Das Hotel-WLAN, in das sich Ihr Vertriebsteam einloggt, ist jetzt ein Weg in Ihr Microsoft-365-Konto

Der Standardrat für Hotel-WLAN lautete bisher immer gleich: VPN einschalten, keine Passwörter eingeben, das Netzwerk generell als nicht vertrauenswürdig behandeln. Dieser Rat geht davon aus, dass die Gefahr darin besteht, dass jemand im selben Netzwerk den Datenverkehr mitliest. Er war nie darauf ausgelegt, was Microsoft am 31. Juli 2026 bestätigte: Eine russisch verlinkte Gruppe hatte die eigentliche Anmelde-Infrastruktur in Hotels und Konferenzzentren übernommen und nutzte diese Position, um Gäste direkt auf eine gefälschte Microsoft-Seite umzuleiten, bevor sie überhaupt ihr Postfach erreichten.

Microsoft nennt die Kampagne CaptiveCrunch und schreibt sie Storm-2945 zu, einer Untergruppe von Midnight Blizzard, dem russisch-staatsnahen Akteur, der besser als APT29 oder Cozy Bear bekannt ist. Das geschäftliche Risiko ist nicht abstrakt. Jeder Mitarbeiter, der in diesem Quartal aus einem Hotelzimmer, einer Flughafen-Lounge oder einem Konferenzzentrum E-Mails abruft, ist ein potenzieller Einstiegspunkt in Ihren Microsoft-365-Mandanten, und ein VPN allein schließt diese Lücke nicht.

Was tatsächlich passiert ist

Hotel- und Konferenz-WLAN läuft fast immer über ein "Captive Portal", die Seite, die nach der Zimmernummer fragt oder zum Klick auf "Ich stimme zu" zwingt, bevor das Internet funktioniert. Laut Microsoft übernahmen die Angreifer hinter CaptiveCrunch genau diese Portal-Infrastruktur selbst, nicht einzelne Geräte der Gäste, an Standorten, die seit mindestens Mai 2026 weltweit von Geschäftsreisenden genutzt werden. Von dieser Position aus konnten sie jedem Gast beliebige Inhalte anzeigen, bevor die eigentliche Verbindung überhaupt zustande kam.

Zwei Dinge geschahen danach, und beide unterlaufen den Rat, den die meisten Unternehmen ihren Mitarbeitern bereits gegeben haben. Manche Gäste wurden auf eine Seite umgeleitet, die exakt wie der echte Microsoft-Anmeldebildschirm aussieht, und tippten ihr Passwort direkt dort ein. Andere sahen einen gefälschten Browser- oder Windows-Update-Hinweis, eine Technik, die Sicherheitsforscher ClickFix nennen, und ein Klick darauf installierte eine Schadsoftware, die Microsoft CornFlake getauft hat. CornFlake protokolliert Tastatureingaben, macht Screenshots, kann die Webcam aktivieren und zieht vor allem das aktive Microsoft-365-Sitzungstoken direkt aus dem Browser.

Warum "wir nutzen doch VPN" hier nicht ausreicht

Ein VPN schützt Daten, sobald das Gerät bereits eine funktionierende Internetverbindung hat. Der Captive-Portal-Schritt passiert davor, in dem Moment, in dem sich der Laptop überhaupt erst mit dem Hotelnetz verbindet und sich anmelden muss, um online zu gehen. Ist das Portal selbst kompromittiert, kommt das VPN nie zum Einsatz, weil die gefälschte Login-Seite oder der gefälschte Update-Hinweis genau in dem Schritt erscheint, an dem das VPN gar nicht beteiligt war.

Der Diebstahl des Sitzungstokens wiegt sogar schwerer als der Passwortdiebstahl. Ein Passwort lässt sich zurücksetzen, sobald ein Verdacht besteht. Ein gestohlenes Sitzungstoken ist bereits der Beweis einer erfolgten, durch Multi-Faktor-Authentifizierung bestätigten Anmeldung, sodass der Angreifer oft ohne Passwort oder Code auf Postfach oder SharePoint-Dateien zugreifen kann, solange das Token gültig bleibt. Microsofts eigenes Token-Theft-Playbook beschreibt genau diesen Mechanismus, und deshalb ist "wir haben MFA aktiviert" hier nicht dieselbe Antwort wie gegen einen gewöhnlichen Passwort-Rateversuch.

