Der Microsoft Authenticator allein reicht nicht mehr

Warum der Microsoft Authenticator Phishing nicht aufhält

Einer unserer Kunden bekam eine Rechnung per E-Mail, von einem Geschäftspartner, mit dem er regelmäßig zu tun hat. Im PDF stand kein Betrag, sondern ein Hinweis, die Rechnung liege in OneDrive zum Download bereit, dazu ein Link. Er klickte, ein Microsoft-Anmeldefenster erschien, er gab sein Kennwort ein und bestätigte den Code aus dem Microsoft Authenticator.

Die Anmeldung funktionierte nicht. Er versuchte es noch einmal, hin und her, dann kam ihm die Sache komisch vor und er brach ab.

Zwei Tage später, in der Nacht zum Wochenende, verschickte sein Konto genau solche Mails an seine eigenen Kunden und Partner. Am Montag riefen die ersten an.

Er hat den Betrug bemerkt und abgebrochen. Das hat nicht gereicht, weil der Schaden zu diesem Zeitpunkt längst entstanden war. Die zweite Sicherheitsstufe hat dabei einwandfrei funktioniert — nur eben für die falsche Seite. Dieser Beitrag erklärt, wie Angreifer eine Anmeldung mit Authenticator übernehmen, welche Anmeldearten die App überhaupt anbietet und welche davon ein gefälschtes Anmeldefenster wertlos macht.

Was bei unserem Kunden wirklich passiert ist

Wir wurden am Montag alarmiert und haben den Fall untersucht. Der Ablauf war unspektakulär und deshalb so wirksam.

Die Seite hinter dem Link im PDF war eine Kopie der echten Microsoft-Anmeldung. Sie hat alles, was der Mitarbeiter eingegeben hat, in dem Moment an die echte Microsoft-Anmeldung weitergereicht: erst das Kennwort, dann den Code aus dem Authenticator. Für Microsoft sah das aus wie eine normale, erfolgreiche Anmeldung — nur saß auf der anderen Seite jemand anders.

Dass die Anmeldung für den Mitarbeiter nicht klappte, war kein Zufall. Aus seiner Sicht hakte es einfach, und er hörte auf. Die Angreifer waren zu diesem Zeitpunkt bereits drin.

Der eigentliche Einbruch kam danach: Sie haben im Konto ein weiteres Gerät als Authenticator registriert. Damit brauchten sie den Mitarbeiter nicht mehr. Zwei Tage später konnten sie sich in Ruhe selbst anmelden, mit einem zweiten Faktor, der ihnen gehörte, aus dem Konto heraus Phishing-Mails an das Adressbuch schicken und dabei wie der Absender aussehen, dem alle vertrauen.

Wir haben das Konto bereinigt, die fremde Anmeldemethode entfernt, die aktiven Sitzungen zurückgezogen und den Postfachverkehr geprüft. Der technische Schaden blieb gering. Der Anruf bei jedem Kunden und Partner, der eine Phishing-Mail aus diesem Postfach bekommen hat, ist eine andere Sache. Vertrauen lässt sich nicht per Skript zurücksetzen.

Das Muster sehen wir regelmäßig, und es trifft aufmerksame Leute genauso wie unaufmerksame. Wer eine Rechnung erwartet, prüft den Absender anders als jemand, der aus dem Nichts eine Zahlungsaufforderung bekommt.

Wie verbreitet das ist, zeigen die Zahlen derjenigen, die solche Fälle beruflich aufräumen. Cisco Talos führt Authentifizierungsmissbrauch im zweiten Quartal 2026 als häufigste Schwachstelle überhaupt — beobachtet in 65 Prozent aller untersuchten Vorfälle, nach 35 Prozent im Quartal davor, und nennt die Registrierung angreifereigener Geräte ausdrücklich als eine der eingesetzten Methoden. Microsoft beschreibt denselben Ablauf und erklärt auch, warum der letzte Schritt so leicht fällt: Eine zusätzliche Anmeldemethode hinzuzufügen verlangt standardmäßig keine erneute Bestätigung.

Der Trick ist eine Weiterleitung in Echtzeit

Stellen Sie sich jemanden vor, der sich zwischen Sie und den Schalter stellt. Sie reichen Ihren Ausweis, er gibt ihn weiter. Sie nennen die Nummer, die Ihnen gerade zugeschickt wurde, er nennt sie weiter. Am Ende bekommt er den Stempel, Sie bekommen die Auskunft, dass es leider nicht geklappt hat.

