Alarmstufe Rot für Microsoft-Konten:
Wie die neue Phishing-Welle selbst 2FA aushebelt

Die Zwei-Faktor-Authentifizierung (2FA) galt lange als verlässliches Schutzschild gegen Hacker. Doch eine neue Welle hochprofessioneller Phishing-Angriffe hebelt diesen Schutz nun systematisch aus. Im Jahr 2026 warnen Sicherheitsexperten und Behörden vor sogenannten „Phishing-as-a-Service“-Plattformen, die es Angreifern ermöglichen, Microsoft 365-Konten unbemerkt zu übernehmen. Das Erschreckende: Der Angriff findet komplett auf der echten Microsoft-Website statt.

Neue Phishing-Welle Alarmstufe Rot für Microsoft-Konten

Vom Spionage-Tool zur Massenware

Die aktuelle Bedrohungslage dreht sich um das sogenannte Device Code Phishing (auch OAuth Device Code Phishing genannt). Ursprünglich wurde diese Technik um 2024 hauptsächlich von staatlich unterstützten Hackergruppen für Spionagezwecke eingesetzt. Im ersten Quartal 2026 hat sich diese Methode jedoch radikal gewandelt: Durch Plattformen wie EvilTokens oder Kali365 wurde der Angriff kommerzialisiert und wird im Darknet als Dienstleistung angeboten.

Das Ziel der Angreifer ist nicht mehr das Passwort, sondern das Authentifizierungs-Token. Wenn Sie sich erfolgreich anmelden, stellt Microsoft ein digitales Ticket (das Token) aus, das Sie für eine bestimmte Zeit als verifizierten Nutzer ausweist. Gelingt es den Angreifern, dieses Token abzufangen, können sie die 2FA und das Passwort künftig komplett überspringen.

So läuft der Angriff ab

Die Kriminellen missbrauchen hierbei eine eigentlich nützliche Funktion: den „Device Code Flow„. Diese Funktion wurde von Microsoft entwickelt, um Geräte ohne eigene Tastatur (wie Smart-TVs, Konferenzbildschirme oder Drucker) bequem mit einem Microsoft-Konto zu verknüpfen.

Die Kontaktaufnahme: Sie erhalten eine professionell gestaltete E-Mail, die Dringlichkeit vortäuscht. Oft geht es um ein angeblich freigegebenes Dokument (z. B. via DocuSign, Adobe Sign) oder eine Sprachnachricht.
Die Anweisung: Die E-Mail enthält einen kurzen, achtstelligen Code und bittet Sie, die offizielle Microsoft-Seite zur Geräte-Anmeldung aufzurufen ([microsoft.com/devicelogin](https://microsoft.com/devicelogin)).
Der fatale Fehler: Sie rufen die URL auf. Ihr Browser zeigt ein grünes Vorhängeschloss, denn die Seite ist tatsächlich echt. Sie geben den Code aus der E-Mail ein, loggen sich regulär mit Ihrem Passwort ein und bestätigen sogar brav die 2FA-Anfrage auf Ihrem Smartphone.
Die Übernahme: Was Sie in diesem Moment unwissentlich tun: Sie weisen Microsoft an, das Gerät des Angreifers als vertrauenswürdig einzustufen. Der Hacker erhält im Hintergrund ein gültiges Session-Token und hat sofortigen Zugriff auf Ihr Postfach, OneDrive und Teams.

Da der gesamte Vorgang über die echten Server von Microsoft läuft, schlagen Virenscanner und herkömmliche Phishing-Filter in der Regel nicht Alarm

Was nach dem Hackerangriff passiert

Ein erfolgreicher Token-Diebstahl fällt oft erst spät auf, da die Angreifer im Hintergrund agieren und weder das Passwort ändern noch den Nutzer sofort aussperren. Sobald sie Zugriff haben, führen sie typischerweise folgende Aktionen aus:

Manipulation der Posteingangsregeln: Dies ist der häufigste nächste Schritt der Hacker. Sie richten im Outlook-Konto unsichtbare Regeln ein. Eingehende E-Mails – insbesondere Sicherheitswarnungen von Microsoft oder Rückfragen von irritierten Kontakten – werden dadurch automatisch als „Gelesen“ markiert und direkt in den Ordner „Gelöschte Elemente“ oder „Archiv“ verschoben. Der Kontoinhaber merkt so oft tagelang nicht, dass etwas nicht stimmt.
Kettenreaktion im Adressbuch: Das gekaperte Konto wird missbraucht, um hochgradig personalisierte Phishing-Mails an Familie, Freunde oder Arbeitskollegen zu senden. Da die Mails von einer vertrauten und technisch einwandfreien Adresse stammen, ist die Erfolgsquote bei den Folgeopfern extrem hoch.
Gezielte Datenexfiltration: Angreifer durchsuchen das verknüpfte OneDrive gezielt nach Begriffen wie „Passwort“, „Rechnung“, „Steuer“ oder „Ausweis“, um Dokumente für Identitätsdiebstahl abzugreifen.

