Im Juni 2026 verzeichnen Sicherheitsexperten eine deutliche Zunahme gezielter Phishing-Kampagnen gegen Microsoft-365-Umgebungen. Dabei kommen spezialisierte Angriffsplattformen wie „EvilTokens“ und „Kali365“ zum Einsatz. Diese nutzen keine klassischen Passwortdiebstähle, sondern missbrauchen legitime Authentifizierungsverfahren, um Sicherheitsmechanismen wie die Multi-Faktor-Authentifizierung (MFA) und Passkeys zu umgehen.

Angriff über den Device Code Flow

Im Mittelpunkt der aktuellen Angriffswelle steht der sogenannte OAuth 2.0 Device Code Flow. Dieses Verfahren wurde ursprünglich für Geräte ohne Tastatur oder Browser entwickelt. Die Angreifer initiieren den Authentifizierungsprozess und verleiten ihre Opfer per E-Mail dazu, eine offizielle Microsoft-Anmeldeseite zu öffnen und dort einen bereitgestellten Code einzugeben.

Bestätigt der Anwender diesen Code, autorisiert er unbewusst den Zugriff für das Gerät des Angreifers. Dieser erhält daraufhin ein gültiges OAuth-Token und kann dadurch auf Unternehmensressourcen wie E-Mails, Kalender, OneDrive, Teams oder SharePoint zugreifen.

Da die Anmeldung vollständig über eine legitime Microsoft-Domäne erfolgt und der Benutzer den Vorgang selbst bestätigt, greifen herkömmliche MFA-Schutzmechanismen in diesem Szenario nicht.

Deutlich steigende Zahl betroffener Unternehmen

Das Phishing-as-a-Service-Kit „EvilTokens“ tauchte erstmals Anfang 2026 auf und wird seitdem zunehmend für groß angelegte Angriffe eingesetzt. Sicherheitsforscher beobachten seit Jahresbeginn einen massiven Anstieg entsprechender Kampagnen. Betroffen sind Organisationen verschiedenster Branchen in Europa, Nordamerika und Australien.

Die Angreifer setzen dabei verstärkt auf Automatisierung und KI-gestützte Methoden, um ihre Angriffe effizienter und schwerer erkennbar zu machen. Auch im Finanzsektor wird ein deutlicher Anstieg von Phishing-Versuchen festgestellt. Die wirtschaftlichen Schäden durch Phishing und Betrugsdelikte bewegen sich mittlerweile im Milliardenbereich.

FBI warnt vor „Kali365“

Neben „EvilTokens“ macht das FBI auf ein weiteres Angriffswerkzeug aufmerksam: „Kali365“. Die Plattform ist seit Frühjahr 2026 aktiv und wird unter anderem über Telegram-Kanäle verbreitet. Wie bei EvilTokens liegt der Schwerpunkt auf dem Missbrauch der Gerätecode-Authentifizierung zur Übernahme von Cloud-Konten.

Zusätzlich verschärfen Schwachstellen in Cloud-Diensten die aktuelle Bedrohungslage. Sicherheitslücken können unter bestimmten Umständen dazu genutzt werden, Daten aus Unternehmensumgebungen abzugreifen oder bestehende Schutzmaßnahmen zu umgehen.

Empfohlene Schutzmaßnahmen

Fachleute sind sich einig: Die alleinige Aktivierung von MFA bietet keinen ausreichenden Schutz mehr gegen moderne Token-basierte Angriffe. Unternehmen sollten daher zusätzliche Maßnahmen ergreifen, insbesondere:

• Den Device Code Flow deaktivieren oder gezielt einschränken.
• Conditional-Access-Richtlinien zur Absicherung von Anmeldungen einsetzen.
• Authentifizierungsprotokolle auf ungewöhnliche Device-Code-Anmeldungen überwachen.
• Mitarbeitende hinsichtlich unerwarteter Code-Eingaben auf Microsoft-Anmeldeseiten sensibilisieren.
• Erkennungsmechanismen wie YARA-Regeln oder vergleichbare Analyseverfahren implementieren.
• Token-Missbrauch und verdächtige OAuth-Anwendungen regelmäßig überprüfen.

Die aktuelle Angriffswelle zeigt deutlich, dass moderne Phishing-Kampagnen immer weniger auf gestohlene Passwörter angewiesen sind. Stattdessen nutzen sie legitime Authentifizierungsprozesse aus und stellen damit neue Anforderungen an die Sicherheitsstrategie von Unternehmen.

Quellen: