Eine Grafik mit rotem Hintergrund, die eine digitale IT-Struktur in einem abstrakten Design darstellt. Geeignet für technische Themen.
Ab Mitte August 2026 haben Angreifer über Einladungen im Google-Kalender die Sitzungen von Firmenkonten übernommen, obwohl die Betroffenen eine Mehrfaktor-Anmeldung (MFA) nutzten. Allein der Sicherheitsanbieter Material Security hat nach eigenen Angaben in einem Monat 68.676 Nachrichten dieser Kampagne abgefangen.
Phishing trotz MFA ist damit zur verbreiteten Methode geworden: Echtzeit-Proxys und Gerätecode-Phishing brauchen keine gefälschte Domain mehr. Sie setzen im Moment der Anmeldung an und laufen über echte Seiten von Google und Microsoft.
Das Wichtigste in Kürze
- Bei Phishing trotz MFA erbeuten Angreifer die fertige Anmeldesitzung statt nur das Passwort. Der zweite Faktor wird dabei vom Opfer selbst bestätigt.
- Die Kampagne, die Material Security „Operation CloudFire“ nennt, nutzte Kalendereinladungen, Links auf echte Google-Adressen und einen Proxy vor der echten Google-Anmeldung.
- Beim Gerätecode-Phishing gibt das Opfer einen vom Angreifer erzeugten Code auf der echten Microsoft-Seite ein und meldet damit dessen Gerät an.
- Codes per SMS, aus Authenticator-Apps oder per Bestätigung in der App lassen sich in Echtzeit weiterreichen. Passkeys und FIDO2-Schlüssel sind an die echte Domain gebunden und schützen deshalb vor Proxy-Angriffen.
- Microsoft empfiehlt, den Gerätecode-Flow in Entra ID per Conditional Access zu blockieren, wo er nicht gebraucht wird.
So lief das Kalender-Phishing ab
Die Kampagne soll bereits Mitte August 2026 gestartet sein und richtete sich gegen Unternehmenskonten bei Google. Als Köder dienten Einladungen im Google-Kalender, teils in Blindkopie verschickt. Oft kamen sie von Organisationen, mit denen die Empfänger bereits Kontakt hatten. Die Anlässe klangen alltäglich: eine neue Sprachnachricht, eine Ausschreibung, eine Zahlungserinnerung oder eine Vorladung. Der Absender-Check aus unserem Beitrag Phishing-Mails erkennen bleibt wichtig, stößt hier aber an Grenzen, weil die Absender echt waren.
Die Links in den Einladungen führten zunächst auf echte Google-Adressen, etwa über Googles eigene Weiterleitung, über share.google oder über Freigaben in Google Drive. Erst danach folgten eine Bot-Prüfung über Cloudflare Turnstile und eine Anmeldeseite, die sich erst im Browser des Opfers aufbaute. Automatische Scanner fanden dadurch nichts Auffälliges. Auch beim Consent-Phishing über Teams führen die Links auf echte Seiten, dort auf die Anmeldung von Microsoft.
Hinter der Anmeldeseite stand ein sogenannter Reverse Proxy, also ein Server, der zwischen dem Opfer und der echten Google-Anmeldung vermittelt. Das Opfer gab sein Passwort ein und bestätigte die echte Rückfrage von Google. Laut Material Security reichte der Proxy SMS-Codes, Codes aus Authenticator-Apps, Googles Zahlenabgleich und sogar die telefonische Kontowiederherstellung in Echtzeit weiter. Am Ende übernahmen die Angreifer die angemeldete Sitzung mit Zugriff auf Mail und Drive.
Die Kampagne gilt vorerst als beendet. Material Security hat die Infrastruktur nach eigenen Angaben über Missbrauchsmeldungen bei Cloudflare abschalten lassen und erwartet einen Nachfolger unter anderem Namen. Im Code fand sich außerdem ein noch unfertiger Zweig für Microsoft 365.
