Passkey-Phishing: Wie Angreifer Microsoft-365-Konten übernehmen

Passkeys gelten als phishing-resistent — und genau das stimmt auch. Trotzdem übernehmen Angreifer seit Mai 2026 reihenweise Microsoft-365-Konten, indem sie sich am Telefon als IT-Helpdesk ausgeben und ihre Opfer durch die „Einrichtung eines Passkeys“ lotsen. Microsoft Threat Intelligence hat die Kampagne analysiert; die Täter räumen anschließend über die Graph-API ganze SharePoint- und OneDrive-Bestände leer und erpressen die Unternehmen damit. Der entscheidende Punkt dabei ist für jeden interessant, der über Passkeys nachdenkt: Nicht die Technik wurde gebrochen, sondern der Moment ihrer Einrichtung. Ich erkläre dir, wie der Angriff abläuft, warum er auch Konten mit Zwei-Faktor-Authentifizierung trifft und was du konkret dagegen tun kannst.

Das Wichtigste in Kürze

• Passkeys wurden nicht geknackt. Der Angriff zielt auf den Registrierungsvorgang, nicht auf das Anmeldeverfahren.
• Einstieg ist ein Anruf oder eine SMS auf der privaten Nummer, angeblich vom IT-Helpdesk.
• Die Täter nutzen Adversary-in-the-Middle-Phishing oder den Device-Code-Flow — beides umgeht klassische Zwei-Faktor-Authentifizierung.
• Danach registrieren sie eine eigene MFA-Methode. Diese überlebt ein Passwortzurücksetzen.
• Der Datenabfluss läuft über die Microsoft Graph API, gedrosselt über Stunden bis Tage, um nicht aufzufallen.
• Wirksam dagegen: Conditional Access mit Geräte-Compliance und das Abschalten des Device-Code-Flows.
• Läuft seit Mai 2026, Microsoft ordnet die Aktivität unter anderem den Gruppen Storm-3121 und Storm-3032 zu.

Was ist passiert?

Microsoft beobachtet seit Mai 2026 eine Angriffswelle, bei der sogenannte Initial Access Broker gezielt Mitarbeiter von Unternehmen kontaktieren. Diese Akteure brechen nicht selbst in Systeme ein, um dort zu erpressen — sie verschaffen sich Zugang und verkaufen ihn weiter oder reichen ihn an Erpressergruppen durch. Das ist inzwischen ein eigener Markt mit Arbeitsteilung.

Das Besondere an dieser Kampagne ist der Vorwand. Immer mehr Unternehmen stellen gerade auf Passkeys um, weil diese als sicherste verfügbare Anmeldemethode gelten. Viele Beschäftigte haben also tatsächlich eine Umstellung vor sich, kennen den Ablauf aber noch nicht. Genau in diese Lücke stoßen die Angreifer: Ein Anruf, der eine Passkey-Einrichtung ankündigt, wirkt derzeit plausibel statt verdächtig.

Parallel dokumentierte Microsoft eine zweite Kampagne, die zwischen dem 3. und 5. August 2026 über eine Million Betrugsmails verschickte. Dort gaben sich die Täter als Geschäftsführer aus und versuchten, Buchhaltungen zu gefälschten Überweisungen für angebliche ServiceNow-Abonnements zu bewegen — inklusive KI-generierter Mailvorlagen und erfundener Antwortverläufe. Beide Kampagnen greifen teilweise auf dieselbe Infrastruktur zurück.

Der entscheidende Punkt: Passkeys sind nicht das Problem

Weil die Berichterstattung gern verkürzt, hier die Einordnung vorweg. Ein Passkey ist ein kryptografisches Schlüsselpaar. Der private Teil verlässt dein Gerät nie, und die Anmeldung ist an die echte Domain gebunden. Landest du auf einer gefälschten Microsoft-Seite, funktioniert der Passkey dort schlicht nicht — er verweigert die Zusammenarbeit mit der falschen Adresse. Deshalb heißt das Verfahren phishing-resistent, und deshalb ist diese Eigenschaft auch kein Marketingversprechen, sondern nachprüfbare Technik.

Der Angriff umgeht das, indem er gar nicht erst versucht, einen bestehenden Passkey zu missbrauchen. Stattdessen wird das Opfer überredet, eine neue Anmeldemethode einzurichten oder die bestehende zurückzusetzen. Das ist ein Verwaltungsvorgang, kein Anmeldevorgang — und dabei greift der Phishing-Schutz nicht.

Vergleichbar ist das mit einem Sicherheitsschloss an der Wohnungstür: Das Schloss ist ausgezeichnet und lässt sich nicht knacken. Nur ruft eben jemand an, gibt sich als Hausverwaltung aus und bringt dich dazu, dem angeblichen Schlüsseldienst einen Zweitschlüssel anfertigen zu lassen. Am Schloss liegt es dann nicht mehr.

