Das FBI hat eine Warnung zu „Kali365“ herausgegeben – einer neuen Angriffskampagne, die gezielt Microsoft-365-Umgebungen ins Visier nimmt. Die Hacker umgehen selbst mehrstufige Sicherheitschecks.
Wie die Angreifer die Zwei-Faktor-Authentifizierung aushebeln
Die Methode ist raffiniert. Kali365 setzt auf sogenannte Adversary-in-the-Middle (AiTM)-Phishing-Techniken. Dabei fangen die Täter Authentifizierungstoken ab, während sie sich zwischen Nutzer und Anbieter schalten. Das Besondere: Selbst die Multi-Faktor-Authentifizierung (MFA) wird wirkungslos. Einmal im System, haben die Angreifer freie Bahn auf sensible Daten in Outlook, Teams und OneDrive.
Da herkömmliche Sicherheitsverfahren wie die Multi-Faktor-Authentifizierung zunehmend von Hackern umgangen werden, gewinnt der Schutz digitaler Identitäten an Bedeutung. Dieser kostenlose Report erklärt eine neue Technologie, die Phishing und Datenklau komplett verhindern soll. Sicher, bequem und passwortlos – so funktionieren Passkeys
Die Plattform Kali365 senkt die Hürden für Cyberkriminelle drastisch. Selbst weniger versierte Angreifer können damit komplexe Einbrüche durchführen. Ein Bericht des Sicherheitsanbieters Barracuda vom 28. Mai 2026 untermauert den Trend: Die Zahl bösartiger Microsoft-365-Logins aus eigentlich risikoarmen Regionen wie den USA und Großbritannien stieg um rund 25 Prozent. Die Täter nutzen VPNs, um sich unter legitimen Datenverkehr zu mischen. Zudem locken sie mit KI-Themen – etwa gefälschten Installationsdateien für Claude AI – um Schadsoftware einzuschleusen.
KI beschleunigt Angriffe – und wird selbst zur Zielscheibe
Die Geschwindigkeit, mit der Sicherheitslücken ausgenutzt werden, nimmt rasant zu. Grund sind fortschrittliche KI-Modelle. Tests des Sicherheitsunternehmens Zscaler Ende Mai 2026 mit Modellen wie Anthropic Mythos und OpenAIs GPT 5.5 Cyber zeigen: Diese Systeme analysieren komplexe Angriffspfade und verketten mehrere Schwachstellen miteinander.
Die Ergebnisse sind alarmierend. Die KI-Tools fanden doppelt so viele schwerwiegende Sicherheitslücken und arbeiteten doppelt so schnell wie herkömmliche Systeme. In einem Fall identifizierte Mythos einen 27 Jahre alten Fehler in OpenBSD innerhalb weniger Minuten. Herkömmliche Patch-Zyklen von 14 bis 30 Tagen, so warnen Sicherheitsexperten, werden damit zunehmend obsolet.
Der rasante Fortschritt bei KI-Modellen bringt nicht nur neue Bedrohungen, sondern auch komplexe rechtliche Anforderungen für Unternehmen mit sich. Erfahren Sie in diesem kostenlosen Leitfaden, welche Risikoklassen und Pflichten die neue EU-KI-Verordnung für Sie bereithält. Kostenloses E-Book zum EU AI Act herunterladen
Doch die KI-Modelle selbst sind verwundbar. Eine Cisco-Studie vom 27. Mai 2026 zeigt: 15 führende KI-Modelle waren deutlich anfälliger für iterative Mehrfachangriffe als für einzelne Angriffsversuche. Bei Gemini 3 Pro etwa stieg die Erfolgsrate von rund 18 auf über 73 Prozent, als die Forscher schrittweise vorgingen.
Sicherheitslücken in Fortinet-Systemen und die Lehren aus dem Milliarden-Hack
Neben Cloud-Phishing zielen Angreifer auch auf Infrastruktur-Schwachstellen. Ende Mai 2026 wurden Angriffe auf CVE-2026-35616 bekannt – eine kritische Lücke in Fortinet FortiClient EMS. Die Angreifer nutzen nicht authentifizierte API-Zugriffe, um den EKZ-Credential-Stealer per PowerShell-Skript zu installieren. Diese Malware sammelt Browser-Zugangsdaten, VPN-Token und Sitzungs-Cookies.
Unternehmen sollten verdächtige API-Anfragen und eingeschränkte PowerShell-Ausführungen genau überwachen. Die Risiken unzureichenden Passwortschutzes zeigen sich im Rückblick auf den Change-Healthcare-Vorfall von 2024. Dort nutzten Angreifer ein einziges gestohlenes Passwort auf einem Remote-Portal ohne MFA, um sechs Terabyte Daten zu stehlen. Die Kosten für das Unternehmen: geschätzte 2,9 Milliarden Euro.
Schwache Passwörter bleiben das Einfallstor Nummer eins
Trotz aller Hightech-Bedrohungen: Die größte Schwachstelle bleibt der Mensch. Kompromittierte Zugangsdaten sind für 22 Prozent aller Sicherheitsvorfälle der erste Einstiegspunkt. Eine Specops-Studie vom 28. Mai 2026 analysierte 6,4 Milliarden geleakte Passwörter und fand auffällig viele sportbezogene Begriffe. Namen wie Messi und Ronaldo tauchten millionenfach auf.
Paradoxerweise führen überkomplexe Passwortrichtlinien oft zum Gegenteil. Mitarbeiter greifen zu unsicheren Workarounds: Sie verwenden Passwörter mehrfach oder notieren sie auf Zetteln.
Sicherheitsexperten empfehlen daher den Umstieg auf eine Zero-Trust-Architektur. Konkret bedeute das: lange Passphrasen nutzen, Passwörter regelmäßig gegen kompromittierte Listen prüfen – wie vom NIST empfohlen – und Täuschungstechnologien wie Honeypots einsetzen, um seitliche Bewegungen im Netzwerk frühzeitig zu erkennen.
