M365 Device Code Phishing: Die KI-gestützte Angriffskette, die täglich Hunderte Unternehmen kompromittiert

Wichtige Erkenntnisse

1. Tägliche Massenkompromittierungen. Hunderte M365-Mandanten werden täglich durch eine automatisierte, KI-gesteuerte Phishing-Kampagne kompromittiert, die die Gerätecode-Authentifizierung missbraucht.
2. Ausnutzung legitimer Abläufe. Angreifer machen sich Microsofts Gerätecode-Protokoll zunutze, um gültige Sitzungstoken zu stehlen – ganz ohne Malware, Exploits oder ungültige Zugangsdaten.
3. KI-beschleunigte Kill Chain. KI übernimmt Zielvalidierung, rollenbasierte Ködererstellung und schnelle Postfach-Exfiltration – so verkürzen sich Angriffe von Wochen auf wenige Stunden.
4. Umgehung von Abwehrmaßnahmen. Herkömmliche Sicherheitskontrollen erkennen den Angriff nicht, da er legitime Authentifizierung, Graph-API-Exfiltration und keine Malware-Signaturen nutzt.

Stellen Sie sich vor, ein Finanzverantwortlicher erhält eine Teams-Nachricht von einer scheinbar internen Compliance-Beauftragten. Die Nachricht bezieht sich auf eine tatsächlich existierende Prüfung und fordert den Controller auf, ein Dokument über einen Gerätecode-Link zu verifizieren. Der Controller folgt der Anweisung. Innerhalb von 90 Sekunden verfügt der Angreifer über ein gültiges Sitzungstoken, hat vollen Zugriff auf das Postfach und exportiert alle Anhänge der letzten 18 Monate.

Der Angriff, der wie normales Geschäft aussieht

Dies ist kein theoretisches Szenario. Laut einer Microsoft-Warnung vom April 2026 werden täglich Hunderte Organisationen durch eine Phishing-Kampagne kompromittiert, die den Gerätecode-Authentifizierungsfluss in Microsoft 365 missbraucht. Die Kampagne nutzt KI, um hochgradig personalisierte Köder zu erstellen und automatisiert die gesamte Kill Chain – von der Zielvalidierung bis zur Datenexfiltration.

Der CrowdStrike Global Threat Report 2026 dokumentierte einen Anstieg KI-gestützter Angriffe um 89 % im Jahresvergleich; zudem waren 82 % der Erkennungen im Jahr 2025 malwarefrei. Dieser Angriff steht exemplarisch für diesen Wandel: keine Malware, keine Exploits, keine Schwachstelle. Nur ein legitimer Authentifizierungsprozess, der ins Gegenteil verkehrt wird.

5 Wichtige Erkenntnisse

1. Hunderte M365-Mandanten werden täglich kompromittiert.

Eine groß angelegte Phishing-Kampagne missbraucht Microsofts Gerätecode-Authentifizierungsfluss, nutzt KI-generierte Köder, um Zugangsdaten zu stehlen und Postfachdaten im industriellen Maßstab zu exfiltrieren. Laut einer Microsoft-Warnung vom April 2026 handelt es sich nicht um gezielte Angriffe auf einzelne Unternehmen – es ist eine automatisierte, KI-gesteuerte Operation, die kontinuierlich M365-Mandanten branchen- und länderübergreifend angreift.

2. Der Angriff nutzt einen legitimen Microsoft-Authentifizierungsmechanismus aus.

Der Gerätecode-Flow wurde für Geräte mit eingeschränkter Eingabe entwickelt. Angreifer haben daraus eine der effektivsten Techniken zum Diebstahl von Zugangsdaten gemacht, indem sie eine grundlegende Eigenschaft des Protokolls ausnutzen: Es gibt keine Überprüfung, wer den Flow initiiert hat. Das Opfer authentifiziert sich mit seinem eigenen MFA-Token an Microsofts Infrastruktur – und der Angreifer erhält das Sitzungstoken.

