Diese Angriffswelle liest wochenlang Gehalts-E-Mails mit, trotz Multi-Faktor-Authentifizierung

Arctic Wolf Labs hat eine einzelne Phishing-Kampagne in diesem Quartal bis in Hunderte kompromittierte Unternehmen in den USA, Kanada und Europa zurückverfolgt. Die Betroffenen waren nicht unvorsichtig. Die meisten hatten Multi-Faktor-Authentifizierung aktiviert, die Einstellung, die jede Sicherheits-Checkliste einem kleinen Unternehmen zuerst empfiehlt. Sie hat den Angriff nicht gestoppt, weil er gar nicht darauf ausgelegt war, ein Passwort zu erraten. Er war darauf ausgelegt, sich mitten in einen echten Login zu setzen und alles mitzuschneiden, was dabei übertragen wird, einschließlich des Einmalcodes.

Die Kampagne, dokumentiert von Arctic Wolf Labs und am 10. August 2026 gemeldet, greift nicht direkt das Bankkonto an. Sie zielt auf das Postfach der Person im Unternehmen, die die Gehaltsabrechnung führt, Rechnungen freigibt oder Überweisungen ausführt, und liest dieses Postfach dann so lange wie möglich unbemerkt mit. Das ist eine andere, langsamere Art von Diebstahl, als die meisten Inhaber bei "Phishing" vor Augen haben, und genau deshalb würden viele Unternehmen mit Microsoft 365 gar nicht bemerken, dass es passiert.

Wie ein selbst eingegebener Code trotzdem gestohlen wird

Die Technik heißt Adversary-in-the-Middle, kurz AitM. Statt eine gefälschte Microsoft-Anmeldeseite zu bauen und zu hoffen, dass jemand dort sein Passwort eintippt, agiert die Seite des Angreifers als Echtzeit-Proxy: Sie sitzt zwischen der Nutzerin und dem echten Microsoft-Anmeldesystem und leitet Benutzername, Passwort und MFA-Code direkt durch. Aus Sicht der Nutzerin sieht der Login völlig normal aus, weil er es tatsächlich ist, bis der Proxy das Sitzungstoken abgreift, das Microsoft nach erfolgreicher Anmeldung ausstellt. Genau dieses Token hält die Sitzung angemeldet. Wer es besitzt, braucht das Passwort kein zweites Mal.

Die Zustellung ist so gebaut, dass sie die Filter übersteht, auf die sich die meisten kleinen Unternehmen verlassen. Arctic Wolf fand als Ausgangspunkt eine gewöhnliche Voicemail-Benachrichtigung per E-Mail, deren Klick über Google-Meet-Links, Google-Ads-Weiterleitungen und auf Amazon S3 gehostete Seiten geführt wird, bevor die eigentliche Fälschung erscheint. Jeder dieser Dienste genießt für sich genommen das Vertrauen von Spamfiltern, sodass die Kette deren Reputation nutzt, statt Alarm auszulösen. Nebenbei erfasst JavaScript auf der Fälschungsseite unbemerkt Browser, Betriebssystem, Bildschirmgröße, Zeitzone und Grafikhardware der Besucherin, Informationen, die der Angreifer später nutzt, damit weitere Anmeldungen wie vom selben Gerät aussehen.

Warum ausgerechnet Gehaltsabrechnung und Finanzen

Ist der Angreifer erst im Postfach, verhält er sich nicht wie die schnellen Spam-Versender aus den meisten Schulungsvideos. Die Analyse von Arctic Wolf zeigt, dass die Angreifer die Microsoft Graph API nutzen, dieselbe Schnittstelle, über die auch Microsofts eigene Apps laufen, um systematisch herauszufinden, welche Mitarbeitenden Rollen in Gehaltsabrechnung, Personalwesen, Finanzen oder Verwaltung innehaben. Von dort aus durchsuchen und lesen sie Nachrichten zu Zahlungen, Rechnungen und Bankdaten, statt Spam vom kompromittierten Konto zu verschicken. Das ähnelt eher Wirtschaftsspionage als klassischem E-Mail-Betrug und passt zu einem Muster, das Sicherheitsteams Business Email Compromise nennen: Der Gewinn ist nicht das Postfach selbst, sondern der Finanzprozess, der darüber läuft.

Diese Geduld zeigt sich auch daran, wie die Anmeldungen gesteuert werden. Bösartige Logins wiederholen sich etwa alle acht Stunden von wechselnden IP-Adressen, verwenden dabei aber jedes Mal dieselbe Sitzungskennung, ein Detail, das nur ergibt, wenn der Zugriff zentral automatisiert ist statt von einer Person manuell wiederholt zu werden. Der Acht-Stunden-Takt passt außerdem genau zur typischen Gültigkeitsdauer eines Microsoft-365-Sitzungstokens, bevor es erneuert werden muss.

