Microsoft beschreibt am 14. Oktober 2026 ein Phishing-Ökosystem, in dem Storm-3119 kompromittierte oder betrügerisch angelegte Cloud-Umgebungen bereitstellt und Storm-2990 Phishing-Kits entwickelt. Der Bericht verbindet gestohlene Zugangsdaten, missbrauchte Microsoft-365-Ressourcen und nachgelagerte Angriffe. Für Unternehmen mit 10 bis 250 Arbeitsplätzen ergibt sich daraus ein konkreter Prüfauftrag: E-Mail-Schutz auch innerhalb der Organisation kontrollieren und privilegierte Identitäten absichern. Microsoft nennt keine besondere Betroffenheit deutscher KMU; die beschriebenen Angriffstechniken können laut Bericht jedoch jede Organisation treffen.
Was hinter dem Phishing-Ökosystem steckt
Storm-3119 betreibt den Marktplatz YAM Store. Microsoft beschreibt, wie dort übernommene Konten und Cloud-Ressourcen an weitere Angreifer verkauft werden. Zum untersuchten Ablauf gehören gestohlene Anwendungszugangsdaten, privilegierte Verzeichniszugriffe und der Missbrauch von SharePoint und OneDrive als Hosting-Infrastruktur. Storm-2990 steht für die Entwickler der Kits CoGUI, Haozi und Iron Man System. Nachgelagerte Akteure nutzen die Infrastruktur unter anderem für Zugangsdiebstahl, Device-Code-Phishing und Finanzbetrug. Das sind unterschiedliche Rollen in einer Lieferkette, nicht zwei Namen für denselben Angreifer.
Warum vertraute Absender nicht ausreichen
Der Microsoft-Bericht zeigt, dass Angriffe nicht ausschließlich über offensichtlich fremde Infrastruktur laufen. Übernommene Cloud-Ressourcen können Teil der Täuschung sein. Für die technische Betreuung kleinerer Microsoft-365-Umgebungen ist deshalb entscheidend, Schutz nicht allein an der Absenderadresse festzumachen. Microsoft empfiehlt ausdrücklich, Safe Links auch auf interne Empfänger anzuwenden. Eine Prüfung von Microsoft Defender sollte daher neben externen Nachrichten auch den internen Nachrichtenweg und die tatsächlich erfassten Empfänger berücksichtigen.
- Dringliche Zahlungs- oder Anmeldeaufforderungen über einen unabhängigen Kontaktweg verifizieren.
- Mitarbeitende für verdächtige Links, SMS und unerwartete Anmeldeaufforderungen sensibilisieren.
- Interne Nachrichten nicht pauschal von der Prüfung schädlicher Links ausnehmen.
- Verdächtige Nachrichten und Anmeldungen an einen festgelegten Verantwortlichen melden.
Fristen und zeitliche Einordnung
Die Veröffentlichung vom 14. Oktober 2026 ist ein aktueller Anlass zur Überprüfung, aber keine technische Umstellungsfrist. Microsoft nennt weder einen verbindlichen Abschalttermin noch einen allgemeinen Patch für dieses Phishing-Ökosystem. Die Handlung besteht in der Kontrolle vorhandener Schutzmaßnahmen. Als redaktionelle Empfehlung bietet sich eine zeitnahe Bestandsaufnahme an; bei verdächtigen Anmeldungen oder Nachrichten sollte die Untersuchung unmittelbar beginnen. Ein bestimmtes Abschlussdatum wäre dagegen frei erfunden. Ebenso wäre es falsch, aus der beschriebenen Infrastruktur automatisch auf eine Kompromittierung des eigenen Tenants zu schließen.
Welche Einstellungen jetzt zu prüfen sind
Microsoft Learn dokumentiert für Safe Links die Einstellung Apply Safe Links to email messages sent within the organization; der empfohlene Wert ist aktiviert. Dabei zählen die wirksame Richtlinie, ihre Empfängerbedingungen und Ausnahmen, nicht nur das Vorhandensein einer Konfiguration. Safe Links prüft Links beim Anklicken, hat aber dokumentierte Grenzen, etwa bei bestimmten Nachrichtenformaten. Die Kontrolle sollte deshalb keine vollständige Schutzgarantie versprechen.
- Wirksame Safe-Links-Richtlinien einschließlich interner Nachrichten und Empfängerausnahmen erfassen.
- E-Mail-Schutzeinstellungen mit Microsofts dokumentierten Empfehlungen abgleichen.
- Privilegierte Rollen und unnötig weitreichende Berechtigungen überprüfen.
- Verdächtige Anmeldungen mit den im Bericht genannten Defender- und Entra-Signalen abgleichen.
Für administrative Zugänge empfiehlt Microsoft phishingresistente MFA. Die Einrichtung über Microsoft Entra ID muss vorbereitet werden: Geeignete Methoden müssen registriert sein, Notfallkonten berücksichtigt und Richtlinien zunächst im Report-only-Modus ausgewertet werden. Microsoft warnt ausdrücklich vor einer Aussperrung ohne vorbereitete Anmeldung. Benutzerbezogene Conditional-Access-Richtlinien blockieren außerdem keine Aufrufe durch Service Principals; Anwendungszugänge brauchen eine eigene Betrachtung.
Konkrete nächste Schritte für kleinere Teams
Als praktische Umsetzung empfehlen wir einen begrenzten Review statt einer ungezielten Neugestaltung. Zuerst werden die vorhandenen Einstellungen und Verantwortlichkeiten dokumentiert. Anschließend werden begründete Änderungen kontrolliert erprobt. Das Ergebnis sollte nachvollziehbar zeigen, welche Konten und Nachrichtenwege erfasst sind und welche Ausnahmen verbleiben. Diese Reihenfolge ist ein Arbeitsvorschlag, keine von Microsoft vorgegebene Projektfrist.
Für die Bewertung ist außerdem wichtig, Erkennung und Vorbeugung zu trennen. Microsoft ordnet die genannten Defender-Erkennungen den beobachteten nachgelagerten Angriffen zu. Daraus folgt weder, dass jede Variante dieselbe Warnung erzeugt, noch dass eine fehlende Warnung Entwarnung bedeutet. Dokumentieren Sie deshalb neben Alarmbefunden auch die geprüften Einstellungen und die Grenzen der eigenen Sichtbarkeit.
- Eine verantwortliche Person für E-Mail-Schutz und Identitäten benennen.
- Safe-Links-Abdeckung und privilegierte Zugänge anhand der Primärquellen prüfen.
- MFA-Änderungen vorbereitet testen und Report-only-Ergebnisse vor der Aktivierung bewerten.
- Befunde, freigegebene Änderungen und verbleibende Ausnahmen schriftlich festhalten.
Offizielle Microsoft-Quellen
Grundlage ist der Microsoft-Bericht zu Storm-2990 und Storm-3119. Technische Details liefern die Safe-Links-Dokumentation, die empfohlenen E-Mail-Schutzeinstellungen und die Anleitung für phishingresistente Administrator-MFA.
Wenn Sie E-Mail-Schutz und privilegierte Zugänge in Ihrer Microsoft-365-Umgebung technisch überprüfen möchten, unterstützen wir bei einem fokussierten Review – sprechen Sie uns an.
Was bedeutet das für Ihre Umgebung?
Ordnen Sie das Thema im Kontext Ihrer Microsoft-365-Umgebung ein und legen Sie einen sinnvollen nächsten Schritt fest.
Sie sprechen direkt mit Sebastian Kerssen – seit 2014 im Microsoft-Umfeld, mit persönlicher Beratung und direktem Ansprechpartner.