3. KI beschleunigt jede Phase der Kill Chain.

Von der Zielvalidierung über GetCredentialType bis zur rollenbasierten Ködererstellung und automatisierten Postfach-Exfiltration – KI verkürzt Vorgänge, die früher Wochen dauerten, auf wenige Stunden. Das KI-Risiko ist real: Der CrowdStrike Global Threat Report 2026 dokumentierte einen Anstieg KI-gestützter Angriffe um 89 % im Jahresvergleich, und diese Kampagne steht beispielhaft dafür.

4. Herkömmliche Sicherheitskontrollen erkennen diesen Angriff nicht.

Die Kampagne nutzt legitime Authentifizierungsflüsse, erzeugt keine Malware-Signaturen und exfiltriert Daten über Microsofts eigene Graph API. Laut CrowdStrike-Report 2026 waren 82 % der Erkennungen bereits malwarefrei – dieser Angriff passt exakt in dieses Muster. Standardmäßige E-Mail-Sicherheits- und Endpunktkontrollen sind nicht darauf ausgelegt, Missbrauch auf Authentifizierungsebene zu erkennen.

5. Governance von Kollaborationsplattformen ist jetzt ein Risiko auf Vorstandsebene.

Wenn sensible Daten – Legal Holds, M&A-Dokumente, Finanzunterlagen – auf einer Plattform gespeichert werden, deren Authentifizierungsmechanismen missbraucht werden, verschiebt sich die Fragestellung von Patching hin zur Architektur. Die Governance-Lücke bei M365 ist eine Compliance-Lücke: HIPAA, DSGVO, SEC-Regeln und CMMC verlangen Kontrollen, die M365s eigene Audit-Infrastruktur nicht durchgängig bereitstellt.

Wie der Gerätecode-Flow zur Waffe wird

Die Gerätecode-Authentifizierung wurde für Geräte ohne Browser oder vollständige Tastatur entwickelt – etwa Smart-TVs, IoT-Geräte und CLI-Tools. Der Ablauf zeigt einen Code auf dem Gerät an und fordert den Nutzer auf, diesen in einem separaten Browser einzugeben. Nach Eingabe erhält das Gerät ein Zugriffstoken.

Das Problem: Nichts im Protokoll prüft, wer den Flow initiiert hat. Ein Angreifer kann eine Gerätecode-Anfrage generieren, sie in einen Phishing-Köder einbetten und abwarten, bis das Opfer sich stellvertretend authentifiziert. Das Opfer sieht eine legitime Microsoft-Anmeldeseite, gibt seine Zugangsdaten ein und schließt die MFA ab. Doch der Angreifer – nicht das Opfer – erhält das Sitzungstoken.

Dies ist keine Schwachstelle im klassischen Sinne. Microsoft hat den Gerätecode-Flow genau so konzipiert. Die Ausnutzung liegt im Missbrauch des Vertrauensmodells: Das Opfer authentifiziert sich mit eigenen Zugangsdaten und eigenem MFA-Token an Microsofts Infrastruktur. Jede Sicherheitskontrolle sieht einen legitimen Authentifizierungsvorgang.

KI macht Social Engineering zur Produktionsstraße

Das Besondere an dieser Kampagne ist der KI-Einsatz in jedem Schritt. Der Angriff beginnt mit einem Aufruf der GetCredentialType-API von Microsoft zur Validierung von Ziel-E-Mail-Adressen – so wird geprüft, welche Konten existieren, durch MFA geschützt sind und welche Authentifizierungsmethoden konfiguriert sind. Dieser Schritt, der früher manuell erfolgte, läuft nun mit Maschinen-Tempo.

Anschließend generiert KI rollenbasierte Köder: Ein CFO erhält eine Nachricht zur Überprüfung einer Vorstandspräsentation, ein Unternehmensjurist eine Anfrage zu einer Vertragsänderung, ein Projektmanager eine Anfrage zu einem tatsächlich laufenden Projekt. Der Thales Data Threat Report 2026 zeigt: Menschliches Versagen bleibt mit 28 % Hauptursache für Datenpannen – und KI-gestütztes Social Engineering zielt genau darauf ab, menschliches Vertrauen im großen Stil auszunutzen.