Warum die üblichen Warnzeichen ausbleiben

Sicherheitswerkzeuge sind größtenteils darauf ausgelegt, die Fehler zu erkennen, die Angreifer früher gemacht haben: eine neu registrierte MFA-Methode, eine verdächtige Postfachregel, die Mail an eine externe Adresse weiterleitet, ein Login aus einem Land, mit dem das Unternehmen nie zu tun hatte. Arctic Wolf stellt fest, dass diese Kampagne alle drei bewusst vermeidet. Keine MFA-Änderungen, keine Postfachregeln, und residente Proxy-Dienste, die jede bösartige Anmeldung wie eine gewöhnliche private Internetverbindung an einem plausiblen Ort aussehen lassen, nicht wie ein Rechenzentrum im Ausland. Das Ergebnis ist eine Kompromittierung, die wochenlang unentdeckt bleiben kann, lange genug, um die echten Rechnungsbeträge, Lieferantennamen und Freigabegewohnheiten eines Unternehmens kennenzulernen, bevor überhaupt eine Zahlung umgeleitet wird.

An dieser Stelle hört "wir haben doch MFA" auf, eine beruhigende Antwort zu sein. Standard-MFA, ein SMS-Code, eine Push-Benachrichtigung der Authenticator-App oder eine sechsstellige Zahl, bestätigt, dass die anmeldende Person in diesem Moment das eigene Telefon in der Hand hat. Sie sagt nichts darüber aus, ob die Seite, in die der Code eingegeben wurde, tatsächlich Microsoft gehörte oder ein davor sitzender Proxy war. Gegen eine Echtzeit-Weiterleitung erfüllt der Code seine Aufgabe und wird in derselben Sekunde gestohlen.

Was gegen einen AitM-Angriff tatsächlich hilft

Die Lösung ist nicht mehr MFA, sondern eine andere Art von MFA. Phishing-resistente Methoden wie Windows Hello for Business, FIDO2-Sicherheitsschlüssel oder zertifikatsbasierte Authentifizierung binden die Anmeldung kryptografisch an die echte Microsoft-Domäne. Eine Proxy-Seite kann diesen Austausch nicht weiterleiten, weil der Browser selbst sich weigert, ihn gegenüber der falschen Seite abzuschließen. Für ein Unternehmen mit 10 bis 50 Mitarbeitenden schließt die Einführung für die Handvoll Personen, die mit Gehaltsabrechnung, Rechnungsstellung und Bankgeschäften zu tun haben, statt für die gesamte Belegschaft auf einmal, das eigentliche finanzielle Risiko innerhalb einer Woche weitgehend.

Darunter sorgen Conditional-Access-Richtlinien, die für Personen in Finanz- oder Personalrollen ein bekanntes, konformes Gerät verlangen, dafür, dass ein gestohlenes Sitzungstoken auf dem Laptop des Angreifers unbrauchbar bleibt, selbst wenn der Anmeldeaustausch gelingt. Anmelde- und Risikowarnungen, abgestimmt auf genau das Muster dieser Kampagne, wiederholte Anmeldungen von neuen Orten mit unveränderter Sitzungskennung, fangen ab, was MFA allein nicht kann. Nichts davon ist exotisch. Es ist dieselbe Grundlage im Bereich Cloud-Sicherheit, die die meisten credential-basierten Angriffe stoppt, hier gezielt angewendet auf die Personen, deren Postfächer am meisten wert sind.

Eine kurze Checkliste für alle, die mit Geld zu tun haben

Es ist nicht nötig, jedes Konto im Unternehmen umzustellen, um den größten Teil dieses Risikos zu schließen. Beginnen Sie mit der kleinen Gruppe, die Zahlungen freigeben, Bankdaten ändern oder Gehälter auszahlen kann, und arbeiten Sie diese fünf Punkte gezielt für diese Gruppe durch:

