schulungen reichen nicht mehr aus, denn Mitarbeiterinnen und Mitarbeiter müssen wissen, dass nicht nur der Link gefährlich ist. Auch eine perfekte aussehende Microsoft-Login-Seite kann gefälscht sein.

Regeln:

• Keine Anmeldung über Links aus unerwarteten E-Mails
• Microsoft-Webseiten selbst öffnen
• Bei ungewöhnlichen Aufforderungen nachfragen
• Keine MFA-Codes weitergeben

5. Finanzprozesse zusätzlich absichern

Besonders bei Zahlungen und Änderungen von Bankverbindungen sollten Unternehmen zusätzliche Sicherheitsmaßnahmen einbauen:

• Änderungen von Bankdaten telefonisch bestätigen
• Vier-Augen-Prinzip verwenden
• keine Zahlungsänderungen nur per E-Mail akzeptieren

6. Berechtigungen reduzieren

Nicht jeder Mitarbeiter benötigt Zugriff auf:

• Finanzdaten
• Personalinformationen
• vertrauliche Dokumente

Das Prinzip: Nur die notwendigen Rechte vergeben.

7. Bei Verdacht sofort reagieren

Wenn ein Microsoft-365-Konto betroffen sein könnte:

1. Sitzungstokens widerrufen
2. Passwort ändern
3. MFA überprüfen
4. aktive Geräte prüfen
5. Weiterleitungen kontrollieren
6. Postfachregeln prüfen
7. Anmeldeprotokolle analysieren

Der neue Fokus der Angreifer liegt auf Vertrauen

Die aktuelle Kampagne zeigt eine wichtige Entwicklung: Angreifer versuchen nicht mehr nur, Passwörter zu stehlen. Sie greifen die gesamte digitale Identität eines Mitarbeiters an.

Ein kompromittiertes Microsoft-365-Konto kann ein direkter Zugang zu:

• Geldströmen
• Kundendaten
• internen Dokumenten
• Geschäftsgeheimnissen

sein.

Unternehmen sollten Microsoft 365 deshalb nicht nur als E-Mail-System betrachten, sondern als zentrale Sicherheitskomponente ihrer gesamten Organisation.

…