Nach der Authentifizierung des Opfers startet die automatisierte Exfiltration. Die Angreifer-Tools verbinden sich über die Microsoft Graph API mit dem kompromittierten Postfach, identifizieren hochwertige Inhalte – Anhänge, Kalendereinträge, geteilte Dateien – und exportieren diese massenhaft. Der CrowdStrike-Report 2026 dokumentierte Adversary-in-the-Middle-Phishing gegen Microsoft 365/Entra ID, bei dem Cookies und Token gestohlen werden, um MFA zu umgehen und direkten Zugriff auf Mail, SharePoint und andere datenreiche Dienste zu erhalten. Diese Kampagne folgt demselben Muster – im industriellen Maßstab.

Warum bestehende Abwehrmaßnahmen versagen

Der Grund, warum dieser Angriff die meisten Security-Stacks umgeht, ist strukturell, nicht technisch. Es gibt keine Malware-Payload, die von Endpunktschutz erkannt werden könnte. Der Authentifizierungsvorgang ist legitim, also sieht Identity Analytics einen normalen Login. Die Datenexfiltration erfolgt über Microsofts eigene Graph API, sodass DLP-Tools autorisierte API-Aktivität sehen.

Der Thales Data Threat Report 2026 zeigt: Nur 33 % der Unternehmen wissen genau, wo ihre Daten gespeichert sind, und nur 39 % können alle Daten klassifizieren. Können Unternehmen ihre sensiblen Daten nicht lokalisieren, ist eine Erkennung unbefugter Zugriffe nahezu unmöglich – und Klassifikationslücken führen direkt zu forensischen Blind Spots nach einem Vorfall.

CrowdStrikes Feststellung, dass 35 % der Cloud-Vorfälle auf Missbrauch gültiger Konten zurückgehen, unterstreicht dies. Klassische Perimeter-Abwehr war nie für Angriffe konzipiert, die durch die Vordertür authentifizieren. Und Conditional-Access-Richtlinien – so hilfreich sie sind – erlauben Gerätecode-Flow oft standardmäßig, da die meisten Unternehmen nie geprüft haben, welche Authentifizierungsflüsse auf ihren Mandanten tatsächlich aktiviert sind.

Die Kollaborationsplattform als Angriffsfläche

Diese Kampagne macht ein tieferliegendes Architekturproblem deutlich: Die Kollaborationsplattform, auf die Unternehmen für ihre sensibelsten Workflows setzen, ist zugleich das bevorzugte Ziel der Angreifer.

SharePoint-Sites beherbergen Legal Holds, M&A-Datenräume und Richtlinienrepositorien. Exchange Online transportiert privilegierte Kommunikation zwischen Führungskräften, Juristen und Vorständen. OneDrive speichert Finanzmodelle, Kundendaten und Strategiepapiere. Das sind nicht nur Produktivitäts-Workloads – es sind regulierte Datenbestände mit Compliance-Pflichten nach HIPAA, DSGVO, SEC-Regeln und zunehmend CMMC 2.0.

Das Patch Tuesday-Update vom April 2026 bestätigt diese Realität: Es schloss eine SharePoint-Zero-Day-Lücke, die bereits aktiv ausgenutzt wurde, um Inhalte in vertrauenswürdigen Kollaborationsbereichen zu manipulieren. Zusammen mit der Gerätecode-Phishing-Kampagne ist die Botschaft klar: M365-Mandanten sind gleichzeitig Bedrohungen für Datenvertraulichkeit und Datenintegrität ausgesetzt.

Laut der Kiteworks Data Security, Compliance and Risk Forecast 2026 nennen 46 % der Unternehmen Transparenzlücken als Hauptsorge für Datensicherheit. Wenn sensibler Datenaustausch über Plattformen erfolgt, bei denen Audit-Logs bei hoher Auslastung verzögert werden, bis zu 72 Stunden brauchen und für vollständige Erfassung Premium-Lizenzen erfordern, wird die Governance-Lücke zur Compliance-Lücke.