So läuft der Angriff ab

Schritt 1: Der Anruf auf der privaten Nummer

Die Kontaktaufnahme erfolgt per Telefon oder Nachricht, auffällig oft auf der privaten Rufnummer des Opfers und damit außerhalb aller Firmenfilter. Der Anrufer gibt sich als interner IT-Support aus und nennt einen dringenden Anlass rund um Passkeys, MFA oder Single Sign-on.

Dass dabei vermehrt Privatgeräte im Spiel sind, ist kein Zufall. Wer dienstliche Mails auf dem eigenen Handy liest, bewegt sich in einer Zone, die weder die Firmen-IT vollständig absichert noch der Nutzer als „dienstlich“ wahrnimmt.

Schritt 2: Die gefälschte Anmeldeseite

Per SMS folgt ein Link zu einer nachgebauten Microsoft-Anmeldeseite. Die verwendeten Domains sind darauf ausgelegt, im Kontext des Anrufs unauffällig zu wirken — Microsoft nennt unter anderem passkeyhelpdesk[.]com, secure-passkey[.]com, setupmypasskey[.]com, syncmykey[.]com und oktasession[.]com. Wer gerade am Telefon zur Passkey-Einrichtung geführt wird, hält einen solchen Namen kaum für ein Warnsignal.

Technisch stehen dahinter zwei Varianten:

• Adversary-in-the-Middle: Die Seite reicht alle Eingaben in Echtzeit an das echte Microsoft weiter und spiegelt die Antworten zurück. Das Opfer meldet sich tatsächlich erfolgreich an — auch mit zweitem Faktor. Der Angreifer greift dabei das fertige Sitzungstoken ab und ist damit angemeldet, ohne das Passwort zu kennen.
• Device-Code-Flow: Dieses Verfahren ist eigentlich für Geräte ohne Tastatur gedacht, etwa Smart-TVs. Der Angreifer startet die Anmeldung auf seinem System und lässt sich vom Opfer den angezeigten Code bestätigen. Bestätigt das Opfer, erhält der Angreifer gültige Zugangstoken.

In beiden Fällen wird die Zwei-Faktor-Authentifizierung nicht gebrochen, sondern ausgehebelt: Das Opfer erledigt sie selbst, und der Angreifer erntet das Ergebnis.

Schritt 3: Die eigene MFA-Methode als Dauerzugang

Ein Sitzungstoken läuft irgendwann ab. Deshalb registrieren die Angreifer als Erstes eine eigene Authentifizierungsmethode — eine Telefonnummer, eine Authenticator-App oder einen Software-Token unter ihrer Kontrolle.

Das ist der unangenehmste Teil des Angriffs, denn dieser Zugang überlebt ein Passwortzurücksetzen. Wer nach einem Vorfall nur das Passwort ändert, hat den Angreifer nicht ausgesperrt. Ein Blick in die registrierten Anmeldemethoden ist deshalb Pflicht.

Schritt 4: Erkundung über die Graph-API

Mit dem Konto in der Hand nutzen die Täter die Microsoft Graph API — dieselbe Schnittstelle, über die auch legitime Programme auf Microsoft 365 zugreifen. Sie erfassen systematisch Benutzer, Gruppen, Berechtigungen und erreichbare Inhalte, durchsuchen Postfächer und sammeln Metadaten zu Anhängen.

Weil diese Zugriffe technisch wie normale Anwendungsaufrufe aussehen, fallen sie einzeln betrachtet nicht auf. Microsofts eigene Empfehlung lautet daher, Graph-Aktivität im Zusammenhang zu bewerten statt einzelne Aufrufe zu prüfen.

Schritt 5: Der Datenabfluss

Am Ende steht der massenhafte Download aus SharePoint Online, OneDrive und Exchange Online, in den Protokollen sichtbar als große Mengen von FileAccessed– und FileDownloaded-Ereignissen. Die Exfiltration zieht sich bewusst über Stunden bis Tage, mit gedrosselter Geschwindigkeit. Zusätzlich wechseln die Angreifer die Infrastruktur: Anmeldung, Erkundung und Datenabfluss laufen über verschiedene IP-Adressen, damit kein einzelner Auffälligkeitswert Alarm auslöst.

Wer dahintersteckt

Microsoft ordnet die Zugangsbeschaffung mehreren Gruppen zu. Storm-3121 verschafft Zugänge, die anschließend bei den Erpressermarken ShinyHunters und Falcon landen. Storm-3032 entspricht der andernorts als UNC6671 geführten Gruppe — Akteure, die sich vom BlackFile-Verbund abgespalten haben und heute unter dem Namen Helix erpressen. Weitere Sicherheitsfirmen führen dieselbe oder überlappende Aktivität unter Bezeichnungen wie Cordial Spider oder PREY-0058.