Genau das macht eine solche Phishing-Seite. Sie ist keine Attrappe, die Daten sammelt und später verwendet. Sie ist ein Bote, der in dem Moment weiterreicht, in dem Sie tippen. Deshalb spielt es keine Rolle, dass ein Code nur dreißig Sekunden gültig ist — der Angreifer löst ihn in Sekunde eins ein.

Daraus folgt der Satz, auf den es in diesem Beitrag ankommt: Ein bestätigter Code beweist, dass Sie gerade einen Code erzeugt haben. Er beweist nicht, wem Sie ihn gegeben haben.

Das gilt für jeden Faktor, den ein Mensch weitergeben kann: für die SMS, für den Sprachanruf, für den sechsstelligen Code aus der App und auch für die Push-Bestätigung mit Zahleneingabe.

Die vier Anmeldearten im Microsoft Authenticator

Die App ist nicht eine Methode, sondern vier — mit deutlich unterschiedlicher Wirkung.

Anmeldeart	So fühlt es sich an	Gegen eine gefälschte Anmeldeseite
Push mit Nummernabgleich	Zweistellige Zahl vom Bildschirm in der App eintippen	hilft nicht
Kennwortlose Telefonanmeldung	Kein Kennwort, nur die richtige Zahl in der App auswählen	hilft nicht
Sechsstelliger Code	Code aus der App abtippen	hilft nicht
Passkey in der App	Fingerabdruck oder Gesicht, nichts abtippen	hält

Der Nummernabgleich ist trotzdem kein Fehler. Er ist seit 2023 Standard und hat eine Angriffsform praktisch beendet, die vorher gut funktionierte: das Fluten mit Anfragen, bis jemand entnervt auf „Genehmigen” tippt. Wer eine Zahl eintippen muss, die er nur auf dem eigenen Bildschirm sehen kann, bestätigt nichts aus Versehen. Gegen einen Boten, der die Zahl mitliest, hilft das nur nicht.

Zwei Anzeigen in der App sind für Sie im Alltag nützlich, wenn Ihre IT sie aktiviert hat: der Name der Anwendung und der ungefähre Ort der Anmeldung. Steht dort eine Stadt, in der Sie nicht sind, lehnen Sie ab und melden es. Verlassen Sie sich aber nicht darauf — bei einer Weiterleitung in Echtzeit steht dort oft genau das, was Sie erwarten.

Was ein Passkey anders macht

Ein Passkey ist ein Schlüssel, der in Ihrem Telefon oder auf einem kleinen USB-Stick erzeugt wird und dieses Gerät nie verlässt. Beim Anmelden wird kein Geheimnis übertragen, das jemand abfangen könnte. Stattdessen prüft der Schlüssel, mit welcher Adresse er gerade spricht.

Und hier bricht der Angriff zusammen. Die gefälschte Seite hat zwangsläufig eine andere Adresse als die echte Microsoft-Anmeldung. Der Schlüssel erkennt das und antwortet schlicht nicht. Es gibt nichts zu tippen, nichts weiterzugeben und nichts falsch zu machen. Der Mitarbeiter aus unserem Fall wäre an dieser Stelle einfach nicht weitergekommen — und hätte damit alles richtig gemacht, ohne es zu merken.

Für die meisten Mitarbeiter ist der Passkey in der Authenticator-App der praktikabelste Weg. Er kostet nichts, die App ist ohnehin installiert, und die Anmeldung wird schneller statt langsamer: Fingerabdruck statt Kennwort plus Zahl.

Ich selbst nutze inzwischen zusätzlich einen YubiKey, also einen Sicherheitsschlüssel zum Anstecken. Für Konten mit weitreichenden Rechten halte ich das für richtig, weil der Schlüssel unabhängig vom Telefon funktioniert. Für die Breite der Belegschaft empfehlen wir das nicht pauschal, und dafür gibt es nüchterne Gründe: Ein Schlüssel kostet Geld, Sie brauchen immer zwei davon, und der verlorene Schlüssel landet als Ticket beim Support. Der Ferrari ist nicht falsch, aber die Frage ist, wer ihn wirklich fahren muss.

Was Microsoft ab September 2026 ändert

Der Zeitpunkt für diesen Schritt ist ohnehin gerade günstig, weil Microsoft die Richtung vorgibt.

