Microsoft beschreibt eine beobachtete Kampagne mit KI-gestützter Geschäftsführer-Impersonation und gefälschten Rechnungen. Die Angreifer gaben sich als interne Führungskräfte und als bekannter Anbieter aus, nutzten täuschend echte Rechnungsinhalte und zielten auf Finanzteams. Für kleine und mittlere Unternehmen zählt das jetzt, weil solche Nachrichten nicht wie klassische Schadsoftware wirken: Sie sehen nach interner Freigabe, Lieferantenrechnung und normalem Zahlungsprozess aus.
Was Microsoft beobachtet hat
Microsoft Threat Intelligence berichtet von einer Kampagne Anfang August 2026, bei der mehr als eine Million betrügerische E-Mails über Drittanbieter-Infrastruktur versendet wurden. Die Nachrichten imitierten CEOs, CFOs oder Präsidenten der jeweils angegriffenen Unternehmen. Ziel war laut Microsoft, Buchhaltungs- und Kreditorenteams zu einer ACH-Zahlung von knapp 50.000 US-Dollar zu bewegen. Microsoft nennt außerdem mehrere Hinweise, die mit generativer KI bei der Vorlagenerstellung vereinbar sind, ohne daraus eine abschließende Aussage über den genauen KI-Anteil abzuleiten.
- Gefälschte Absender- und Antwortnamen passten scheinbar zu Führungskräften.
- Eine nachgebaute ServiceNow-Rechnung sollte die Zahlungsanforderung glaubwürdig machen.
- Ein angeblicher Weiterleitungsverlauf sollte interne Abstimmung vortäuschen.
Warum das für KMU gefährlich ist
Für Unternehmen mit 10 bis 250 Arbeitsplätzen ist der Angriff besonders unangenehm, weil Zahlungsvorgänge oft von wenigen Personen abhängen. Wenn Vertretung, Urlaubszeit oder Zeitdruck hinzukommen, wird aus einer einzelnen E-Mail schnell ein reales Geschäftsrisiko. Microsoft stellt klar, dass die legitimen Organisationen, die in den Ködern genannt wurden, nach den vorliegenden Erkenntnissen nicht kompromittiert waren. Das Problem liegt also nicht nur bei einem Anbieter, sondern bei Lookalike-Domains, gefälschten Inhalten und ausgenutztem Vertrauen.
Hinzu kommt: Der Köder fordert keine ungewöhnliche Technikhandlung, sondern eine scheinbar normale kaufmännische Entscheidung. Genau deshalb reicht Awareness allein nicht aus. Wer erst im Einzelfall diskutiert, ob eine Rechnung echt wirkt, verliert wertvolle Zeit. Besser ist eine feste Kombination aus technischer Erkennung, klarer Zahlungsfreigabe und einem dokumentierten Eskalationsweg für verdächtige Lieferantenkommunikation.
Welche Microsoft-Schutzmechanismen helfen
Microsoft verweist auf mehrere Ebenen in Microsoft Defender. Defender for Office 365 kann betrügerische E-Mails, Links und Dateien erkennen; Zero-hour Auto Purge entfernt nachträglich erkannte Phishing-, Spam- oder Malware-Nachrichten aus Cloudpostfächern. In der Kampagnenbeschreibung nennt Microsoft außerdem automatische Angriffsstörung in Defender XDR, die laufende Angriffe eindämmen soll, sowie Threat Analytics im Defender-Portal für aktuelle Informationen und empfohlene Maßnahmen. Microsoft Security Copilot kann laut Microsoft bei Untersuchung und Reaktion unterstützen, etwa über eigene Prompts oder vorbereitete Promptbooks.
Wichtig ist die Reihenfolge der Kontrollen. E-Mail-Authentifizierung und Connector-Prüfung entscheiden, ob eine Nachricht überhaupt glaubwürdig zugestellt wird. Richtlinien für Impersonation, Safe Links und Safe Attachments prüfen Inhalt, Linkziel und Datei. ZAP verkürzt anschließend das Zeitfenster, falls eine Nachricht erst nach der Zustellung als schädlich erkannt wird. Defender XDR verbindet die Signale über Identität, Postfach und Endpunkt hinweg.
Fristen und Dringlichkeit
Microsoft nennt für diese Kampagne keine Umstellungsfrist und kein Abschaltdatum. Die Dringlichkeit ergibt sich aus dem beobachteten Missbrauchsmuster: Die Kampagne lief bereits im August 2026, und Microsoft veröffentlichte die Auswertung am 10. September 2026. Unternehmen sollten deshalb nicht auf ein Produktdatum warten, sondern die eigenen Zahlungs- und E-Mail-Kontrollen kurzfristig prüfen. Besonders wichtig sind Postfächer von Buchhaltung, Assistenz, Geschäftsführung und allen Personen, die Zahlungsfreigaben anstoßen oder bestätigen. Als pragmatische Frist bietet sich der nächste reguläre Security- oder Admin-Termin an: Dort sollten die betroffenen Richtlinien und Zahlungsregeln sichtbar entschieden werden, statt die Prüfung auf einen unbestimmten späteren Zeitpunkt zu verschieben.
Was Unternehmen jetzt konkret prüfen sollten
- Prüfen Sie SPF, DKIM und DMARC sowie Exchange-Connectoren, damit Drittanbieter-Mailflüsse nicht ungeprüft Vertrauen erhalten.
- Kontrollieren Sie, ob ZAP in den relevanten Anti-Spam-, Anti-Phishing- und Anti-Malware-Richtlinien wirksam ist.
- Überprüfen Sie Impersonation-Schutz, Mailbox Intelligence und Richtlinien für Führungskräfte- und Domain-Nachahmung.
- Definieren Sie für Zahlungen einen zweiten Kanal außerhalb der E-Mail, bevor neue Bankdaten oder ungeplante Rechnungen freigegeben werden.
- Nutzen Sie Defender XDR-Vorfälle und Threat Analytics, um ähnliche Köder, Domains und betroffene Benutzer zusammenzuführen.
Ein Microsoft Security Assessment sollte diese Punkte nicht als reine Technikliste behandeln. Entscheidend ist, ob Schutzrichtlinien, Zahlungsprozess und Zuständigkeiten zusammenpassen. Nur dann erkennt das Unternehmen nicht nur eine einzelne verdächtige Nachricht, sondern die Kette aus Absender, Link, Anhang, Identität und möglicher Zahlung.
Offizielle Microsoft-Quellen
- Microsoft Security Blog: Protecting organizations from AI-assisted executive impersonation and invoice fraud
- Microsoft Learn: Zero-hour auto purge in Microsoft Defender for Office 365
- Microsoft Learn: Configure automatic attack disruption in Microsoft Defender XDR
Wenn Sie wissen möchten, ob Ihre Microsoft-365-Umgebung solche Rechnungs- und Geschäftsführer-Köder rechtzeitig erkennt, prüfen wir Defender, Mailfluss und Eskalationswege gemeinsam — sprechen Sie uns an.
Was bedeutet das für Ihre Umgebung?
Ordnen Sie das Thema im Kontext Ihrer Microsoft-365-Umgebung ein und legen Sie einen sinnvollen nächsten Schritt fest.
Sie sprechen direkt mit Sebastian Kerssen – seit 2014 im Microsoft-Umfeld, mit persönlicher Beratung und direktem Ansprechpartner.
