Microsoft 365: Warum MFA allein nicht mehr vor modernen Phishing-Angriffen schützt

Mehr-Faktor-Authentifizierung gehört inzwischen zu den wichtigsten Sicherheitsmaßnahmen für Microsoft 365. Wer neben seinem Kennwort eine zweite Bestätigung benötigt, erschwert Angreifern den Zugriff erheblich.

Aktuelle Angriffe zeigen allerdings, dass MFA allein kein vollständiger Schutz mehr ist. Bei sogenannten Token-Replay- oder Adversary-in-the-Middle-Angriffen versuchen Cyberkriminelle nicht mehr unbedingt, Kennwort und MFA-Code einzeln zu stehlen. Stattdessen greifen sie die bereits erfolgreich authentifizierte Sitzung eines Benutzers an.

Ende Oktober wurde über eine aktuelle Angriffskampagne gegen Microsoft-365-Umgebungen berichtet. Nach Angaben der zugrunde liegenden Huntress-Untersuchung wurden dabei 97 Konten in 79 Organisationen kompromittiert. Die Angreifer verwendeten unter anderem gestohlene Authentifizierungstoken und registrierten teilweise zusätzliche Geräte bzw. Authentifizierungsmethoden, um den Zugriff auf kompromittierte Konten aufrechtzuerhalten.

Was ist ein Anmeldetoken?

Nach einer erfolgreichen Anmeldung erzeugt Microsoft eine digitale Sitzungsinformation. Dadurch muss sich ein Anwender nicht bei jedem Zugriff auf Outlook, Teams oder SharePoint erneut mit Kennwort und MFA anmelden.

Genau diese komfortable Funktionsweise versuchen Angreifer auszunutzen.

Bei einem Adversary-in-the-Middle-Angriff kann beispielsweise eine täuschend echt aussehende Anmeldeseite zwischen Anwender und dem tatsächlichen Microsoft-Anmeldedienst geschaltet werden. Der Benutzer führt seine Anmeldung einschließlich MFA durch. Der Angreifer versucht anschließend, das dabei entstandene Sitzungstoken zu übernehmen und wiederzuverwenden.

Microsoft beschreibt auch Social-Engineering-Angriffe, bei denen Benutzer unter einem Vorwand zur vermeintlich notwendigen Aktualisierung von MFA, SSO oder Passkeys auf gefälschte Anmeldeseiten gelockt werden. Nach erfolgreicher Kompromittierung wurden unter anderem zusätzliche Authentifizierungsmethoden eingerichtet und Daten aus Microsoft 365 abgerufen.

Bedeutet das, dass MFA nichts bringt?

Ganz im Gegenteil.

MFA sollte weiterhin eingesetzt werden. Unternehmen sollten aber darauf achten, welche MFA-Verfahren sie verwenden.

Microsoft treibt deshalb die Umstellung auf phishingresistente Verfahren voran. Seit dem 1. September 2026 werden Passkeys in Microsoft Entra ID als Standard-Authentifizierungserlebnis für Benutzer eingeführt, die bislang SMS oder Sprachanrufe verwenden. Microsoft plant außerdem, die eigene Bereitstellung von SMS- und Sprachanruf-Authentifizierung für die meisten Benutzer zum 1. Februar 2027 einzustellen. Für globale Administratoren und externe Benutzer nennt Microsoft den 1. Juli 2027.

Was sollten Unternehmen jetzt prüfen?

Aus unserer Sicht sollten Unternehmen insbesondere folgende Punkte betrachten:

• Wird MFA wirklich für alle relevanten Benutzer verwendet?
• Welche Benutzer verwenden noch SMS oder Sprachanruf?
• Können Passkeys oder Windows Hello for Business eingesetzt werden?
• Sind administrative Konten besonders geschützt?
• Gibt es Conditional-Access-Richtlinien?
• Werden ungewöhnliche Anmeldungen überwacht?
• Können kompromittierte Sitzungen schnell widerrufen werden?

Die entscheidende Veränderung besteht darin, Identitäten nicht mehr nur über ein Kennwort und einen zusätzlichen Code zu schützen.

Identitätsschutz wird zunehmend zu einem zentralen Bestandteil der gesamten IT-Sicherheit.

Fazit

MFA bleibt wichtig. Unternehmen sollten aber den nächsten Schritt gehen und insbesondere phishingresistente Authentifizierungsverfahren einsetzen.

Gerade Microsoft-365-Umgebungen sollten deshalb regelmäßig hinsichtlich Benutzerkonten, Authentifizierungsmethoden und Zugriffsrichtlinien überprüft werden.

hilfe onLine unterstützt Unternehmen bei der Absicherung und Überprüfung ihrer Microsoft-365-Umgebung.

Quellen: Microsoft Security, Microsoft Learn und aktuelle Huntress-basierte Berichterstattung. [microsoft.com], [learn.microsoft.com], [forkast.news]