Die Angreifer brauchen kein Passwort mehr. Sie lassen sich den Zugriff vom Mitarbeiter selbst freigeben, auf der echten Microsoft-Seite, mit bestätigter MFA. Die Kampagne EvilTokens trifft seit dem Frühjahr 2026 auch deutsche Unternehmen.
Inhaltsverzeichnis
Was hinter EvilTokens steckt
Cyberkriminelle vermieten seit Februar 2026 einen fertigen Phishing-Baukasten gegen Microsoft 365. Das französische Threat-Intelligence-Unternehmen Sekoia analysierte die Plattform im März 2026 als erstes ausführlich. Die Betreiber verkaufen ihren Baukasten über Telegram und kassieren dafür Miete. Wer zahlt, bekommt fertige Phishing-Seiten, passende Ködermails und ein Panel für die Auswertung.
Microsoft bestätigte im April das Ausmaß und meldete deutlich höhere Erfolgsquoten als bei früheren Angriffen dieser Art. Sekoia zählte rund 500 Domains und über 1.000 Phishing-Seiten unter dem EvilTokens-Dach. Huntress registrierte allein im März knapp 350 betroffene Organisationen. Deutschland gehört dabei zu den Schwerpunkten, neben den USA, Kanada, Australien und Neuseeland.
So läuft der Angriff ab
Microsoft bietet einen Anmeldeweg namens Device Code Flow an. Er hilft Geräten, die keine Eingabemöglichkeiten haben, etwa Konferenzraum-Systeme, Smart-TVs oder Kommandozeilen-Werkzeuge. Der Nutzer tippt dazu einen kurzen Code auf einer echten Microsoft-Seite ein und bestätigt damit die Anmeldung des Geräts.
Die Angreifer drehen diesen Weg einfach um. Sie starten die Anmeldung selbst und schicken den erzeugten Code per Mail an ihr Opfer. Der Mitarbeiter tippt den Code auf der Microsoft-Seite ein, meldet sich an und bestätigt seinen zweiten Faktor. Alles daran ist echt: die Domain, die Anmeldemaske, die MFA-Abfrage.
Nur die Sitzung gehört dem Angreifer. Microsoft stellt anschließend ein gültiges Zugriffstoken aus, und dieses Token landet nicht beim Mitarbeiter. Von diesem Moment an liest der Angreifer Postfächer, Dateien, Kalender und Kontakte im Namen des Kontos.
Cisco Talos beschrieb Anfang Juli 2026 ein Partner-Panel namens ARToken und zeigte, wie professionell diese Werkzeuge inzwischen arbeiten. Die Angreifer überwachen mehrere gekaperte Postfächer gleichzeitig nach Stichwörtern. Sie legen versteckte Regeln im Posteingang an und verwischen damit ihre Spuren. Zusätzlich registrieren sie eigene Geräte in Entra ID, holen sich darüber einen Primary Refresh Token und bleiben dauerhaft im Tenant.
Warum die MFA hier nicht greift
MFA wirkt, und zwar sehr gut. Microsoft beziffert die Schutzwirkung bei automatisierten Angriffen auf über 99 Prozent. EvilTokens greift die MFA aber gar nicht erst an. Die Kampagne benutzt sie.
Der Mitarbeiter authentifiziert sich wirklich und bestätigt den zweiten Faktor korrekt. Microsoft stellt das Token genau so aus, wie das Protokoll es vorsieht. In den Anmeldeprotokollen sieht der ganze Vorgang deshalb aus wie ein völlig normaler Login.
Genau deshalb versagen die alten Erkennungsmerkmale, die wir Anwendern jahrelang beigebracht haben. Es gibt keine gefälschte Domain, keine krude URL und kein holpriges Deutsch. Eine aktuelle Variante verschlüsselt die Phishing-Seite sogar und baut sie erst im Browser des Opfers zusammen. ANY.RUN zeigte diesen Trick Anfang Juli. Klassische Link-Prüfungen finden dabei eine völlig harmlose Seite.
