Microsoft 365: Angreifer kommen trotz MFA ins Postfach – Token-Diebstahl erkennen und stoppen
Microsoft-365-Token-Diebstahl ist der Grund, warum Angreifer in Postfächer kommen, obwohl die Zwei-Faktor-Anmeldung (MFA) eingeschaltet ist. Das Sicherheitsunternehmen Huntress hat am 22. Oktober 2026 eine Angriffswelle beschrieben, die zwischen Juli und September 2026 Konten bei 79 Organisationen getroffen hat. MFA bleibt trotzdem richtig und wichtig. Es braucht aber ein paar Ergänzungen, und die meisten davon sind schnell eingerichtet.
Was bei der Angriffswelle passiert ist
Die Angreifer haben keine Passwörter erraten. Sie haben fertige Anmelde-Token benutzt, also die digitale Bestätigung, die Microsoft nach einer erfolgreichen Anmeldung samt MFA ausstellt. Wer so ein Token besitzt, gilt für Microsoft als bereits angemeldet.
Laut Huntress lief die Kampagne vom 14. Juli bis 22. September 2026. Gezählt wurden mindestens 497 erfolgreiche Anmeldungen und mehr als 200.000 fehlgeschlagene Versuche. Die Anmeldungen kamen aus einem Adressbereich eines Hamburger Hosting-Anbieters.
Laut Huntress stammten die Token aus mehreren Quellen:
- Phishing-Seiten, die die echte Microsoft-Anmeldung samt MFA im Hintergrund durchreichen (Adversary in the Middle).
- Device-Code-Phishing, bei dem Opfer einen Code auf einer echten Microsoft-Seite eingeben und damit unwissentlich das Gerät des Angreifers anmelden.
- Gezielte Täuschung (Social Engineering) während einer echten Anmeldung.
Was die Angreifer im Konto gemacht haben
Bemerkenswert ist laut Huntress, wie gründlich die Täter sich eingerichtet haben:
- Sie haben mindestens 48 eigene Geräte in Entra ID registriert, mit Namen nach dem Muster „DESKTOP-“ plus acht Zeichen, die wie normale Firmenrechner aussehen.
- In 19 Organisationen haben sie die vorhandenen MFA-Methoden gelöscht und innerhalb von drei Stunden eigene eingetragen.
- Sie haben Posteingangsregeln mit unauffälligen Namen wie „.“ oder „sss“ angelegt, die Mails in Ordner wie RSS-Feeds oder Unterhaltungsverlauf verschieben.
- In einem Fall ging eine Mail zur Lohnabrechnung an eine externe Adresse.
Das Ziel ist meist Rechnungs- oder Zahlungsbetrug: mitlesen, im richtigen Moment eine geänderte Bankverbindung schicken und die Antworten verstecken.
Unsicher, ob in Ihren Konten etwas Ungewöhnliches eingerichtet ist? Gakko-IT prüft das für Sie, mehr dazu bei Microsoft 365.
So prüfen Sie Ihre Konten
Mit Administratorrechten lässt sich das in überschaubarer Zeit durchgehen:
- Im Entra Admin Center unter Geräte nach Einträgen suchen, die niemand kennt, besonders nach dem Muster DESKTOP-XXXXXXXX.
- Bei jedem Benutzer die Authentifizierungsmethoden ansehen: Gibt es neue Telefonnummern oder Authenticator-Apps, die niemand eingerichtet hat?
- In Exchange Online oder direkt in Outlook die Posteingangsregeln aller Postfächer prüfen, vor allem Regeln mit kurzen oder sinnlosen Namen.
- In den Anmeldeprotokollen nach Anmeldungen aus ungewohnten Ländern oder von Hosting-Anbietern schauen.
Huntress weist auf einen nützlichen Nebeneffekt hin: Wird eine Anmeldung durch Bedingten Zugriff blockiert (Fehlercode AADSTS53003), war das Passwort oder Token trotzdem gültig, denn Microsoft prüft diese Regeln erst nach dem ersten Anmeldefaktor. Das Konto sollte dann zurückgesetzt werden.
Was jetzt zu tun ist
Bei einem Verdacht zählt die Reihenfolge:
- Das Konto vorübergehend sperren, im Entra Admin Center „Sitzungen widerrufen“ wählen und das Passwort zurücksetzen. Ein reiner Passwortwechsel genügt nicht: Laut Microsoft gilt ein bereits ausgestelltes Zugriffstoken standardmäßig 60 bis 90 Minuten, sofern es nicht vorher automatisch entwertet wird.
- Fremde Geräte, MFA-Methoden und Posteingangsregeln entfernen.
- Prüfen, welche Mails in der fraglichen Zeit verschickt wurden, und betroffene Geschäftspartner warnen.
Vorbeugend helfen diese Einstellungen:
- Bedingter Zugriff (Conditional Access) für alle Benutzer, alle Anwendungen und alle Client-Typen, etwa nur verwaltete Geräte oder bekannte Standorte. Dafür braucht es Entra ID P1, das etwa in Business Premium enthalten ist, siehe Microsoft-365-Lizenzen im Vergleich.
- Den Device-Code-Ablauf sperren, wo er nicht gebraucht wird.
- Benutzern verbieten, Apps eigenständig Zugriff auf Firmendaten zu erteilen.
- Phishing-resistente Anmeldung mit Passkeys oder Sicherheitsschlüsseln für Admins und Buchhaltung.
Was der Fall für kleine Betriebe zeigt
MFA ist nicht nutzlos geworden, im Gegenteil. Sie hält einfache Angriffe zuverlässig ab, und die Täter mussten hier deutlich mehr Aufwand treiben. Richtig umgesetzt heißt aber: MFA ist der Anfang, nicht das Ende. Wie man sie sauber einführt, steht in MFA einführen, woran man die Phishing-Mails erkennt, in Phishing im Betrieb erkennen.
Viele kleine Betriebe nutzen Microsoft 365 noch mit den Standardeinstellungen. Ein Blick auf Geräte, Regeln und Anmeldungen einmal im Monat würde viele dieser Fälle früh sichtbar machen.
Wenn Sie Ihre Microsoft-365-Umgebung prüfen oder Bedingten Zugriff einrichten lassen möchten, unterstützen wir Betriebe in Paderborn und OWL gern, vor Ort oder per Fernwartung. Was dazugehört, steht bei Microsoft 365 und in Microsoft 365 richtig einrichten.