Alarmstufe Rot für Microsoft-Konten:
Wie die neue Phishing-Welle selbst 2FA aushebelt

Die Kontaktaufnahme: Sie erhalten eine professionell gestaltete E-Mail, die Dringlichkeit vortäuscht. Oft geht es um ein angeblich freigegebenes Dokument (z. B. via DocuSign, Adobe Sign) oder eine Sprachnachricht.

Die Anweisung: Die E-Mail enthält einen kurzen, achtstelligen Code und bittet Sie, die offizielle Microsoft-Seite zur Geräte-Anmeldung aufzurufen ([microsoft.com/devicelogin](https://microsoft.com/devicelogin)).

Der fatale Fehler: Sie rufen die URL auf. Ihr Browser zeigt ein grünes Vorhängeschloss, denn die Seite ist tatsächlich echt. Sie geben den Code aus der E-Mail ein, loggen sich regulär mit Ihrem Passwort ein und bestätigen sogar brav die 2FA-Anfrage auf Ihrem Smartphone.

Die Übernahme: Was Sie in diesem Moment unwissentlich tun: Sie weisen Microsoft an, das Gerät des Angreifers als vertrauenswürdig einzustufen. Der Hacker erhält im Hintergrund ein gültiges Session-Token und hat sofortigen Zugriff auf Ihr Postfach, OneDrive und Teams.

Manipulation der Posteingangsregeln: Dies ist der häufigste nächste Schritt der Hacker. Sie richten im Outlook-Konto unsichtbare Regeln ein. Eingehende E-Mails – insbesondere Sicherheitswarnungen von Microsoft oder Rückfragen von irritierten Kontakten – werden dadurch automatisch als „Gelesen“ markiert und direkt in den Ordner „Gelöschte Elemente“ oder „Archiv“ verschoben. Der Kontoinhaber merkt so oft tagelang nicht, dass etwas nicht stimmt.

Kettenreaktion im Adressbuch: Das gekaperte Konto wird missbraucht, um hochgradig personalisierte Phishing-Mails an Familie, Freunde oder Arbeitskollegen zu senden. Da die Mails von einer vertrauten und technisch einwandfreien Adresse stammen, ist die Erfolgsquote bei den Folgeopfern extrem hoch.

Gezielte Datenexfiltration: Angreifer durchsuchen das verknüpfte OneDrive gezielt nach Begriffen wie „Passwort“, „Rechnung“, „Steuer“ oder „Ausweis“, um Dokumente für Identitätsdiebstahl abzugreifen.

Niemals Codes aus E-Mails blind eingeben: Nutzen Sie die Seite [microsoft.com/devicelogin](https://microsoft.com/devicelogin) niemals, um einen Code einzugeben, den Sie unerwartet per E-Mail erhalten haben. Diese Seite ist ausschließlich dafür gedacht, dass Sie selbst gerade ein physisches Gerät in Ihrem Netzwerk einrichten.

Sitzungen kontrollieren und beenden: Wenn Sie den Verdacht haben, in die Falle getappt zu sein, reicht es nicht, nur das Passwort zu ändern. Das gestohlene Token bleibt oft weiterhin gültig. Loggen Sie sich in Ihr Microsoft-Konto ein und nutzen Sie unter den Sicherheitseinstellungen zwingend die Option „Überall abmelden“, um alle aktiven Tokens zu zerstören.

Passkeys nutzen: Richten Sie, sofern verfügbar, passwortlose Anmeldungen via FIDO2-Sicherheitsschlüssel oder Passkeys ein. Diese binden die Authentifizierung kryptografisch an das physische Gerät und erschweren Token-Diebstähle enorm.

Wachsamkeit bei Benachrichtigungen: Wenn Ihre Authenticator-App Warnungen ausgibt oder Sie E-Mails zu neuen Anmeldungen oder geänderten Sicherheitseinstellungen erhalten, die Sie nicht selbst initiiert haben, reagieren Sie sofort.