Zwei-Faktor-Authentifizierung gilt in Unternehmen und bei privaten Konten als grundlegender Standard, um unbefugte Zugriffe abzuwehren. Sicherheitsanalysen zeigen jedoch, dass herkömmliche Implementierungen zunehmend ins Visier komplexer Angriffsmethoden geraten. Anstatt kryptografische Verfahren direkt anzugreifen, manipulieren Angreifer zunehmend legitime Sicherheitsbenachrichtigungen und Anmeldeabläufe, um Schutzmechanismen auszuhebeln.
Session-Diebstahl und Adversary-in-the-Middle im Fokus
Besondere Aufmerksamkeit widmen IT-Sicherheitsexperten sogenannten Adversary-in-the-Middle-Angriffen (AiTM). Bei dieser Methode wird die Multi-Faktor-Authentifizierung nicht geknackt, sondern die nach einem erfolgreichen Login generierte Sitzung abgefangen.
Ein zwischengeschalteter Proxy leitet den Datenverkehr zwischen dem Nutzer und dem tatsächlichen Identitätsanbieter in Echtzeit weiter. Sobald sich das Opfer ordnungsgemäß authentifiziert hat, greift der Angreifer das dabei erzeugte Session-Cookie oder Token ab, um es für eigene Zugriffe wiederzuverwenden.
Wie weitreichend solche Schemata operieren, verdeutlichen mehrere erfasste Kampagnen. Ein Bericht von Microsoft aus dem Jahr 2026 dokumentierte eine AiTM-Welle zwischen April und Mai, die gezielt auf über 35.000 Nutzer bei mehr als 13.000 Organisationen in 26 Ländern abzielte.
Zudem verzeichnete ein Bericht aus dem September zur Operation BigBear 2.0 Angriffe auf 461 Organisationen in über 40 Ländern mit Schwerpunkt in Indien. Bereits im Januar war eine Kampagne gegen Energieunternehmen über SharePoint-Verlinkungen und kompromittierte Konten registriert worden, bei der AiTM mit Methoden des E-Mail-Betrugs kombiniert wurde.
Wer sich mit den aktuellen Methoden der Cyberkriminalität befasst, erkennt schnell, dass herkömmliche Passwörter oft nicht mehr ausreichen. Dieser kostenlose Report zeigt Ihnen, wie Sie die neue Passkey-Technologie bei Diensten wie Microsoft oder WhatsApp sofort einrichten und Ihre Konten effektiv absichern. Passkey-Ratgeber jetzt kostenlos herunterladen
Missbrauch legitimer Authentifizierungswege bei Cloud-Diensten
Parallel dazu passen Kriminelle ihre Angriffskits an bestehende Plattformfunktionen an. Das Phishing-Kit SkyW4lker zielt beispielsweise auf Microsoft-365-Konten ab, indem es die reguläre Gerätecode-Anmeldung nutzt.
Betroffene erhalten über gefälschte Dokumente oder Links mit zwischengeschalteten Abfragen die Aufforderung, einen Code direkt auf der offiziellen Microsoft-Anmeldeseite einzugeben. Dadurch autorisiert der Nutzer unwissentlich eine vom Angreifer gestartete Sitzung.
Die Plattform ANY.RUN verzeichnete zwischen Juni und Oktober 2026 insgesamt 618 Sandbox-Analysen zu diesem Kit, mit einem Anstieg von 20 Analysen im Juni auf 200 im September. Rund 46 bis 47 Prozent dieser eingereichten Analysen stammten aus den USA.
Ähnliche Risiken bestehen bei erweiterten Verwaltungsfunktionen: Untersuchungen von Proofpoint belegten, wie über Microsoft Entra Agent ID Blueprints böswillige Identitäten eingeschleust werden können. Angreifer leiten Nutzer dabei auf eine offizielle Autorisierungsseite weiter, um Berechtigungen wie AgentIdentity.CreateAsManager zu erlangen, über die nach Freigabe Zugriffstoken generiert werden können.
Grenzen klassischer Verfahren und Umstieg auf Passkeys
Die Schwächen älterer Verifikationsmethoden bewegen Organisationen zum Umdenken. Da zustellungsbasierte Einmalcodes per SMS leicht abgefangen oder per Phishing entwendet werden können, bereitet Microsoft die Abschaltung dieser Kanäle vor.
Für die Mehrheit der Entra-ID-Nutzer endet die SMS- und Sprachauthentifizierung zum 1. Februar 2027, gefolgt von globalen Administratoren und externen Konten zum 1. Juli 2027. Bereits seit dem 1. September 2026 werden entsprechende Nutzer automatisch für Passkeys freigeschaltet. Auch Behörden wie das belgische CCB raten nach erfolgreichen Angriffen auf Organisationen dazu, SMS als ersten Faktor vollständig abzulösen.
Angesichts von Millionen gehackter Konten pro Quartal wird der Abschied vom klassischen Passwort immer dringlicher. Erfahren Sie in diesem Gratis-Leitfaden, wie Sie mit biometrischen Merkmalen wie Fingerabdruck oder Gesichtserkennung einen sichereren und stressfreien Zugang zu Ihren digitalen Daten realisieren. Kostenlosen Report zur passwortlosen Anmeldung sichern
Gleichzeitig untersuchen Sicherheitsforscher bereits Angriffsszenarien auf modernere Schutzschilde. So demonstrierten Analysten von SpecterOps sowie der Forscher Dirk-jan Mollema Wege, wie signiertes Authentifizierungsmaterial oder bestehende Windows-Sitzungen zur Rechteausweitung missbraucht werden können, ohne private kryptografische Schlüssel zu brechen.
Microsoft stellte hierfür unter der Kennung CVE-2026-34348 (CVSS-Wert 6,5) ein Sicherheitsupdate bereit. Als wirksamste Schutzmaßnahmen gelten in Sicherheitskreisen weiterhin FIDO2-Sicherheitsschlüssel und origin-gebundene Passkeys, flankiert durch strikte Richtlinien für bedingten Zugriff und eine konsequente Überwachung administrativer Protokolle.