Diese Namensvielfalt ist typisch und sagt weniger über die Zahl der Täter aus, als es scheint: Verschiedene Firmen vergeben eigene Bezeichnungen für Aktivitätsmuster, die sich überschneiden. Festhalten lässt sich, dass es sich um lose verbundene Kriminelle handelt, die sich gemeinsame Phishing-Infrastruktur und Anleitungen teilen. Der Einstiegspunkt ist arbeitsteilig organisiert und wird von den eigentlichen Erpressern zugekauft.

Bin ich betroffen?

Das hängt davon ab, in welcher Rolle du unterwegs bist.

Als Privatnutzer

Diese konkrete Kampagne zielt auf Firmenkonten in Microsoft 365, nicht auf private Outlook-Adressen. Die Methode ist aber nicht auf Unternehmen beschränkt: Ein angeblicher Support-Anruf, der dich durch die Einrichtung einer neuen Anmeldemethode führt, funktioniert bei jedem Anbieter. Vergleichbare Anrufe gibt es längst im Namen von Banken, Paketdiensten und Microsoft selbst.

Wer sein System ohnehin möglichst wenig an Microsoft binden möchte, findet in unserer Anleitung zu Windows 11 ohne Microsoft-Konto den Weg über ein lokales Benutzerkonto — das verkleinert die Angriffsfläche solcher Maschen zumindest im privaten Umfeld.

Im Unternehmen oder bei Microsoft 365 für den eigenen Betrieb

Hier besteht unmittelbarer Handlungsbedarf, besonders wenn Beschäftigte dienstliche Konten auf privaten Geräten nutzen. Genau dort setzt der Angriff an.

Anders als bei einer Sicherheitslücke in einem Gerät, wie zuletzt bei den kritischen UniFi-Schwachstellen, gibt es hier kein Update, das das Problem löst. Es geht um Konfiguration und um Abläufe — was die Sache mühsamer macht, aber auch unabhängig von einem Hersteller-Patch.

Das solltest du jetzt tun

Für Administratoren einer Microsoft-365-Umgebung sind vier Maßnahmen wirksam:

• Phishing-resistente MFA über Conditional Access erzwingen. Nicht nur anbieten, sondern als Bedingung festlegen. Dann reicht ein abgegriffenes Sitzungstoken allein nicht mehr aus.
• Zugriff an verwaltete, konforme Geräte binden. Microsoft empfiehlt ausdrücklich, Exchange, SharePoint und Graph-Anwendungen nur von solchen Geräten aus zuzulassen. Das trifft den Angriff an seiner Wurzel, weil er auf Privatgeräte setzt.
• Den Device-Code-Flow abschalten, sofern ihr ihn nicht nachweislich braucht. In den meisten Organisationen wird er nie benötigt, steht aber offen.
• Registrierungen neuer Anmeldemethoden überwachen. Wenn zu einem Konto plötzlich eine unbekannte Telefonnummer oder App hinzukommt, ist das eines der verlässlichsten Warnzeichen überhaupt.

Und für alle, unabhängig von der Rolle, gilt eine einfache Regel: Kein seriöser IT-Support ruft unangekündigt an und führt dich durch die Einrichtung einer Anmeldemethode. Wenn ein solcher Anruf kommt, legst du auf und rufst über die dir bekannte Nummer zurück — nicht über eine, die dir der Anrufer nennt. Das kostet zwei Minuten und macht diesen gesamten Angriffsweg wirkungslos.

Woran erkenne ich eine Kompromittierung?

Wenn der Verdacht besteht, dass ein Konto betroffen ist, lohnt der Blick auf diese Punkte:

• Unbekannte Anmeldemethoden im Konto — der wichtigste Prüfpunkt.
• Anmeldungen aus ungewöhnlichen Regionen oder von untypischen Geräten.
• Auffällig viele Dateizugriffe in kurzer Zeit, sichtbar über die Protokolle von SharePoint und OneDrive.
• Neue Posteingangsregeln, die Nachrichten automatisch weiterleiten oder in selten geöffnete Ordner verschieben.
• Zugriffe über die Graph-API von Anwendungen, die im Unternehmen niemand eingeführt hat.

Bei einem bestätigten Vorfall reicht das Zurücksetzen des Passworts nicht. Microsoft nennt zwei weitere Schritte ausdrücklich: alle Sitzungen widerrufen und sämtliche nicht autorisierten Anmeldemethoden entfernen. Andernfalls bleibt der Zugang bestehen.

