In einem am 30. Oktober 2026 veröffentlichten Bericht dokumentiert Microsoft zwei gravierende Vorfälle, bei denen Angreifer unter dem Vorwand von Helpdesk-Mitarbeitern über Microsoft Teams in Unternehmensnetzwerke eindrangen. Dem Bericht zufolge lag kein Softwarefehler in Microsoft Teams vor.
Die Täter bewegten die betroffenen Nutzer vielmehr mittels Social Engineering dazu, ihnen über die Windows-Fernwartungsfunktion Quick Assist Fernzugriff auf die jeweiligen Arbeitsplatzrechner zu gewähren. Von dort aus gelang es den Eindringlingen, bis in die Active Directory Certificate Services (AD CS) vorzudringen.
Zwei Angriffsrouten über Zertifikatsdienste
Microsoft identifizierte bei den dokumentierten Eindringversuchen zwei unterschiedliche Vorgehensweisen zur Rechteausweitung. Auf der ersten Route über die Schwachstelle ESC1 ermöglichte ein fehlkonfiguriertes Zertifikatstemplate die Angabe frei gewählter Identitäten.
In einer ersten Welle attackierten die Angreifer drei Nutzerkonten und einen Arbeitsplatzrechner und verschafften sich Zertifikate für drei privilegierte Konten. Rund 90 Minuten später folgte eine zweite Welle gegen 16 Nutzer und einen weiteren Rechner, die zur Ausstellung von Zertifikaten für acht zusätzliche privilegierte Konten führte.
Obwohl der automatisierte Schutzmechanismus Microsoft Defender Attack Disruption über 1.000 spätere SMB-Datei- und Anmeldeversuche blockierte, war eine privilegierte Identität von dieser automatischen Eindämmung ausgenommen und blieb für die Angreifer nutzbar.
CEO-Fraud: Warum selbst erfahrene Mitarbeiter auf gefälschte Chef-E-Mails hereinfallen. Ein kostenloser Report zeigt, welche psychologischen Tricks Hacker gezielt in deutschen Unternehmen einsetzen. Anti-Phishing-Paket jetzt kostenlos herunterladen
Mit diesem Konto griffen die Täter auf einen Dateiserver zu und übertrugen Daten an ein externes SFTP-Ziel. Zudem wurde nur Sekunden nach der Ausstellung des privilegierten Zertifikats der Abzug von Kontoinformationen via DCSync registriert.
Auf der zweiten Route nutzten die Täter das Werkzeug PetitPotam und die Schwachstelle ESC8. Dabei wurde eine NTLM-Authentifizierung des Domänencontrollers an die Webregistrierung der Active Directory Certificate Services weitergeleitet. Dies führte zur Ausstellung eines Zertifikats für das Maschinenkonto des Domänencontrollers sowie zu einem Ticket-Granting-Ticket über PKINIT. Nachdem der betroffene Kunde die kompromittierte Arbeitsstation isoliert hatte, wurde keine weitere Progression der Angreifer mehr festgestellt.
Empfehlungen für Administratoren
Microsoft hob hervor, dass über Social Engineering erlangte AD-CS-Zertifikate auch nach einem Zurücksetzen von Passwörtern weiterhin gültig bleiben. Das Unternehmen empfiehlt Administratoren daher, Zertifikate explizit zu widerrufen und Tickets zu überprüfen, da ein bloßer Passwortwechsel oder ein Neuaufsetzen der Systeme bestehende Zertifikate nicht entwertet.
Zur Erkennung möglicher Kompromittierungen stellte Microsoft Abfragen zur Bedrohungssuche in vier Kategorien bereit: verdächtige Teams-Kontakte, die Ausführung von Bun oder Java aus KB-Verzeichnissen, Zugriffe über die Netzwerkports 80, 445, 636 und 88 sowie auffällige Aktivitäten rund um NTLM-Relaying, PKINIT und Kerberos. Eine Zuordnung der Angriffe zu einer bestimmten Bedrohungsgruppe nahm Microsoft in dem Bericht nicht vor.
Wer sein Unternehmen proaktiv vor immer komplexeren Cyberangriffen und manipulativen Social-Engineering-Taktiken schützen möchte, erhält in diesem E-Book wertvolle Experten-Tipps. Kostenloses Cyber-Security E-Book sichern
Zunahme ähnlicher Vishing-Kampagnen
Die beobachteten Vorfälle reihen sich in eine breitere Welle ähnlicher Taktiken ein. Laut einem Bericht von eSentire TRU vom 3. November 2026 nimmt Social Engineering per Telefon und Teams mit anschließender Datenerpressung in der Rechts-, Gesundheits- und Finanzbranche zu.
Das Vorgehen deckt sich mit Erkenntnissen zu der Gruppe UNC6671. Die Angreifer treten als IT-Support oder Kollegen auf, leiten Opfer auf Phishing-Seiten zur Umgehung von Mehrfaktor-Prüfungen, registrieren eigene Geräte und leiten Unternehmensdaten ab.
In einem dokumentierten Fall wurden 127 Beschäftigte eines Unternehmens innerhalb einer Stunde von derselben Rufnummer kontaktiert; Daten aus Microsoft OneDrive wurden in unter zehn Minuten entwendet.
Bereits am 28. Oktober 2026 hatte auch das Canadian Centre for Cyber Security in einer Warnmeldung auf koordinierte Vishing-Aktivitäten hingewiesen, die sich im Oktober 2026 insbesondere gegen große Anwaltskanzleien wie McCarthy Tétrault, Davies, Bennett Jones und BLG richteten und zu unbefugten Zugriffen auf Cloud- und Mandantendaten führten.