Wenn MFA nicht mehr reicht: So funktioniert modernes Phishing
Multi-Faktor-Authentifizierung gehört heute zu den wichtigsten Sicherheitsmaßnahmen für Microsoft 365. Doch moderne Phishing-Angriffe zeigen, dass MFA allein nicht mehr in jedem Fall ausreicht.
Bei klassischem Phishing ist das Prinzip relativ einfach: Eine gefälschte Webseite sieht aus wie die Microsoft-Anmeldeseite. Gibt ein Benutzer dort seine E-Mail-Adresse und sein Passwort ein, landen diese Informationen beim Angreifer.
MFA erschwert einen solchen Angriff erheblich. Selbst mit dem gestohlenen Passwort benötigt der Angreifer noch den zweiten Faktor.
Moderne Angriffe gehen deshalb einen Schritt weiter.
Der Angreifer sitzt zwischen Benutzer und Microsoft
Bei einem sogenannten Adversary-in-the-Middle-Angriff, kurz AiTM, befindet sich die Phishing-Seite gewissermaßen zwischen dem Benutzer und der echten Microsoft-Anmeldung.
Der Benutzer öffnet beispielsweise einen Link aus einer täuschend echt wirkenden E-Mail und landet auf einer Webseite, die wie Microsoft 365 aussieht.
Was der Benutzer nicht erkennt: Im Hintergrund werden seine Eingaben in Echtzeit an Microsoft weitergeleitet.
Der Ablauf kann beispielsweise so aussehen:
Microsoft beschreibt AiTM als Angriffstechnik, bei der Authentifizierungsverkehr in Echtzeit weitergeleitet wird. Dadurch können Anmeldeinformationen und Sitzungstoken erfasst werden.
Aber ich habe doch MFA aktiviert?
Genau das macht diese Angriffe so gefährlich.
Der Benutzer führt die MFA-Anmeldung tatsächlich durch. Die Authentifizierung findet gegenüber Microsoft statt. Der Angreifer versucht deshalb nicht unbedingt, MFA technisch zu knacken.
Stattdessen bringt er den Benutzer dazu, die Anmeldung selbst erfolgreich abzuschließen.
Anschließend ist vor allem die daraus resultierende authentifizierte Sitzung interessant. Ein erbeuteter Session-Cookie beziehungsweise ein entsprechendes Token kann es dem Angreifer ermöglichen, sich gegenüber Microsoft als bereits authentifizierter Benutzer auszugeben. Microsoft hat entsprechende AiTM-Kampagnen dokumentiert, bei denen anschließend unter anderem auf Postfächer zugegriffen und Business-Email-Compromise-Angriffe durchgeführt wurden.
Woran erkenne ich eine solche Phishing-Seite?
Das ist mittlerweile erstaunlich schwierig.
Design, Microsoft-Logo, Eingabemasken und sogar der Ablauf der MFA-Anmeldung können sehr authentisch wirken.
Der wichtigste Hinweis ist häufig die Internetadresse im Browser.
Eine Seite kann perfekt wie Microsoft aussehen und trotzdem unter einer fremden Domain erreichbar sein. Deshalb sollte insbesondere bei unerwarteten Aufforderungen zur Anmeldung die Adresse im Browser kontrolliert werden.
Besondere Vorsicht ist geboten, wenn eine E-Mail oder Nachricht plötzlich verlangt, sich erneut anzumelden, ein Dokument freizugeben, eine MFA-Konfiguration zu aktualisieren oder eine vermeintlich dringende Sicherheitsmaßnahme durchzuführen.
Microsoft beobachtete 2026 beispielsweise Kampagnen, die Benutzer über mehrere professionell gestaltete Zwischenseiten bis zu einem AiTM-Anmeldeprozess führten.
Ist MFA deshalb nutzlos?
Nein. Ganz im Gegenteil.
MFA bleibt eine wesentliche Sicherheitsmaßnahme und verhindert viele klassische Angriffe auf Benutzerkonten.
Entscheidend ist aber zunehmend, welche Art von MFA verwendet wird.
SMS-Codes, Einmalcodes und einfache Push-Bestätigungen können bei bestimmten Phishing-Angriffen abgefangen oder vom Benutzer unbeabsichtigt für den Angreifer bestätigt werden. Microsoft empfiehlt deshalb zunehmend sogenannte phishing-resistente Authentifizierungsmethoden.
Dazu gehören beispielsweise:
- Passkeys
- FIDO2-Sicherheitsschlüssel
- Windows Hello for Business
- zertifikatbasierte Authentifizierung
Passkeys und FIDO2 funktionieren anders als klassische Passwörter und Einmalcodes. Die Authentifizierung ist kryptografisch an die tatsächliche Webseite beziehungsweise den Dienst gebunden. Eine gefälschte Webseite kann diese Anmeldung deshalb nicht einfach an Microsoft weiterreichen.
Technik allein reicht trotzdem nicht
Unternehmen sollten sich nicht auf eine einzelne Schutzmaßnahme verlassen.
Neben einer starken Authentifizierung gehören dazu beispielsweise Conditional Access, verwaltete und konforme Endgeräte, Überwachung verdächtiger Anmeldungen, Schutz vor gefährlichen Webseiten und E-Mails sowie die regelmäßige Sensibilisierung der Mitarbeitenden.
Besonders wirkungsvoll kann es sein, Microsoft-365-Zugriffe zusätzlich auf bekannte beziehungsweise verwaltete Geräte einzuschränken. Microsoft empfiehlt hierzu unter anderem Conditional Access und die Anforderung konformer oder Entra-registrierter Geräte.
Was bedeutet das für Unternehmen?
Cyberkriminelle entwickeln ihre Methoden ständig weiter. Eine Sicherheitsmaßnahme, die vor einigen Jahren noch einen sehr hohen Schutz bot, sollte deshalb regelmäßig überprüft und weiterentwickelt werden.
Für Microsoft-365-Umgebungen bedeutet das heute:
MFA aktivieren ist der Anfang. Phishing-resistente MFA, Conditional Access, sichere Endgeräte und eine laufende Überwachung der Umgebung sind der nächste Schritt.
Leftclick unterstützt Unternehmen bei der Absicherung ihrer Microsoft-365-Umgebung, von Multi-Faktor-Authentifizierung und Conditional Access bis hin zu Managed Workplace, Gerätemanagement und laufender Sicherheitsüberwachung.
Wer wissen möchte, wie gut die eigene Microsoft-365-Umgebung gegen aktuelle Phishing-Angriffe geschützt ist, kann sich gerne bei uns melden.