Wie Sie eine stille Kompromittierung aufdecken

Selbst wenn der Angriff bereits passiert ist, können Nutzer die Spuren der Angreifer in den Einstellungen finden. Betroffene sollten proaktiv folgende Prüfungen durchführen:

Versteckte E-Mail-Regeln kontrollieren

Prüfen Sie in den Einstellungen von Outlook (besonders in der Webversion unter Einstellungen > E-Mail > Regeln sowie Weiterleitung) zwingend, ob unbekannte Filter aktiv sind, die Mails umleiten oder löschen.

Anmeldeaktivitäten prüfen

Im Microsoft-Sicherheitsdashboard gibt es den Bereich „Anmeldeaktivität anzeigen“. Hier sind alle erfolgreichen Logins mit Standort und verwendetem Gerät oder Browser aufgelistet. Tauchen hier ungewöhnliche Einträge auf, ist das Token mit hoher Wahrscheinlichkeit kompromittiert.

Was Verbraucher tun können

Da rein technische Schutzmaßnahmen bei dieser Methode oft ins Leere laufen, ist besondere Vorsicht geboten. Mit diesen konkreten Schritten schützen Sie Ihr Konto:

Niemals Codes aus E-Mails blind eingeben: Nutzen Sie die Seite [microsoft.com/devicelogin](https://microsoft.com/devicelogin) niemals, um einen Code einzugeben, den Sie unerwartet per E-Mail erhalten haben. Diese Seite ist ausschließlich dafür gedacht, dass Sie selbst gerade ein physisches Gerät in Ihrem Netzwerk einrichten.
Sitzungen kontrollieren und beenden: Wenn Sie den Verdacht haben, in die Falle getappt zu sein, reicht es nicht, nur das Passwort zu ändern. Das gestohlene Token bleibt oft weiterhin gültig. Loggen Sie sich in Ihr Microsoft-Konto ein und nutzen Sie unter den Sicherheitseinstellungen zwingend die Option „Überall abmelden“, um alle aktiven Tokens zu zerstören.
Passkeys nutzen: Richten Sie, sofern verfügbar, passwortlose Anmeldungen via FIDO2-Sicherheitsschlüssel oder Passkeys ein. Diese binden die Authentifizierung kryptografisch an das physische Gerät und erschweren Token-Diebstähle enorm.
Wachsamkeit bei Benachrichtigungen: Wenn Ihre Authenticator-App Warnungen ausgibt oder Sie E-Mails zu neuen Anmeldungen oder geänderten Sicherheitseinstellungen erhalten, die Sie nicht selbst initiiert haben, reagieren Sie sofort.

Achtung: Anträge so frühzeitig wie möglich stellen!

Die Wohngeldstellen der Kommunen sind bereits seit der großen Reform chronisch überlastet. Wenn 2026 nun neue, strengere Kriterien angelegt werden, müssen bei Folgeanträgen sämtliche Bestandsdaten der Bürger von den Ämtern komplett neu geprüft und berechnet werden.

Der wichtigste Praxis-Tipp: Warten Sie nicht bis kurz vor Ablauf Ihres aktuellen Bescheids! Stellen Sie Weiterleistungsanträge für 2026 mit mindestens drei bis vier Monaten Vorlauf. So vermeiden Sie Zahlungslücken, in denen Sie Ihre Miete komplett aus eigener Tasche vorschießen müssen.

Fazit

Die aktuelle Welle des Device Code Phishings zeigt, dass Cyberkriminelle ihre Strategie ändern und sich zunehmend auf die Schwachstellen nach der eigentlichen Passworteingabe konzentrieren. Da legitime Infrastrukturen missbraucht werden, verschwimmt die Grenze zwischen einer regulären Anmeldung und einem Hackerangriff. Der effektivste Schutz bleibt ein gesundes Misstrauen gegenüber jeglichen E-Mails, die Sie zur Eingabe von Zahlencodes auffordern.

Quellenangaben:

Microsoft Threat Intelligence (Q1 2026): Berichte zur Eskalation von Token-Diebstahl und Device Code Authentifizierungs-Angriffen.
Cloud Security Alliance (März 2026): Analyse zur Verbreitung von OAuth Device Code Phishing in über 340 Organisationen weltweit.
Sekoia Threat Detection & Research (März 2026): Entdeckung und detaillierte Analyse der EvilTokens PhaaS-Plattform.
Push Security / Net at Work (2026): Technische Analysen zur Funktionsweise und Umgehung von MFA durch legitime Microsoft-Sitzungen.
Bildmaterial: https://www.dall-efree.com

Michael Suhr | Bj. 1974Dipl. Betriebswirt - Webdesigner

Nach über 20 Jahren in der Logistikbranche habe ich den Schritt gewagt und mein langjähriges Hobby zum Beruf gemacht. Als Dipl. Betriebswirt, Webdesigner und Blogger verbinde ich heute handfestes wirtschaftliches Know-how mit kreativer digitaler Umsetzung. Auf meinem Blog dreht sich alles um die Themen, die mich täglich antreiben: Office-Optimierung, Karriere-Tipps, Tech-Trends und smarte Finanzen. Mein Ziel? Dir praktisches Wissen und digitale Lösungen an die Hand zu geben, die dich im Job und Alltag wirklich weiterbringen.