Microsoft 365 im Visier: Wie Angreifer Cloud-Konten übernehmen, ohne das Passwort zu knacken

Von Christopher Schütz · Juli 2026 · 9 Min. Lesezeit

Für viele Unternehmen ist Microsoft 365 die zentrale Arbeitsumgebung: E-Mail, Kalender, Dateien, Kontakte, alles an einem Ort. Genau das macht die Plattform zu einem der beliebtesten Ziele für Angreifer. Das Beunruhigende daran: Bei den aktuellen Angriffswellen müssen die Täter oft gar kein Passwort knacken und auch keine Zwei-Faktor-Anmeldung überwinden. Sie lassen die Anmeldung ganz normal ablaufen und stehlen anschließend den Nachweis, dass sie stattgefunden hat.

Der Trick mit dem Anmelde-Token

Wenn Sie sich bei Microsoft 365 anmelden, stellt der Dienst danach einen digitalen Nachweis aus, damit Sie nicht bei jedem Klick neu Passwort und Code eingeben müssen. Dieser Nachweis, der Token, ist der eigentliche Schlüssel zum Konto. Wer ihn besitzt, ist angemeldet, unabhängig davon, wie sicher das Passwort war.

Genau darauf zielen die aktuellen Angriffe. Eine besonders verbreitete Variante nutzt den sogenannten Geräte-Code, ein eigentlich harmloses Verfahren, mit dem man sich zum Beispiel auf einem Fernseher anmeldet. Die Angreifer bringen ihr Opfer dazu, auf der echten Microsoft-Seite einen Code einzugeben. Das Opfer meldet sich ganz normal und erfolgreich an, autorisiert dabei aber unbemerkt eine App der Angreifer. Der ausgestellte Token landet so direkt bei den Tätern.

Laut Sicherheitsberichten wurden auf diese Weise seit Anfang 2026 hunderte Organisationen angegriffen. Das US-amerikanische Internet Crime Complaint Center warnte zudem vor fertigen Baukästen, die Microsoft-365-Token abgreifen. Der entscheidende Punkt: Diese Methode versucht gar nicht, die Zwei-Faktor-Anmeldung zu umgehen. Sie lässt den Nutzer die Anmeldung erfolgreich abschließen und stiehlt danach das Ergebnis.

Was nach der Übernahme passiert

Sobald der Angreifer den Token hat, kann er auf das Konto zugreifen, als wäre er der Mitarbeiter selbst. Laut den Analysen folgt dann oft ein wiederkehrendes Muster: Die Täter durchsuchen das Postfach, laden Dateien aus der Cloud herunter, sammeln Kontakte und Kalenderdaten und verschaffen sich einen Überblick. In manchen Fällen registrieren sie sogar ein eigenes Gerät im Firmen-Verzeichnis, um dauerhaft Zugriff zu behalten, selbst wenn der gestohlene Token später gesperrt wird.

Häufig ist das erst der Anfang. Ein übernommenes Postfach eignet sich hervorragend für den nächsten Schritt: gefälschte Rechnungen an Kunden, betrügerische Zahlungsanweisungen an Kollegen oder die Verbreitung weiterer Angriffe innerhalb des Unternehmens. Weil die Nachrichten aus einem echten Konto kommen, wirken sie besonders glaubwürdig.

Warum die Cloud eigene Regeln braucht

Viele Unternehmen behandeln ihre Cloud so, als wäre sie automatisch sicher, weil ein großer Anbieter dahintersteht. Der Anbieter sichert aber nur seine Infrastruktur. Wie Ihre Konten konfiguriert sind, wer worauf zugreifen darf und welche Apps Zugriff erhalten, liegt in Ihrer Verantwortung. Genau hier setzen die Angreifer an.

Sechs Maßnahmen für ein sicheres Microsoft 365

1. Phishing-resistente Anmeldung für wichtige Konten. Passkeys und Hardware-Schlüssel sind deutlich schwerer auszuhebeln als SMS-Codes und schützen auch besser vor dem Umleiten der Anmeldung.

2. Bedingte Zugriffsregeln. Anmeldungen aus unpassenden Ländern, von unbekannten Geräten oder zu untypischen Zeiten lassen sich einschränken oder mit zusätzlichen Prüfungen versehen. So wird ein gestohlener Token schneller wertlos.