Wie Phishing trotz MFA funktioniert
Die Methode heißt in der Fachsprache Adversary-in-the-Middle (AiTM). Microsoft hat sie bereits 2022 beschrieben: Damals versuchte eine einzige Kampagne laut Microsoft, mehr als 10.000 Organisationen anzugreifen. Der Proxy zeigt dem Opfer die echte Anmeldeseite und greift dabei Passwort und Sitzungscookie ab. Mit diesem Cookie gilt der Angreifer anschließend als angemeldet. Anders als beim Password Spraying, bei dem Angreifer Passwörter durchprobieren, hilft hier auch ein starkes Passwort nicht.
Microsoft betont, dass darin keine Schwachstelle der MFA selbst liegt. Gestohlen wird die Sitzung nach der Anmeldung, und zwar unabhängig davon, mit welcher Methode sich der Nutzer angemeldet hat. Jeder Faktor, den ein Mensch abtippen oder bestätigen kann, lässt sich auf diese Weise weiterreichen.
Wichtig für IT-Admins
Ein abgegriffenes Sitzungscookie bleibt gültig, bis die Sitzung widerrufen wird. Ein neues Passwort allein beendet den unbefugten Zugriff deshalb nicht.
Gerätecode-Phishing in Microsoft 365
Eine zweite Methode nutzt eine reguläre Anmeldeart von Microsoft: den Gerätecode-Flow. Er ist für Geräte ohne Tastatur gedacht, etwa Konferenzsysteme. Das Gerät zeigt einen Code an, den der Nutzer auf einem zweiten Gerät auf der echten Microsoft-Seite eingibt und dort bestätigt.
Beim Gerätecode-Phishing erzeugt der Angreifer diesen Code selbst und schickt ihn dem Opfer, etwa verpackt in eine Einladung zu einem Teams-Meeting. Microsoft hat 2025 eine solche Kampagne der Gruppe Storm-2372 beschrieben, die Regierungen, Behörden und Unternehmen in Europa und Nordamerika ins Visier nahm. Gibt das Opfer den Code ein, meldet es das Gerät des Angreifers an. Dieser erhält Zugriffs- und Aktualisierungstoken und kann damit auf Mails und Dateien zugreifen.
Microsoft empfiehlt die Sperre
Auch hier sieht das Opfer nur echte Microsoft-Seiten. Microsoft stuft den Gerätecode-Flow deshalb als riskante Anmeldeart ein und empfiehlt, ihn zu blockieren, wo immer das möglich ist.
Zahlen, Daten, Fakten
| Kennzahl | Wert |
|---|---|
| Abgefangene Nachrichten der Kalender-Kampagne in einem Monat | 68.676 |
| Missbrauchte Absenderadressen | 8.570 |
| Abgeschaltete Domains | 897 |
| Angegriffene Organisationen einer früheren AiTM-Kampagne (Microsoft 2022) | über 10.000 |
Die ersten drei Werte stammen von Material Security und beruhen nur auf Daten von Kunden, die der Weitergabe zugestimmt haben. Die tatsächlichen Zahlen dürften laut dem Anbieter höher liegen. Der letzte Wert stammt aus Microsofts Analyse von 2022.
Warum Passkeys gegen Phishing schützen
Passkeys und FIDO2-Sicherheitsschlüssel arbeiten mit einem kryptografischen Schlüsselpaar, das an die Adresse des Dienstes gebunden ist. Laut Microsoft gibt der Authentifikator seine Geheimnisse nur an die Seite heraus, bei der der Passkey registriert wurde, und nicht an einen Angreifer, der sich als diese Seite ausgibt. Eine Proxy-Seite unter fremder Adresse erhält damit keine gültige Anmeldung, die sie weiterreichen könnte. Auch Google nennt Passkeys deutlich sicherer gegen Phishing als Passwörter.