Ab dem 1. September 2026 werden Passkeys zur Standard-Anmeldemethode in Entra ID. Nutzer, die noch für SMS oder Sprachanruf freigeschaltet sind, werden automatisch für Passkeys aktiviert und bei der nächsten Anmeldung aufgefordert, einen einzurichten. Diese Aufforderung lässt sich zunächst wegklicken.

Zum 1. Februar 2027 schaltet Microsoft die eigene Zustellung von SMS und Sprachanrufen ab. Wer danach keine andere Methode hinterlegt hat, muss bei der Anmeldung zwingend einen Passkey registrieren, bevor es weitergeht. Die Details stehen in der Ankündigung auf Microsoft Learn.

Für Sie heißt das: Der Wechsel kommt so oder so. Die Frage ist nur, ob Sie ihn in Ruhe vorbereiten oder ob er Ihre Mitarbeiter an einem Dienstagmorgen überrascht. Wie unangenehm das werden kann, wenn eine Umstellung ohne Vorbereitung durchschlägt, haben wir in den 5 Fehlern bei der Microsoft 365 Einführung beschrieben.

Was Sie diese Woche tun können

Fünf Schritte, für die Sie niemanden brauchen:

Öffnen Sie Ihre Sicherheitsinformationen unter aka.ms/MySecurityInfo und sehen Sie nach, welche Anmeldemethoden dort registriert sind
Steht dort ein Gerät, das Sie nicht kennen, entfernen Sie es und informieren Sie Ihre IT
Richten Sie in der Authenticator-App einen Passkey ein, das dauert etwa zwei Minuten
Nehmen Sie SMS und Sprachanruf als Methode heraus, sobald ein Passkey funktioniert
Melden Sie sich grundsätzlich nicht über Links aus PDF-Anhängen an, sondern tippen Sie die Adresse selbst ein

Der zweite Punkt ist der wichtigste und der am seltensten geprüfte. In unserem Fall war die fremde Anmeldemethode zwei Tage lang sichtbar, bevor sie benutzt wurde. Niemand hat hingesehen, weil niemand einen Grund dazu hatte.

Für die IT-Seite kommt eine Aufgabe dazu, die sich nicht am Einzelplatz erledigen lässt: eine Übersicht, welche Anmeldemethoden im Tenant überhaupt erlaubt sind, und die Entscheidung, für welche Konten phishing-resistente Verfahren verpflichtend werden. Administratoren und Geschäftsführung gehören zuerst dazu. Wenn Sie diese Übersicht nicht selbst führen wollen, gehört sie in den laufenden IT-Betrieb.

Häufig gestellte Fragen

Reicht es, nach einem Phishing-Versuch das Kennwort zu ändern?

Nein. Wenn Angreifer bereits angemeldet waren, laufen ihre Sitzungen weiter und eine von ihnen hinterlegte Anmeldemethode bleibt bestehen. Sitzungen zurückziehen, registrierte Methoden prüfen, dann das Kennwort ändern.

Ist ein Passkey in der App so sicher wie ein Hardware-Schlüssel?

Für den hier beschriebenen Angriff ja, denn beide prüfen die Adresse der Gegenstelle. Der Hardware-Schlüssel ist unabhängig vom Telefon und vom Zustand des Betriebssystems, was ihn für Konten mit weitreichenden Rechten zur besseren Wahl macht.

Müssen wir jetzt für jeden Mitarbeiter einen Sicherheitsschlüssel kaufen?

Nein. Der Passkey in der Authenticator-App kostet nichts und deckt den Großteil der Belegschaft ab. Hardware-Schlüssel lohnen sich für Administratoren, Geschäftsführung und für Arbeitsplätze ohne Diensthandy.

Fazit: Ein Faktor, den man nicht weitergeben kann

Der Microsoft Authenticator hat unserem Kunden viel erspart, was ohne ihn passiert wäre. Er konnte nur das eine nicht verhindern, worauf es an diesem Tag ankam: dass ein Mensch ein Geheimnis an die falsche Stelle gibt. Ein Passkey kann das, weil es kein Geheimnis mehr gibt, das sich weitergeben lässt.

Sprechen Sie uns an, wenn Sie einmal von außen sehen lassen wollen, welche Anmeldemethoden in Ihrem Microsoft-365-Tenant tatsächlich aktiv sind und wo Sie mit dem Umstieg anfangen sollten. Ein erster Blick darauf ist eine Sache von Stunden, nicht von Wochen: Kontakt.