3. Das Geräte-Code-Verfahren einschränken. Wo es nicht gebraucht wird, sollte diese Anmeldeart eingeschränkt werden, denn sie ist ein bevorzugter Angriffsweg.

4. Fremde Apps kontrollieren. Nicht jede App, die Zugriff auf Ihr Postfach oder Ihre Dateien anfordert, ist harmlos. Solche Berechtigungen sollten geprüft und unnötige entzogen werden.

5. Anmeldungen überwachen. Verdächtige oder ungewöhnliche Anmeldungen müssen auffallen, damit eine Übernahme früh erkannt und der Zugang gesperrt werden kann.

6. Mitarbeiter aufklären. Wer weiß, dass eine unerwartete Aufforderung zur Code-Eingabe ein Warnsignal ist, fällt seltener darauf herein.

Wie TwoPixels Ihre Cloud absichert

Wir helfen Ihnen, Microsoft 365 sinnvoll zu konfigurieren, statt sich auf Standardeinstellungen zu verlassen. Dazu gehören eine phishing-resistente Anmeldung für Ihre wichtigsten Konten, sinnvolle Zugriffsregeln und ein Aufräumen fremder App-Berechtigungen. Über unser Sicherheitsmonitoring auf Wazuh-Basis behalten wir ungewöhnliche Anmeldungen im Blick, und Zugangsdaten liegen geschützt in einem zentralen, verschlüsselten Secret-Management. Mit einem Sicherheits-Check prüfen wir zunächst, wo Ihre Cloud heute angreifbar ist.

Häufige Fragen

Wir haben doch die Zwei-Faktor-Anmeldung aktiv, reicht das nicht?
Sie ist wichtig, aber die aktuellen Angriffe umgehen sie teils, indem sie den fertigen Anmelde-Nachweis stehlen. Zusätzliche Schutzschichten wie phishing-resistente Anmeldung und Zugriffsregeln sind deshalb nötig.

Ist die Microsoft-Cloud unsicher?
Die Infrastruktur ist gut abgesichert. Angegriffen wird die Konfiguration Ihrer Konten und das Verhalten der Nutzer. Genau dort können und müssen Sie ansetzen.

Woran erkennen wir eine Konten-Übernahme?
An ungewöhnlichen Anmeldungen, unerwarteten Weiterleitungsregeln im Postfach, fremden angemeldeten Geräten oder Beschwerden von Kunden über seltsame Nachrichten. Ohne Überwachung bleibt das oft lange unbemerkt.

Was tun wir sofort bei Verdacht?
Betroffenes Konto sperren, alle Sitzungen und Token zurückziehen, Passwort und Anmeldeverfahren erneuern und Postfachregeln sowie fremde Geräte prüfen. Bei betroffenen personenbezogenen Daten greift die 72-Stunden-Meldepflicht der DSGVO.

Fazit und nächster Schritt

Angreifer knacken heute nicht mehr unbedingt das Passwort, sie stehlen den Anmelde-Nachweis und übernehmen so ganze Microsoft-365-Konten. Der Schutz liegt in einer durchdachten Konfiguration: phishing-resistente Anmeldung, klare Zugriffsregeln, kontrollierte App-Berechtigungen und laufende Überwachung.

Sie möchten wissen, wie sicher Ihr Microsoft 365 eingerichtet ist? Fordern Sie einen Sicherheits-Check bei TwoPixels an: Christopher Schütz, info@webagentur-twopixels.de, +49 1556 7039821.

Quellen

• BleepingComputer: Microsoft 365 accounts targeted in wave of OAuth phishing attacks · https://www.bleepingcomputer.com/news/security/microsoft-365-accounts-targeted-in-wave-of-oauth-phishing-attacks/
• The Hacker News: Device Code Phishing Hits 340+ Microsoft 365 Organizations · https://thehackernews.com/2026/03/device-code-phishing-hits-340-microsoft.html
• IC3 (FBI): Kali365 Phishing-as-a-Service Kit Hijacks Microsoft 365 Access Tokens · https://www.ic3.gov/PSA/2026/PSA260521
• Microsoft Security Blog: OAuth redirection abuse enables phishing and malware delivery · https://www.microsoft.com/en-us/security/blog/2026/03/02/oauth-redirection-abuse-enables-phishing-malware-delivery/