Neue Angriffstechniken gefährden Windows-Anmeldemechanismen und Cloud-Identitätsdienste – Unternehmen in Deutschland und Europa stehen vor wachsenden Sicherheitsrisiken.
Sicherheitsforscher haben mehrere neue Angriffsmethoden auf Windows-Authentifizierungsmechanismen und cloudbasierte Identitätsdienste offengelegt. Die Anfang August 2026 präsentierten Erkenntnisse betreffen Windows Hello for Business, synchronisierte Passkeys und Netzwerkprotokolle. Angreifer könnten damit dauerhaften Zugang zu Unternehmensumgebungen erlangen.
Windows Hello for Business: Schlüssel nach Session-Übernahme missbrauchbar
Der Forscher Dirk-Jan Mollema identifizierte eine Technik, die den Missbrauch von Windows-Hello-for-Business-Schlüsseln nach einer Session-Kompromittierung ermöglicht. Angreifer können sich dabei authentifizieren, ohne dass die PIN oder biometrische Verifikation des Nutzers erforderlich ist. Zwar umgeht die Methode das Trusted Platform Module (TPM) nicht, doch sie erlaubt den Diebstahl von Primary Refresh Tokens (PRT) und die Registrierung von Schatten-Geräten über WebAuthn und FIDO2. Das Ergebnis: dauerhafter Zugriff auf Entra ID, selbst nachdem die ursprüngliche Session beendet wurde.
Passkeys und NAT-Risiken: Zwei neue Angriffsklassen
Parallel dazu veröffentlichte das Forschungsunternehmen Unit 42 Details zur Angriffsklasse „Pass-ta-key“, die synchronisierte Passkeys auf Windows-Geräten ins Visier nimmt. Schadsoftware kann Passkeys aus dem Arbeitsspeicher von Chrome extrahieren und sich so als vertrauenswürdiges Gerät ausgeben. In fortgeschrittenen Szenarien gelang es den Forschern, durch Extraktion eines Sicherheitsdomänen-Geheimnisses sämtliche synchronisierten Passkeys zu entschlüsseln.
Was genau hinter der Technologie steckt, die herkömmliche Passwörter ablösen soll, und wie man sie bei Diensten wie Microsoft oder WhatsApp sicher einrichtet, erläutert dieser Ratgeber. Passkey-Report jetzt kostenlos herunterladen
Eine weitere Angriffsklasse namens „NatJack“ stellte der Forscher Malcolm Stagg auf der Black-Hat-USA-Konferenz vor. Die Technik manipuliert Verbindungszustände der Network Address Translation (NAT), um TCP-Sessions zu übernehmen und DNS zu manipulieren. Betroffen sind unter anderem CVE-2026-56181 in Windows NAT mit einem CVSS-Score von 8,3 sowie CVE-2026-63913 in Linux Netfilter. Tests zeigten: 32 Produkte von 13 Herstellern sind anfällig für diese Exploits.
Cloud-Angriffe nehmen drastisch zu
Die neuen Erkenntnisse reihen sich in einen besorgniserregenden Trend ein: Ein Bericht von Wiz für das erste Halbjahr 2026 verzeichnet einen Anstieg bedeutender Sicherheitsvorfälle um 60 Prozent im Vergleich zur zweiten Jahreshälfte 2025. Supply-Chain-Angriffe stiegen von 10 auf 25 Prozent aller Vorfälle, Attacken auf KI-Infrastruktur verdoppelten sich.
Der CrowdStrike Threat Hunting Report 2026 dokumentiert einen Anstieg cloudbezogener Cyberkriminalität um 171 Prozent. Angreifer nutzen demnach zunehmend KI und exploitieren Schwachstellen innerhalb von 24 Stunden nach Veröffentlichung eines Proof-of-Concept. Besonders deutlich: Device-Code-Phishing hat sich verfünfzehnfacht.
Reale Vorfälle: Von SharePoint bis Phishing-as-a-Service
Die Bedrohungslage ist keine Theorie. Das Schweizer Bundesamt für Informatik und Telekommunikation (BIT) entdeckte Ende Juli einen Einbruch in SharePoint-Server mit rund 200 kompromittierten Konten. Deutsche Behörden legten zudem 200 Server des Phishing-as-a-Service-Kits „Kratos“ still – doch etwa 1.800 Abonnenten verfügen weiterhin über den Code, der Session-Cookies stehlen und die Multi-Faktor-Authentifizierung für Microsoft-365-Konten umgehen kann.
Angesichts der Zunahme von Phishing-Angriffen in Deutschland hilft dieser Leitfaden Unternehmen dabei, psychologische Manipulationstaktiken der Hacker frühzeitig zu erkennen. Kostenloses Anti-Phishing-Paket für Unternehmen sichern
Im Managed-Services-Sektor bestätigte N-able, dass Angreifer aktiv Authentifizierungs-Bypass-Schwachstellen (CVE-2026-18556 und CVE-2026-18577) in der Software N-central ausnutzten. Das Unternehmen veröffentlichte am 2. August ein Pflicht-Update – Angreifer hatten zuvor persistente Cloudflare-Tunnel auf betroffenen Endpunkten installiert.
Was Unternehmen jetzt tun sollten
Die Angriffsmethoden zielen auf die Vertrauensanker moderner Identitätsinfrastruktur. Experten empfehlen, kritische Systeme umgehend zu patchen, insbesondere Windows-NAT-Komponenten und N-central-Installationen. Zudem sollten Unternehmen ihre Überwachung auf Anomalien bei Authentifizierungsvorgängen ausrichten – etwa ungewöhnliche Geräteregistrierungen oder verdächtige Passkey-Synchronisierungen. Angesichts der rasant steigenden Angriffszahlen auf Cloud-Infrastrukturen ist eine proaktive Sicherheitsstrategie keine Option mehr, sondern Pflicht.