Für Microsoft 365 ist das Thema ohnehin auf dem Tisch: Microsoft beendet die SMS-Anmeldung in Entra ID am 1. Februar 2027 und stellt auf Passkeys um. Die Details stehen in unserem Beitrag SMS-Authentifizierung in Entra ID endet Anfang 2027.
Passkeys schützen nicht vor jedem Trick
Beim Gerätecode-Phishing meldet sich das Opfer auf der echten Microsoft-Seite an, auch mit Passkey, und gibt dort den Code des Angreifers frei. Dagegen hilft nur, den Gerätecode-Flow zu sperren. Ähnlich verhält es sich beim Consent-Phishing, bei dem einer fremden App Rechte eingeräumt werden.
Empfehlungen für IT-Admins
1
Phishing-resistente Anmeldung einführen
Passkeys oder FIDO2-Schlüssel zuerst für Konten mit Administratorrechten und für Mitarbeiter in Buchhaltung und Geschäftsführung einrichten, danach für alle.
2
Gerätecode-Flow blockieren
In Entra ID eine Conditional-Access-Richtlinie mit der Bedingung „Authentifizierungsflüsse“ und „Gerätecodefluss“ anlegen und den Zugriff sperren. Microsoft empfiehlt, die Richtlinie zuerst im Modus „Nur Bericht“ zu testen und Notfallkonten auszunehmen. Conditional Access setzt eine Lizenz für Entra ID P1 voraus.
3
Sitzungen schnell widerrufen können
Im Verdachtsfall reicht ein Passwortwechsel nicht. In Google Workspace setzen Admins unter „Verzeichnis > Nutzer > Sicherheit > Anmelde-Cookies“ die Cookies zurück. Für Microsoft 365 steht der Befehl im Kasten unten.
4
App-Freigaben prüfen
Nach einem Vorfall die OAuth-Freigaben des Kontos kontrollieren und unbekannte Apps entfernen. Angreifer nutzen übernommene Sitzungen gern, um sich dauerhaften Zugriff über eine App zu sichern.
5
Anmeldeprotokolle überwachen
Anmeldungen per Gerätecode, Anmeldungen aus ungewohnten Ländern und neue Postfachregeln gezielt auswerten. Je früher eine übernommene Sitzung auffällt, desto kleiner bleibt der Schaden.
6
Kalender in die Schulung aufnehmen
Kalendereinladungen landen oft ohne Prüfung im Kalender. Mitarbeiter sollten wissen, dass auch Einladungen und Freigaben bekannter Partner ein Köder sein können. Wie regelmäßige Schulungen und Phishing-Simulationen wirken, zeigt unser Beitrag Dein wichtigstes Sicherheits-Upgrade sitzt vor dem Bildschirm. Die wichtigsten Regeln für das Team fasst unsere Phishing-Checkliste auf einer Seite zusammen.
Sitzungen in Microsoft 365 beenden
Mit Microsoft Graph PowerShell lassen sich alle aktiven Anmeldesitzungen eines Kontos widerrufen. Der Nutzer muss sich danach neu anmelden, ein abgegriffenes Sitzungscookie wird ungültig:
# Alle aktiven Anmeldesitzungen eines Kontos widerrufen (Microsoft Graph PowerShell) Connect-MgGraph -Scopes "User.ReadWrite.All" Revoke-MgUserSignInSession -UserId "name@firma.de"
Phishing-Abwehr im laufenden IT-Betrieb
Die beschriebenen Maßnahmen wirken nur, wenn sie dauerhaft betreut werden: Richtlinien müssen gepflegt, Anmeldeprotokolle ausgewertet und im Ernstfall Sitzungen beendet werden. Wird der IT-Betrieb von einem Dienstleister mit Full Managed-IT gemanaged, kann das für die Phishing-Abwehr mehrere Vorteile haben:
- Anmeldung und E-Mail-Schutz werden eingerichtet und laufend aktuell gehalten.
