Stand: 8. Oktober 2026. Microsoft 365 Phishing 2026: CERT-EU warnt vor Passkey- und SSO-Kampagnen. So schützen Unternehmen Konten, OneDrive, SharePoint und Exchange.
Dieser GORTNET-Fachbeitrag richtet sich an IT-Verantwortliche, Gebäudebetreiber und Entscheider. Er erklärt Hintergründe und liefert konkrete Handlungsempfehlungen.
Warum diese Angriffswelle relevant ist
Im Cyber Brief für September 2026 dokumentiert CERT-EU eine von Microsoft berichtete Phishing-Kampagne, die Passkeys und Single Sign-on als Köder nutzt. Laut Bericht lief die Kampagne mindestens seit Mai 2026 und zielte auf Unternehmensnutzer von Microsoft 365. Die Akteure nutzten unter anderem Adversary-in-the-Middle-Phishing und manipulierte Device-Code-Anmeldungen. Ziel war nicht zwingend die Kenntnis des Passworts allein, sondern die Übernahme einer Sitzung oder eines Kontos.
Wie Angreifer Vertrauen missbrauchen
Eine täuschend echte Anmeldeseite kann Sicherheitsbegriffe wie Passkey oder Unternehmens-SSO verwenden. Andere Varianten fordern Nutzer auf, einen legitimen Geräteanmeldeprozess zu bestätigen, den tatsächlich ein Angreifer gestartet hat. Technisch korrekte HTTPS-Zertifikate auf einer Phishing-Domain machen diese nicht vertrauenswürdig. Mitarbeiter sollten Anmeldeanfragen stets aus dem selbst geöffneten Unternehmensportal initiieren.
Was bei einer Kontoübernahme auf dem Spiel steht
Bei einem kompromittierten Microsoft-365-Konto können E-Mails, Dateien und interne Kontakte betroffen sein. Das konkrete Ausmaß hängt von Berechtigungen, Conditional-Access-Regeln und Sitzungsstatus ab. Typische Folgerisiken sind BEC-Betrug, gefälschte Zahlungsanweisungen und externer Dateizugriff. Eine reine Passwortänderung reicht bei gestohlenen Sitzungen möglicherweise nicht aus.
Technische Abwehrmaßnahmen
Setzen Sie phishingresistente Authentisierung dort ein, wo sie unterstützt wird, und prüfen Sie Conditional Access sowie Geräte-Compliance. Beschränken und überwachen Sie Device-Code-Workflows entsprechend dem tatsächlichen Bedarf. Warnen Sie bei ungewöhnlichen Anmeldeorten, neuen App-Zustimmungen und verdächtigen Postfachregeln. Administrationskonten sollten separat und minimal berechtigt sein.
Wenn ein Konto bereits betroffen ist
Sperren Sie verdächtige Sitzungen und widerrufen Sie Refresh-Tokens nach den geltenden Microsoft-Verfahren. Prüfen Sie Anmeldeprotokolle, OAuth-Einwilligungen, Weiterleitungsregeln und Zugriffe auf SharePoint/OneDrive. Dokumentieren Sie den Zeitraum und klären Sie mögliche Datenschutzmeldepflichten. Bei Zahlungsbetrug muss außerdem der betroffene Geschäftsprozess sofort abgesichert werden.
Fazit
Microsoft-365-Phishing im Jahr 2026 nutzt vertraute Sicherheitsbegriffe ausgerechnet zur Täuschung. Starke Identitätskontrollen, Log-Monitoring und eingeübte Reaktion sind die wirksamere Antwort als zusätzliche Warnbanner allein.
Quelle und weiterführende Informationen
Primärquelle / Fachinformation. Der Beitrag ist eine eigenständige Einordnung; konkrete Maßnahmen müssen zur jeweiligen Umgebung passen.
GORTNET: Beratung, IT-Sicherheit und moderne Infrastrukturen. Kontakt aufnehmen.