Wen die Angreifer ansprechen
Die Angreifer streuen nicht breit, sie wählen gezielt aus. Sekoia beobachtete Partner, die sich auf Finance, Personal und Logistik konzentrieren. Cisco Talos fand Ködermails im Rechnungs-Look, die bekannte Lieferanten imitieren und in der Buchhaltung landen. Der Link zeigt darin eine vertraut wirkende SharePoint-Adresse und führt trotzdem in einen Microsoft-365-Tenant der Angreifer.
Der Grund dafür liegt auf der Hand. Diese Konten öffnen den Weg zu Zahlungsdaten, Verträgen und Lieferketten. Genau dort verdienen die Angreifer ihr Geld.
Was Sie jetzt tun sollten
Microsoft nennt eine Maßnahme zuerst, und die kostet kein Budget: Sperren Sie den Device Code Flow überall dort, wo Sie ihn nicht brauchen. Die allermeisten Mitarbeiter melden sich nie über diesen Weg an.
- Prüfen Sie die tatsächliche Nutzung. Filtern Sie die Anmeldeprotokolle in Entra ID nach dem Device Code Flow. Meist tauchen dort nur einzelne Konferenzraum-Geräte oder Admin-Werkzeuge auf.
- Starten Sie die Richtlinie im Nur-Bericht-Modus. Legen Sie in Conditional Access eine Regel unter „Authentifizierungsflüsse“ an und blockieren Sie den Device Code Flow. Der Berichtsmodus zeigt Ihnen vorher, wen die Regel treffen würde.
- Schalten Sie scharf. Nehmen Sie die wenigen legitimen Geräte als Ausnahme heraus und aktivieren Sie die Regel.
- Schränken Sie Zustimmungen ein. Prüfen Sie, ob Ihre Mitarbeiter Apps eigenständig Rechte auf Microsoft-365-Daten erteilen dürfen.
- Gehen Sie bestehende Apps durch. Welche OAuth-Anwendungen greifen heute auf Ihre Daten zu, und wer hat das jemals freigegeben?
- Informieren Sie Ihr Team. Eine einzige Regel genügt: Ein Code aus einer Mail gehört nie auf eine Microsoft-Anmeldeseite. Wer das verinnerlicht, fällt nicht darauf herein.
Ein Hinweis noch: Microsoft hat unter der Secure Future Initiative bei manchen Tenants bereits eine verwaltete Richtlinie hinterlegt. Verlassen Sie sich nicht darauf, sondern prüfen Sie es in Ihrer eigenen Umgebung nach.
Und was ist mit FIDO2?
FIDO2-Schlüssel und Passkeys gehören zu den stärksten Anmeldeverfahren, die es derzeit gibt. Sie binden die Anmeldung kryptografisch an die echte Domain. Gegen klassisches Phishing und gegen Angriffe über zwischengeschaltete Proxys wirken sie hervorragend.
Gegen genau diesen Angriff helfen sie allerdings wenig. Das Opfer meldet sich ja tatsächlich bei Microsoft an. Der Schlüssel prüft die Domain, findet sie korrekt und gibt die Anmeldung frei. Danach autorisiert das Opfer trotzdem die falsche Sitzung.
FIDO2 bleibt richtig und wichtig, löst dieses Problem aber nicht allein. Erst beides zusammen schließt die Lücke: Conditional Access stoppt den Angriffsweg, FIDO2 nimmt den Angreifern die Nachbarwege.
Wie sicher ist Ihre Microsoft-365-Umgebung wirklich?
Die meisten Teams kennen die Antwort nicht. Wir prüfen Ihre Conditional-Access-Regeln, Ihre OAuth-Zustimmungen, Ihre Token-Laufzeiten und Ihre Authentifizierungsflüsse. Danach halten Sie eine Liste konkreter Schritte in der Hand, sortiert nach Wirkung und Aufwand. So schließen Sie genau die eine Lücke, die MFA und FIDO2 offen lassen.
M365 Security Assessment anfragen
- Pflichtfelder