- Auffälligkeiten bei Anmeldungen und auf den Geräten werden erkannt, bevor ein größerer Schaden entsteht.
- Im Ernstfall ist klar, wer reagiert und übernommene Konten sperrt.
- Das eigene Team wird entlastet und kann sich auf das Tagesgeschäft konzentrieren.
Bedeutung für Geschäftsführung und Entscheider
Mit der Einführung von MFA gilt das Thema Phishing in vielen Unternehmen als erledigt. Für Angriffe mit gestohlenen Passwörtern stimmt das weiterhin. Phishing trotz MFA zielt jedoch auf die Sitzung nach der Anmeldung, und der klassische Hinweis „auf die Absenderadresse achten“ greift zu kurz, wenn die Einladung von einem echten, aber übernommenen Konto eines Geschäftspartners stammt.
Die Folgen reichen vom Mitlesen im Postfach über Zahlungsbetrug mit geänderten Bankverbindungen bis zum Datenabfluss aus Cloud-Speichern. Sind personenbezogene Daten betroffen, gilt die Meldepflicht nach DSGVO innerhalb von 72 Stunden. Wer im Ernstfall wen informiert, sollte deshalb vorab feststehen, etwa mit unserer IT-Notfallkarte.
Der Aufwand für die Abwehr ist überschaubar. Die Sperre des Gerätecode-Flows ist eine einzelne Richtlinie. Die Umstellung auf Passkeys steht für Microsoft 365 bis Februar 2027 ohnehin an. Hinzu kommt eine kurze Unterweisung der Mitarbeiter, wie sie verdächtige Anmeldeaufforderungen erkennen. Wie das bei E-Mails gelingt, zeigt unser Beitrag Phishing-Mails erkennen. Welche technischen Filter gefälschte Mails schon vorher abfangen, beschreibt der Beitrag Phishing und Spam im Unternehmen.
FAQ zu Phishing trotz MFA
MFA bleibt ein wichtiger Schutz und stoppt die meisten Angriffe mit gestohlenen Passwörtern, etwa Password Spraying. Gegen Echtzeit-Proxys helfen aber nur Verfahren, die an die echte Domain gebunden sind, also Passkeys oder FIDO2-Schlüssel.
Am verlässlichsten an der Adresse in der Browserzeile, die nicht zum Dienst passt. Da die Links zunächst über echte Google- oder Microsoft-Adressen laufen, fällt das oft erst auf der Anmeldeseite auf. Melden Sie sich deshalb nie über einen Link aus einer Mail oder Einladung an, sondern rufen Sie den Dienst selbst auf.
Beim Gerätecode-Phishing schickt der Angreifer einen Anmeldecode, den das Opfer auf der echten Microsoft-Seite eingibt. Damit meldet es unbemerkt das Gerät des Angreifers an. Microsoft empfiehlt, diese Anmeldeart zu sperren, wo sie nicht gebraucht wird.
Ein neues Passwort reicht allein nicht aus. Eine übernommene Sitzung bleibt gültig, bis sie widerrufen wird. Admins sollten deshalb alle Sitzungen des Kontos beenden, App-Freigaben prüfen und erst danach das Passwort zurücksetzen.
Fazit
Phishing trotz MFA ist ein erprobtes Werkzeug: Die Angriffe laufen über echte Einladungen, echte Links und echte Anmeldeseiten und umgehen dabei jeden Faktor, den ein Mensch weiterreichen kann. Wirksam sind phishing-resistente Verfahren wie Passkeys, eine Sperre für den Gerätecode-Flow und die Fähigkeit, übernommene Sitzungen schnell zu beenden. Wer diese drei Punkte umsetzt, nimmt den beschriebenen Methoden die Grundlage. Material Security rechnet bereits mit einem Nachfolger der Kalender-Kampagne, dann womöglich auch für Microsoft 365.
Fanden Sie den Blogbeitrag hilfreich und interessant?
Vielen Dank für Ihre Rückmeldung!