Echte Microsoft-Seite, echte Anmeldung – und trotzdem ist das Konto weg

Stand: 16. September 2026

Die meisten Phishing-Warnungen laufen auf denselben Rat hinaus: Schau genau hin, wo du dich anmeldest. Bei der Masche, die das kanadische Sicherheitsunternehmen eSentire am 15. September 2026 beschrieben hat, hilft das nichts. Das Opfer landet auf der echten Microsoft-Seite, meldet sich dort ganz normal an, bestätigt sogar die Zwei-Faktor-Abfrage – und öffnet damit den Angreifern das eigene Arbeitskonto. Das Problem ist nicht die Seite, sondern ein Code, den jemand anderer mitgebracht hat.

Ein Code, der eigentlich für den Fernseher gedacht ist

Um den Trick zu verstehen, hilft ein Blick ins Wohnzimmer. Wer sich auf einem Smart-TV bei einem Dienst anmeldet, will dort ungern mit der Fernbedienung ein Passwort eintippen. Deshalb zeigt der Fernseher einen kurzen Code an, man öffnet am Handy eine Anmeldeseite, gibt den Code ein und bestätigt. Danach ist der Fernseher angemeldet. Microsoft bietet genau dieses Verfahren ebenfalls an, technisch heißt es „Device Code Flow“.

Das Verfahren ist praktisch und völlig legitim. Es hat nur eine Eigenheit: Wer den Code eingibt, gibt damit jenem Gerät Zugriff, das den Code angefordert hat. Und genau hier drehen die Angreifer den Spieß um. Sie spielen selbst den „Fernseher“, fordern bei Microsoft einen Code an und bringen das Opfer dazu, ihn einzugeben. Das Opfer glaubt, sich für ein Dokument zu verifizieren. Tatsächlich meldet es den Rechner der Täter bei seinem eigenen Konto an.

Es beginnt mit einer ganz gewöhnlichen Kundenanfrage

Der von eSentire dokumentierte Fall richtete sich an ein Unternehmen, genauer an dessen Vertrieb. Über ein Kontaktformular auf der Website kam eine unauffällige Anfrage, angeblich vom Einkauf der US-Großhandelskette BJ’s Wholesale Club. Die echte Firma hatte damit nichts zu tun – die Absenderadresse lief über eine ähnlich klingende Domain, die laut eSentire erst 15 Tage vor der Kontaktaufnahme registriert worden war. Das Vertriebsteam antwortete, wie man eben auf eine Anfrage antwortet.

Danach ging es Schritt für Schritt weiter. Die angeblichen Einkäufer kündigten an, zuerst müsse eine Vertraulichkeitsvereinbarung unterschrieben werden, ein sogenanntes NDA. Dann kam eine E-Mail mit einem WeTransfer-Link zu einer passwortgeschützten Datei, das Passwort gleich dabei. Das wirkt seriös, weil vertrauliche Unterlagen oft genau so verschickt werden. Der Passwortschutz hat aber einen anderen Zweck: Laut eSentire bleibt das eigentliche Ziel der Datei verschlüsselt, bis jemand das Passwort eingibt. Automatische Scanner im Mailsystem sehen also nicht, wohin die Reise geht.

Hinter dem Passwort beginnt der eigentliche Trick

Nach dem Öffnen erscheint ein angebliches Dokumentenportal namens „FlipBook“. Es folgt eine Sicherheitsabfrage von Cloudflare, wie man sie von vielen Websites kennt – und die in diesem Fall tatsächlich von Cloudflare ausgeliefert wird. Sie soll automatische Prüfprogramme aussortieren und wirkt auf Menschen gleichzeitig vertrauenerweckend. Die Phishing-Seite selbst lag laut eSentire auf einer Unterseite einer Website, die offenbar gekapert worden war.

Dann zeigt das Portal einen Code und einen Knopf zur „Authentifizierung“. Wer klickt, landet auf der echten Anmeldeseite von Microsoft. Dort gibt das Opfer den Code ein, meldet sich mit seinem Konto an und bestätigt die Zwei-Faktor-Abfrage. Im dokumentierten Fall zeigte Microsoft dabei sogar an, dass sich ein anderes Gerät in Großbritannien anmelden will – also im selben Land wie das Opfer. Laut eSentire war das kein Zufall: Die Angreifer leiteten ihren Datenverkehr über private Internetanschlüsse, die zum Standort des Opfers passten. Zum Schluss öffnet sich ein täuschend echtes NDA als PDF. Für das Opfer ist die Sache damit erledigt.

78 Sekunden

Was nach der Anmeldung geschah, hat eSentire in den Protokollen des betroffenen Kontos minutiös nachgezeichnet. Das Tempo zeigt, dass hier kein Mensch am anderen Ende saß und in Ruhe herumklickte. Die Abläufe waren automatisiert.