Einordnung: Sind Passkeys jetzt kaputt?

Nein — und wer aus dieser Meldung den Schluss zieht, lieber beim Passwort zu bleiben, hätte sie genau falsch verstanden. Der Angriff funktioniert gerade deshalb mit Anrufen und nachgebauten Seiten, weil der direkte Weg über den Passkey verschlossen ist. Ein Verfahren, gegen das Kriminelle einen derartigen Aufwand betreiben müssen, tut ziemlich genau das, was es soll.

Was die Sache dennoch zeigt, ist eine strukturelle Schwäche: Die Sicherheit eines Anmeldeverfahrens endet dort, wo seine Verwaltung beginnt. Passkey-Einrichtung, MFA-Reset, Helpdesk-Prozesse — all das läuft weiterhin über Menschen, Telefonate und Formulare. Solange sich ein Konto per Anruf zurücksetzen lässt, ist der Anruf der schwächste Punkt, egal wie gut die Kryptografie dahinter ist.

Die praktische Konsequenz ist unspektakulär, aber wirksam: Wer Passkeys einführt, sollte den Wiederherstellungs- und Einrichtungsprozess genauso ernst nehmen wie das Verfahren selbst. Sonst verlagert man das Risiko nur, statt es zu senken.

Fazit

Die Kampagne ist ein gutes Beispiel dafür, wie sich Angriffe verschieben, wenn Technik besser wird. Passwörter zu stehlen lohnt sich immer weniger, also greifen Kriminelle den Vorgang an, mit dem Anmeldemethoden eingerichtet werden — per Telefon, mit Zeitdruck und einem Vorwand, der gerade jetzt glaubwürdig klingt.

Für Administratoren ist die Aufgabe klar: Geräte-Compliance erzwingen, den Device-Code-Flow schließen und neue MFA-Registrierungen im Blick behalten. Für alle anderen bleibt der Satz, der den ganzen Angriff wertlos macht: auflegen und selbst zurückrufen.

Passkeys bleiben trotzdem die beste Anmeldemethode, die derzeit breit verfügbar ist. Diese Meldung ist kein Grund, auf sie zu verzichten — sondern einer, den Weg dorthin sorgfältig zu gestalten.

Häufige Fragen

Wurden Passkeys gehackt?

Nein. Der private Schlüssel verlässt das Gerät nicht, und die Anmeldung ist an die echte Domain gebunden — auf einer gefälschten Seite funktioniert ein Passkey nicht. Angegriffen wird der Vorgang, mit dem Anmeldemethoden eingerichtet oder zurückgesetzt werden.

Hilft Zwei-Faktor-Authentifizierung gegen diesen Angriff?

Klassische Verfahren mit Code-Eingabe oder Bestätigungsmeldung helfen hier nicht zuverlässig, weil das Opfer sie im Angriffsverlauf selbst durchführt und der Angreifer das entstandene Sitzungstoken abgreift. Wirksam ist phishing-resistente MFA in Verbindung mit Conditional Access und Geräte-Compliance.

Was ist der Device-Code-Flow und warum ist er gefährlich?

Ein Anmeldeverfahren für Geräte ohne komfortable Eingabe, etwa Fernseher. Man bekommt einen kurzen Code und bestätigt ihn an einem anderen Gerät. Missbraucht wird das, indem der Angreifer die Anmeldung startet und das Opfer den Code bestätigen lässt — die Token landen dann beim Angreifer. Wer den Flow nicht braucht, sollte ihn deaktivieren.

Reicht es, nach einem Vorfall das Passwort zu ändern?

Nein. Die Angreifer registrieren eine eigene Anmeldemethode, die ein Passwortwechsel nicht entfernt. Zusätzlich müssen alle Sitzungen widerrufen und unbekannte Anmeldemethoden gelöscht werden.

Sind private Microsoft-Konten betroffen?

Diese Kampagne richtet sich gegen Firmenkonten in Microsoft 365. Die Masche selbst funktioniert aber bei jedem Dienst — ein angeblicher Support-Anruf, der dich durch eine Kontoeinstellung führt, ist immer ein Warnsignal.

Woran erkenne ich einen gefälschten Support-Anruf?

Am zuverlässigsten daran, dass er unangekündigt kommt und dich zu einer Aktion am Konto drängt. Echter Support braucht weder deinen Code noch deine Bestätigung einer Anmeldung, die du nicht selbst gestartet hast. Im Zweifel auflegen und über die offizielle, dir bekannte Nummer zurückrufen.

Quellen: Microsoft Threat Intelligence sowie die Berichterstattung von The Hacker News und RH-ISAC, abgerufen am 13.09.2026.