Microsoft Security Research berichtet über aktive cloudbasierte Einbrüche, bei denen Passkey-, MFA- oder SSO-Themen als Vorwand für Social Engineering genutzt werden. Die Angreifer wollen nicht beweisen, dass Passkeys unsicher sind. Microsoft beschreibt vielmehr, wie ein glaubwürdiger Passkey-Hinweis Benutzer in AiTM-Phishing oder Device-Code-Anmeldung führt und danach Identitäten, Microsoft Graph, SharePoint, OneDrive und Exchange ausgenutzt werden. Für KMU mit Microsoft 365 ist das ein konkreter Prüfpunkt für Microsoft Entra ID, Defender XDR und Cloud-Datenzugriffe, weil der Angriff direkt an alltägliche Identitätsprozesse anschließt.
Was Microsoft am 9. September 2026 meldet
Der Microsoft Security Blog beschreibt eine Angriffskette, die Microsoft seit Mai 2026 beobachtet. Sie beginnt häufig mit einem Anruf oder einer Nachricht an die private Mobilnummer eines Mitarbeiters. Der Absender gibt sich als IT-Helpdesk aus und behauptet, Passkey, MFA oder Single Sign-On müssten sofort aktualisiert werden. Der Link führt zu Infrastruktur, die Microsoft-Anmeldeoberflächen nachahmt oder den Benutzer in einen legitimen Device-Code-Ablauf lenkt. In einzelnen Fällen werden laut Microsoft bereits kompromittierte Konten genutzt, um ähnliche Nachrichten über Microsoft Teams zu senden.
Nach erfolgreicher Anmeldung sieht Microsoft ungewöhnliche Sign-ins, neu hinzugefügte Authentifizierungsmethoden, Microsoft-Graph-Reconnaissance, SharePoint- und OneDrive-Downloads sowie E-Mail-Sammlung über REST-APIs. Diese Reihenfolge ist wichtiger als einzelne Domains oder IP-Adressen, weil die Infrastruktur laut Microsoft schnell wechseln kann und ein einzelner Treffer ohne Kontext leicht falsch bewertet wird.
Warum das für KMU spürbar ist
Die beschriebenen Schritte passen nicht nur zu Konzernen. Auch Organisationen mit 10 bis 250 Arbeitsplätzen haben Benutzer mit Microsoft-365-Zugriff, geteilte Dateien, Teams-Kommunikation, E-Mail-Anhänge und gelegentliche Helpdesk-Anfragen. Wenn ein kompromittiertes Konto zusätzlich eine fremde Authentifizierungsmethode erhält, kann aus einem kurzen Irrtum ein persistenter Cloud-Zugriff werden. Besonders kritisch ist das bei Konten, die auf viele Projektordner, Postfächer oder interne Anwendungen zugreifen dürfen.
- Ein persönlicher Anruf wirkt oft glaubwürdiger als eine Massen-Phishing-Mail.
- Passkey- und MFA-Begriffe klingen nach legitimer Sicherheitsmodernisierung.
- SharePoint, OneDrive und Exchange enthalten auch in kleinen Teams geschäftskritische Daten.
- Graph-Aktivität fällt selten auf, wenn sie nicht mit Sign-ins und MFA-Änderungen korreliert wird.
Dringlichkeit: aktive Kampagne statt Terminfrist
Microsoft nennt keinen zukünftigen Stichtag, sondern eine laufende Aktivität. Die konkrete Handlung ist daher eine zeitnahe Kontrolle von Identitäts- und Cloud-Signalen. Relevant sind besonders ungewöhnliche Sign-ins, Device-Code-Ereignisse, neu registrierte MFA-Geräte, Token-Ausstellung, breite Graph-Abfragen und anomale Datei- oder Mailbox-Zugriffe. Wer Microsoft Defender nutzt, kann Microsofts Advanced-Hunting-Abfragen als Ausgangspunkt nehmen.
Wichtig ist die Abgrenzung: Der Beitrag ist kein Argument gegen Passkeys. Microsoft Learn beschreibt Passkeys in Entra ID weiterhin als phishingresistente Anmeldemethode. Der Missbrauch liegt im Vorwand und in nicht phishingresistenten Ausweichpfaden wie abgefangenen Sitzungen oder Device-Code-Flows.
Welche Signale zusammengehören
Microsoft empfiehlt, Identität und Workloads als zusammenhängende Sequenz zu untersuchen. Ein einzelner IP-Treffer oder eine Domain reicht nicht als Beweis. Aussagekräftiger ist die Kette aus ungewöhnlichem Sign-in, Änderung der Authentifizierungsmethode, Graph-Reconnaissance, SharePoint- oder OneDrive-Suche, Exchange-REST-Aktivität und hohem Downloadvolumen.
Für Microsoft Entra ID bedeutet das: Sicherheitsinformationen, MFA-Registrierung und Risikoereignisse müssen mit Zugriffen auf Exchange, SharePoint und Graph verbunden werden. Conditional Access kann dabei phishingresistente MFA, verwaltete Geräte, sign-in-frequency für Sicherheitsinformationen und Einschränkungen für Device-Code- oder Authentication-Transfer-Flows erzwingen. Diese Kontrollen sollten nicht nur für Administratoren, sondern auch für Benutzer mit breitem Datenzugriff betrachtet werden.
Konkrete nächste Schritte für Administratoren
- Neu registrierte Authentifizierungsmethoden bei riskanten oder ungewöhnlichen Sign-ins prüfen.
- Nicht autorisierte MFA-Methoden entfernen, Sitzungen widerrufen und Zugangsdaten zurücksetzen.
- Graph-Abfragen auf Rollen, Anwendungen, Service Principals, Dateien und Mailboxen korrelieren.
- SharePoint-, OneDrive- und Exchange-REST-Aktivität auf Volumen, Quelle und Benutzeragenten prüfen.
- Conditional Access für Sicherheitsinformationen, verwaltete Geräte und phishingresistente MFA nachschärfen.
- Device-Code-Flows und App-Zustimmungen nur zulassen, wenn ein dokumentierter Bedarf besteht.
In einem Microsoft Security Assessment lässt sich daraus ein klarer Testfall ableiten: Wird ein kompromittiertes Konto bereits bei MFA-Persistenz und Graph-Reconnaissance sichtbar, oder erst nach Datenabfluss?
Offizielle Microsoft-Quellen
- Microsoft Security Blog: Passkey-themed social engineering
- Microsoft Learn: Advanced hunting in Microsoft Defender XDR
- Microsoft Learn: Passkeys in Microsoft Entra ID
- Microsoft Learn: Conditional Access overview
Wenn Sie prüfen möchten, ob Entra ID, Defender XDR und Microsoft 365 diese Angriffskette in Ihrer Umgebung nachvollziehbar sichtbar machen, unterstützen wir bei einem kompakten Review Ihrer Sicherheitskonfiguration – sprechen Sie uns an.
Was bedeutet das für Ihre Umgebung?
Ordnen Sie das Thema im Kontext Ihrer Microsoft-365-Umgebung ein und legen Sie einen sinnvollen nächsten Schritt fest.
Sie sprechen direkt mit Sebastian Kerssen – seit 2014 im Microsoft-Umfeld, mit persönlicher Beratung und direktem Ansprechpartner.
