Ende September 2026 veröffentlichte Microsoft Security Research neue Erkenntnisse zu Storm-3168 und dem mit JadePuffer verbundenen Cloud-Angriffsgeschehen. Der Fall ist wichtig, weil er mehrere Trends zusammenführt: kompromittierte Service Principals, automatisierte Reconnaissance, destruktive Cloud-Aktionen und den zunehmenden Einsatz agentischer Systeme.
Nach Microsofts Untersuchung wurden in einem betroffenen Azure-Tenant zwei kompromittierte Service Principals beobachtet. Eine Identität führte vor allem Ressourcen-Discovery durch, eine weitere war an Discovery, destruktiven Aktionen und Credential Collection beteiligt. In einer Phase wurden über viele Stunden hinweg hunderte erfolgreiche Leseoperationen ausgeführt, um die Azure-Umgebung systematisch zu erfassen.
Warum dieser Fall mehr ist als ein weiterer Cloud-Angriff
Der entscheidende Punkt ist, dass Cloud-Angriffe zunehmend mit legitimen Verwaltungsfunktionen arbeiten. Ein Service Principal ist kein klassisches Malware-Implantat. Er ist eine vorgesehene Identität für Anwendungen und Automatisierung. Wird eine solche Identität kompromittiert und besitzt sie zu viele Rechte, sieht ein großer Teil der Aktivität zunächst wie normale Administration aus.
Agentische Automatisierung kann diese Situation verschärfen. Ein System kann Ressourcen inventarisieren, Ergebnisse auswerten und nächste Schritte priorisieren, ohne dass jeder einzelne Befehl manuell vorbereitet werden muss. Das erhöht Geschwindigkeit und Skalierbarkeit – genau die Eigenschaften, die Security-Teams bei verdächtigen Cloud-Aktivitäten nicht unterschätzen dürfen.
Service Principals brauchen dieselbe Aufmerksamkeit wie Administratoren
Viele Unternehmen überwachen Benutzerkonten intensiv, behandeln Maschinenidentitäten aber als technische Nebensache. Das ist gefährlich. Service Principals können Rollen, Secrets, Zertifikate und API-Zugriffe besitzen, die tief in Produktionsumgebungen reichen.
Deshalb sollten nicht-menschliche Identitäten einen dokumentierten Owner, minimale Rollen, definierte Gültigkeiten und regelmäßige Rezertifizierung haben. Alte Secrets gehören entfernt, Zertifikate und Workload Identities sollten bevorzugt kurzlebig beziehungsweise kontrolliert verwaltet werden. Noch wichtiger ist ein Monitoring, das ungewöhnliche Resource Enumeration, neue Credential-Nutzung und destruktive Management-Operationen erkennt.
Destruktive Aktionen verändern die Backup-Frage
Ransomware wurde lange vor allem als Verschlüsselung lokaler Daten verstanden. In der Cloud kann ein destruktiver Angreifer stattdessen Ressourcen löschen, Snapshots entfernen, Konfigurationen verändern oder Identitäten missbrauchen. Dadurch wird die Trennung von Produktions- und Recovery-Berechtigungen zentral.
Backups sollten nicht nur existieren, sondern gegen dieselben kompromittierten Rollen geschützt sein. Soft Delete, Immutable-Mechanismen, getrennte Recovery-Accounts und getestete Wiederherstellung sind keine Komfortfunktionen, sondern Teil des Security Designs.
Was Security-Teams aus Storm-3168 lernen können
Erstens: Service Principals gehören ins Identity-Threat-Monitoring. Zweitens: Große Discovery-Aktivität über APIs kann ein Frühindikator sein. Drittens: Cloud-Rollen müssen regelmäßig reduziert werden. Viertens: Recovery-Kontrollen müssen eine kompromittierte Produktionsidentität überleben. Fünftens: Automatisierte Angriffe erfordern automatisierte Erkennung – aber menschliche Freigabe bei kritischen Gegenmaßnahmen.
Fazit
Storm-3168 zeigt, wohin sich Cloud-Angriffe entwickeln: weniger auffällige Malware, mehr legitime Identitäten, mehr API-Nutzung und mehr Automatisierung. Unternehmen sollten deshalb nicht nur nach Schadsoftware suchen, sondern nach ungewöhnlichem Verhalten gültiger Cloud-Identitäten. Wer Service Principals, Rollen und Recovery konsequent kontrolliert, reduziert genau die Angriffsfläche, die in solchen Fällen entscheidend wird.
Quelle
Microsoft Security Research, 25. September 2026: Storm-3168: Agentic-driven cloud attacks using compromised service principals.