„Ihr Passkey muss erneuert werden“: Vorsicht bei diesem Anruf

Das Handy läutet. Am Telefon ist angeblich die IT-Abteilung der eigenen Firma. Der Anrufer sagt: Ihr Passkey muss sofort erneuert werden. Kurz danach kommt eine SMS mit einem Link.

Das ist Betrug. Microsoft warnt davor in einem Bericht vom 9. September 2026. Die Betrüger wollen in Firmenkonten hinein. Dort holen sie sich Dateien und E-Mails.

Was ist ein Passkey überhaupt?

Ein Passkey ist eine Anmeldung ohne Passwort. Man bestätigt zum Beispiel mit dem Fingerabdruck oder dem Gesicht am Handy. Passkeys gelten als sehr sicher. Auch Microsoft empfiehlt sie in seinem Bericht.

Genau das nutzen die Betrüger aus. Ein Anruf zum Thema Passkey klingt ernst und wichtig. Laut Microsoft ist der Passkey aber oft gar nicht das Ziel. Er ist nur die Ausrede. Im Bericht steht nicht, dass Passkeys selbst geknackt wurden.

So beginnt der Betrug

Microsoft beobachtet diese Masche seit Mai 2026. Oft beginnt sie mit einem Anruf oder einer Nachricht auf das private Handy. Der Anrufer tut so, als käme er von der IT der Firma. Er macht Druck: Es muss sofort passieren. Den Link schicken die Betrüger manchmal per SMS.

Die Betrüger bereiten sich laut Microsoft gut vor. Sie suchen vorher offenbar im Internet nach Mitarbeitern, vermutlich in sozialen Netzwerken und auf Berufsplattformen. In manchen Fällen schreiben sie sogar aus einem Firmenkonto, das sie schon übernommen haben. Dann sieht die Nachricht aus, als käme sie von einem Kollegen.

Zwei Tricks, ein Ziel

Nach dem Anruf benutzen die Betrüger laut Microsoft zwei verschiedene Tricks. Bei beiden landen sie am Ende im Konto des Opfers.

Trick 1: Die Adresse sieht nach der eigenen Firma aus

Die falsche Seite hat eine Adresse mit dem Namen der eigenen Firma. Der Name steht ganz vorne. Das wirkt vertraut. Wem die Seite gehört, steht aber weiter hinten.

Solche Seiten sind laut Microsoft oft in wenigen Stunden fertig. Deshalb tauchen ständig neue Adressen auf. Auch die Bestätigung per Handy schützt hier nicht immer. Die falsche Seite leitet die Anmeldung weiter. Der Zugang landet dann bei den Betrügern.

Trick 2: Echte Seite, falscher Code

Den zweiten Trick gibt es, weil manche Geräte keine Tastatur haben. Ein Smart-TV zeigt zum Beispiel einen kurzen Code an. Diesen Code tippt man am Handy auf einer Anmeldeseite ein. Dann ist der Fernseher angemeldet.

Die Betrüger nutzen genau das aus. Sie holen sich selbst so einen Code. Dann bringen sie das Opfer dazu, ihn einzugeben. Laut Microsoft passiert das auf der echten Microsoft-Seite. Der Code meldet aber nicht das Opfer an. Er meldet das Programm der Betrüger an. Die zweite Bestätigung wird so laut Microsoft umgangen. Die Seite ist echt. Falsch ist, wer am anderen Ende sitzt.

Was die Betrüger danach tun

Zuerst sichern sie sich den Zugang. Sie tragen zum Beispiel eine eigene Handynummer oder eine eigene Anmelde-App im Konto ein. So kommen sie auch später wieder hinein. Das Opfer merkt davon nichts.

Danach suchen sie nach Dateien und E-Mails und laden sie herunter. Das dauert oft Stunden oder mehrere Tage. Meist holen sie weniger als 1.000 Dateien oder E-Mails pro Stunde. So fallen sie laut Microsoft wahrscheinlich weniger auf.

Microsoft nennt mehrere Banden, die diese Methode nutzen. Darunter sind Gruppen mit den Namen Storm-3121 und Storm-3032. Beide stehen laut Microsoft in Verbindung mit Erpressungen. Welche Firmen oder Länder betroffen sind, steht nicht im Bericht.

So schützen Sie sich

Ruft jemand wegen Passkey oder Anmeldung an? Legen Sie auf. Rufen Sie Ihre IT selbst an, mit der Nummer, die Sie kennen. Nicht mit der Nummer aus dem Anruf. Klicken Sie nicht auf Links aus so einer SMS.

Haben Sie schon geklickt oder einen Code eingegeben? Sagen Sie es sofort Ihrer IT. Das ist nicht peinlich. Laut Microsoft ist die Erinnerung an den Anruf oft der wichtigste Hinweis. Die IT kann dann die fremde Anmeldung beenden und fremde Zugänge löschen. Ist ein privates Konto betroffen, hilft der Mimikama-Notfall-Check weiter.

Firmen rät Microsoft unter anderem zu Passkeys und ähnlich sicheren Anmeldungen. Außerdem sollen Firmen die Anmeldung per Code sperren, wenn sie diese nicht brauchen. Und der Helpdesk soll genau prüfen, wer anruft, bevor er Zugänge zurücksetzt.