Erstens: weg von SMS- und Push-MFA, hin zu einer phishing-resistenten Methode. Ein FIDO2-Sicherheitsschlüssel kostet unter dreißig Euro und ist in wenigen Minuten eingerichtet. Zweitens: ein bekanntes, unternehmensverwaltetes Gerät für jeden Zugriff auf Finanzsysteme verlangen, damit ein gestohlenes Sitzungstoken nirgends andocken kann, selbst wenn ein Anmeldeaustausch kurz gelingt. Drittens: Anmelde-Risikowarnungen aktivieren und tatsächlich an eine Person weiterleiten, die sie am selben Tag prüft, nicht an einen Ordner, den niemand öffnet. Viertens: eine mündliche oder anderweitige Bestätigung außerhalb der E-Mail für jede Änderung von Bankdaten oder eine ungewöhnlich terminierte Zahlungsanfrage vereinbaren, unabhängig davon, wie echt die E-Mail wirkt, denn ein kompromittiertes Postfach erzeugt E-Mails, die jede optische Prüfung bestehen. Fünftens: ein Datum dafür festhalten, wann zuletzt geprüft wurde, wer überhaupt in dieser Gruppe mit Zahlungsfreigabe steht, denn genau überlebter Zugriff, der eine Rolle überdauert hat, ist das, wonach diese geduldige, monatelange Aufklärung sucht.

Keiner dieser fünf Schritte erfordert, Microsoft 365 zu ersetzen oder ein separates Sicherheitsprodukt zu kaufen. Es sind Konfigurationsänderungen innerhalb des Mandanten, den Sie bereits bezahlen, und genau deshalb werden sie so oft übersprungen: Nichts zwingt ein Unternehmen dazu, und die Standardeinstellungen sind auf einfache Einrichtung ausgelegt, nicht auf eine gezielte Kampagne, die wochenlang ein Finanzpostfach mitliest.

Warum ein 20-Personen-Betrieb überhaupt ins Visier gerät

Der naheliegende Einwand lautet, so etwas passiere nur großen Konzernen. Genau das Gegenteil macht kleine Betriebe hier attraktiv: Ein 20-Personen-Unternehmen hat selten eine eigene Sicherheitsabteilung, die Anmeldeprotokolle täglich durchsieht, und die Person, die Rechnungen freigibt, macht das oft nebenbei zu ihren übrigen Aufgaben. Genau diese Kombination, ein echter Zahlungsprozess ohne ständige Überwachung, ist der Grund, warum die Kampagne branchenübergreifend in Gesundheitswesen, Bildung, Fertigung, Verwaltung und Dienstleistung auftaucht, statt sich auf einen einzigen Sektor zu konzentrieren.

Wenn jemand in der Finanzabteilung bereits geklickt hat

Warten Sie nicht, bis eine Überweisung fehlt, bevor Sie das ernst nehmen. Prüfen Sie das Anmeldeprotokoll dieses Kontos auf Logins aus ungewohnten Orten der letzten 30 Tage, widerrufen Sie alle aktiven Sitzungen und Refresh-Token, damit ein gestohlenes Sitzungstoken sofort unbrauchbar wird, und setzen Sie das Passwort zurück, auch wenn der Angreifer es vermutlich bereits kennt, denn ein neues Zugangsdaten-Paar entwertet alles, was für die spätere Wiederverwendung zwischengespeichert wurde. Achten Sie danach gezielt auf Suchaktivität im Postfach rund um Rechnungen, Bankdaten oder Lieferantenzahlungen, nicht nur auf neue Postfachregeln, denn diese Kampagne ist genau darauf ausgelegt, die regelbasierten Hinweise zu umgehen, die die meisten Checklisten zuerst prüfen.

Kurz beantwortet

Bedeutet das, MFA lohnt sich nicht mehr?

Nein. MFA stoppt weiterhin die überwältigende Mehrheit automatisierter Passwort-Rate- und Credential-Stuffing-Angriffe. Sie reicht nur für die kleine Zahl von Konten, die mit Geld zu tun haben, allein nicht mehr aus, dafür braucht es die oben beschriebenen phishing-resistenten Methoden.

Woran würden wir merken, dass uns das schon passiert ist?

Achten Sie auf Anmeldungen bei Finanz- oder HR-Konten aus IP-Adressen oder Ländern, in denen das Unternehmen keinen Grund hat aktiv zu sein, wiederkehrend in festem Abstand, ohne dazu passende Änderung an MFA-Methoden oder Postfachregeln. Genau dieses Fehlen der üblichen Warnzeichen ist selbst das Signal.

Betrifft das nur Microsoft 365 oder auch Google Workspace?

Die Technik funktioniert gegen den Standard-Anmeldeablauf jedes Cloud-E-Mail-Anbieters. Diese konkrete Kampagne ist dokumentiert für Microsoft-365-Mandanten, dort führen auch die meisten kleinen Unternehmen, mit denen wir arbeiten, ihre Gehaltsabrechnungs- und Rechnungskorrespondenz.