Die Größenordnung richtig einordnen

Es lohnt sich, das klar zu sagen: Diese Angriffsart ist im Vergleich zu den gewöhnlichen Bedrohungen, die die meisten Vorfallberichte tatsächlich füllen, immer noch selten. Microsofts eigener Digital Defense Report 2025 stellte fest, dass Token-Diebstahl, Adversary-in-the-Middle-Phishing und andere technisch aufwendige Identitätsangriffe zusammen unter 3 % aller Versuche zur Kontokompromittierung ausmachten, während über 97 % weiterhin einfaches Passwort-Raten oder Brute-Force waren.

CaptiveCrunch lohnt sich trotzdem als Anlass zum Handeln, wegen des Ziels, nicht wegen der Häufigkeit. Staatlich verlinkte Gruppen betreiben eine solche Operation gegen Reisende, bei denen sich der Aufwand lohnt, was in der Praxis Vertrieb, Einkauf, Geschäftsführung und Partnerschaftsrollen bedeutet, deren Postfach und Kalender echten geschäftlichen Wert tragen. Ein 15-köpfiges Unternehmen mit Mitarbeitenden auf Kundenbesuchen oder Konferenzen fällt genau in dieses Zielprofil, unabhängig davon, ob der Inhaber das eigene Unternehmen als Ziel für einen staatlichen Akteur betrachtet.

Was tatsächlich schützt, nach Aufwand geordnet

Keine dieser Maßnahmen erfordert, die bestehende Infrastruktur zu ersetzen. Die meisten kleinen Unternehmen besitzen bereits die Lizenzierung, die bedingten Zugriff und Continuous Access Evaluation einschließt; was üblicherweise fehlt, ist jemand, der die Einstellungen tatsächlich aktiviert hat. Genau diese Lücke schließt eine Überprüfung im Bereich Cloud-Sicherheit.

Die Entscheidung, die die meisten Unternehmen noch nicht getroffen haben

Fragen Sie ein Unternehmen mit 10 bis 30 Mitarbeitenden nach seiner Richtlinie für die Verbindung mit Hotel- oder Konferenz-WLAN, und die ehrliche Antwort ist in den meisten Fällen: Es gibt keine. Niemand hat sich bewusst dagegen entschieden, es kam schlicht nie zur Sprache, bis eine Schlagzeile wie diese die Frage erzwingt. Genau das ist die eigentliche Lücke, die CaptiveCrunch offenlegt: nicht fehlende Software, sondern eine Entscheidung, die noch niemand getroffen hat.

Die Entscheidung muss nicht kompliziert sein. Eine kurze schriftliche Regel, mobiler Hotspot vor Hotel- oder Veranstaltungs-WLAN für alle Geschäftsreisenden, phishing-resistente MFA verpflichtend für jedes Konto mit Zugriff auf Finanzsysteme oder Kundendaten, und die feste Anweisung, niemals einen unerwarteten Update-Hinweis in irgendeinem Netzwerk zu akzeptieren, deckt den größten Teil des Risikos ab, das diese Kampagne schafft. Es aufzuschreiben und den Mitarbeitenden einmal vor der nächsten Reise mitzuteilen, ist der größte Teil der Arbeit.

Wenn schon jemand gereist und verbunden war, bevor dies gelesen wurde

Es gibt einen praktischen Unterschied zwischen einem Gerät, das nur ein Hotelnetz betreten hat, und einem, das tatsächlich auf ein kompromittiertes Captive Portal traf, und die meisten Mitarbeitenden wissen nicht, welcher Fall bei ihnen zutrifft. Statt zu raten, lohnt sich bei jeder kürzlichen Geschäftsreise eine Fünf-Minuten-Prüfung, kein vollständiges Incident-Response-Verfahren.