Die drei Geräte sind der eigentlich unangenehme Teil. Laut eSentire bleibt eine solche Geräteregistrierung im Firmenkonto bestehen, auch wenn die gestohlenen Zugangsschlüssel längst gesperrt sind – sie muss eigens entfernt werden. Wer nur das Passwort ändert und sich beruhigt zurücklehnt, hat die Tür womöglich nicht ganz zugemacht. Und mit drei Geräten statt einem reicht es nicht, eines davon zu finden.

Warum die bekannten Tipps hier ins Leere laufen

Gegen klassisches Phishing gibt es eine Handvoll bewährter Regeln. Adresse prüfen, Passwort nie auf fremden Seiten eingeben, Zwei-Faktor-Schutz aktivieren. Alle drei sind weiterhin richtig. Bei dieser Methode greift aber keine davon: Die Adresse gehört wirklich Microsoft, das Passwort landet nie bei den Tätern, und die Zwei-Faktor-Abfrage funktioniert einwandfrei. Sie bestätigt nur eben eine Anmeldung, die das Opfer gar nicht will. eSentire formuliert es deutlich: Die Zwei-Faktor-Bestätigung wird in den erbeuteten Zugang gleichsam mitgenommen.

Ganz ohne Warnsignal läuft die Sache trotzdem nicht ab. In der von eSentire gezeigten englischen Ansicht steht auf der Microsoft-Seite ausdrücklich sinngemäß, man solle keine Codes aus Quellen eingeben, denen man nicht vertraut. Und die Anmeldung spricht von einem anderen Gerät. Wer gerade kein eigenes Gerät vor sich hat, das diesen Code anzeigt, sollte hier stoppen. Ein Vertragsentwurf zum Lesen braucht keine Gerätefreigabe.

Neu ist die Verpackung, nicht die Methode

Dass Kriminelle den Geräte-Code missbrauchen, ist nicht neu. Microsoft selbst warnte im Februar 2025 vor einer Kampagne einer Gruppe, die Microsoft „Storm-2372“ nennt und die genau diese Methode einsetzte. Im Mai 2026 beschrieb eSentire, dass auch die Betreiber des Phishing-Baukastens „Tycoon 2FA“ darauf umgestiegen waren. Neu an GhostCode ist nach Einschätzung von eSentire die Kombination: die gezielte Kontaktaufnahme über Firmenformulare, der mehrfach verschleierte Dateianhang und das Anmelden gleich mehrerer Geräte.

Wer hinter GhostCode steckt, sagt eSentire nicht. Auch zur Zahl der Opfer gibt es keine Angaben. Einen Hinweis auf das mögliche Ausmaß gibt es allerdings: Das Unternehmen fand mehr als 30 ähnliche Domains, die im August 2026 registriert wurden und US-Händler, Hersteller und Lagerfirmen imitieren. eSentire wertet das als Anzeichen für eine möglicherweise breitere Kampagne gegen Dienstleister. Betroffen sind in erster Linie Arbeitskonten mit Microsoft 365, und besonders exponiert sind jene, deren Job es ist, auf fremde Anfragen zu antworten – Vertrieb, Kundenservice, Einkauf.

Was Unternehmen jetzt tun können

Für die meisten Firmen ist die wirksamste Maßnahme erstaunlich simpel. In Microsoft 365 lässt sich die Anmeldung per Geräte-Code über sogenannte Richtlinien für bedingten Zugriff sperren. eSentire empfiehlt, sie für alle Mitarbeitenden zu blockieren, die sie nicht wirklich brauchen – und das dürften in den meisten Unternehmen fast alle sein. Wer seine IT extern betreuen lässt, kann genau danach fragen.

Außerdem lohnt ein Blick auf die im Firmenkonto registrierten Geräte. Laut eSentire sind mehrere Registrierungen innerhalb kürzester Zeit aus derselben Anmeldung ein deutliches Alarmzeichen. Ist es bereits passiert, reicht ein neues Passwort nicht: Zugänge sperren, Passwort zurücksetzen und die fremden Geräte ausdrücklich entfernen. Erste Orientierung, was nach einem Vorfall zu tun ist, gibt der Mimikama-Notfall-Check. Und nicht zuletzt: Die Menschen im Vertrieb und im Kundenservice sollten wissen, dass eine echte Microsoft-Seite kein Beweis für eine harmlose Anfrage ist.

Quellen

• eSentire Threat Response Unit: GhostCode: Dissecting a Novel Device Code Phishing Kit, 15. September 2026
• Microsoft Learn: Microsoft identity platform and the OAuth 2.0 device authorization grant flow
• Microsoft Threat Intelligence: Storm-2372 conducts device code phishing campaign, 13. Februar 2025
• eSentire: Tycoon 2FA Operators Adopt OAuth Device Code Phishing, Mai 2026