Beginnen Sie mit dem Anmeldeprotokoll dieser Person, für Administratoren unter der Microsoft-365-Anmeldeaktivität oder in Entra ID einsehbar, und suchen Sie nach einem Standort oder Gerät, das nicht zur Reise passt, einer Anmeldung aus einem Land, das niemand besucht hat, oder einem unbekannten Gerätenamen. Widerrufen Sie als Nächstes die aktiven Sitzungen dieses Nutzers im Admin Center; das zwingt jede offene Sitzung, einschließlich eines gestohlenen Tokens, zur erneuten Authentifizierung, und ein tatsächlich gestohlenes Token funktioniert in genau diesem Moment nicht mehr. Lassen Sie die Person schließlich das Passwort ändern, selbst wenn im Protokoll nichts auffällig aussieht, denn ein erbeutetes Passwort ohne erkennbare weitere Nutzung ist trotzdem ungültig zu machen.

Nichts davon erfordert Spezialwerkzeuge, und es dauert weniger Zeit, als die Reise selbst zu buchen. Unternehmen, die durch Kampagnen wie diese wirklich Schaden nehmen, sind selten die, die nachsehen und nichts finden. Es sind die, bei denen niemand daran dachte nachzusehen, bis ein Kunde anrief und fragte, warum eine unbekannte Rechnung von einer scheinbar echten E-Mail-Adresse kam.

Diese Prüfung lohnt sich auch dann, wenn der letzte Reisende sich völlig sicher ist, nichts angeklickt zu haben. Die gefälschten Update-Hinweise waren nach Angaben von Microsoft bewusst unauffällig gestaltet, näher an einer echten Windows-Meldung als an einer offensichtlichen Fälschung, und ein Mitarbeiter, der unter Zeitdruck kurz vor einem Kundentermin online gehen wollte, ist genau die Situation, in der eine solche Meldung am ehesten ohne zweiten Blick weggeklickt wird.

Kurz beantwortet

Bedeutet das, Hotel-WLAN ist grundsätzlich unsicher?

Nein. Die meisten Hotelnetze sind nicht kompromittiert, und CaptiveCrunch zielt auf bestimmte Standorte, in die die Angreifer gezielt investiert haben. Die sinnvolle Reaktion ist nicht, Hotel-WLAN grundsätzlich zu meiden, sondern keinem Captive Portal zu vertrauen, wenn es angeblich ein echtes Microsoft- oder Windows-Update anbietet, und für sensible Vorgänge einen mobilen Hotspot vorzuziehen, wenn einer verfügbar ist.

Sind wir trotz aktivierter MFA noch angreifbar?

Teilweise. Gewöhnliche MFA, ein Code aus einer App oder per SMS, stoppt die meisten Passwort-Rateangriffe, verhindert aber keinen Diebstahl von Sitzungstoken, da das Token erst nach einer bereits erfolgreichen, legitimen Anmeldung kopiert wird. Phishing-resistente MFA (physischer Schlüssel oder Geräte-Passkey) schließt genau diese Lücke; App-Code-MFA allein tut das nicht.

Vor der nächsten Dienstreise

• Prüfen, ob bedingter Zugriff und Continuous Access Evaluation im Mandanten tatsächlich aktiviert sind, nicht nur lizenziert.
• Alle Personen mit Zugriff auf Finanz- oder Kundendaten auf einen physischen Sicherheitsschlüssel oder Passkey statt code-basierter MFA-App umstellen.
• Mobile Hotspots ausgeben oder prüfen, ob die Datentarife dafür ausreichen, für alle, die dieses Quartal auf Konferenzen oder Kundenbesuche reisen.
• Mitarbeitende einmal schriftlich anweisen, niemals ein Update zu installieren, das eine WLAN-Login-Seite vorschlägt, in keinem Netzwerk, niemals.
• Den Managed-IT-Anbieter bitten, die aktuellen Token-Laufzeiten und Richtlinien für bedingten Zugriff vorzuzeigen, statt sie als konfiguriert vorauszusetzen.