Das Audit-Trail-Problem, das die meisten Unternehmen nicht kennen

Stellt ein Unternehmen fest, dass ein Postfach durch Gerätecode-Phishing kompromittiert wurde, lautet die erste Frage immer: Auf welche Daten wurde zugegriffen? Die Antwort erfordert in M365 die Korrelation von Logs aus verschiedenen Quellen – Entra ID-Anmeldeprotokolle, Exchange-Audit-Logs, Microsoft Graph-Aktivitätsprotokolle und ggf. SharePoint-Zugriffsprotokolle. Diese Logs haben unterschiedliche Aufbewahrungsfristen, unterschiedliche Vollständigkeit und unterschiedliche Lizenzanforderungen.

Für Unternehmen, die der 72-Stunden-Meldepflicht der DSGVO, den HIPAA-Meldepflichten oder den SEC-Offenlegungsvorgaben unterliegen, ist ein unvollständiger Audit-Trail nicht nur ein operatives Problem – sondern ein regulatorisches Risiko. Der Incident-Response-Plan versagt, sobald die forensische Beweislage lückenhaft ist.

Wie Kiteworks die Governance-Lücke bei M365 schließt

Das Kiteworks Private Data Network adressiert dieses Problem architektonisch statt reaktiv. Anstatt Governance-Kontrollen nachträglich auf eine Produktivitätsplattform zu schichten, bietet Kiteworks eine speziell entwickelte Steuerungsebene für sensiblen Datenaustausch – E-Mail, Filesharing, SFTP, Managed File Transfer, APIs und Web-Formulare – mit integrierter Sicherheit auf Plattformebene, nicht als teures Add-on.

Jeder sensible Datenaustausch über Kiteworks wird in einem einzigen, einheitlichen Audit-Trail protokolliert – mit Echtzeitübertragung an SIEM-Systeme, ohne Drosselung, ohne 72-Stunden-Verzögerung, ohne Premium-Lizenz für vollständige Erfassung. Die Plattform wird als gehärtete virtuelle Appliance mit eingebetteten Sicherheitskontrollen – Netzwerk-Firewall, WAF, Intrusion Detection – bereitgestellt, die keinerlei Kundenkonfiguration erfordern.

Für Unternehmen, die M365 intern für Produktivität nutzen, aber für sensiblen externen Datenaustausch mit Partnern, Aufsichtsbehörden, juristischen Gegenparteien und Kunden eine gesteuerte, revisionssichere Lösung benötigen, bietet Kiteworks die zero trust Data Protection-Architektur, die M365 nicht liefern kann. Selbst wenn ein Authentifizierungsmechanismus kompromittiert wird, bleibt der Schaden für sensible Daten begrenzt.

Was Unternehmen vor der nächsten Angriffswelle tun sollten

Erstens sollten Sie Ihren M365-Mandanten sofort auf Gerätecode-Flow prüfen. Die meisten Unternehmen haben nie überprüft, welche Authentifizierungsflüsse aktiviert sind. Deaktivieren Sie Gerätecode-Flow für alle Nutzer ohne dokumentierten geschäftlichen Bedarf und beschränken Sie ihn über Conditional-Access-Richtlinien auf konforme Geräte und verwaltete Standorte.

Zweitens setzen Sie Conditional-Access-Richtlinien ein, die veraltete und unnötige Authentifizierungsmethoden blockieren. Laut CrowdStrike-Report 2026 liegt die durchschnittliche eCrime-Breakout-Zeit bei 29 Minuten – der Rekord liegt bei 27 Sekunden. Weniger angreifbare Authentifizierungswege verringern das Zeitfenster für Angreifer.

Drittens implementieren Sie Echtzeit-Monitoring für anomale Consent Grants, unmögliche Reisebewegungen und große Postfach-Exporte. Das sind die Verhaltensmuster eines Gerätecode-Phishing-Angriffs – und sie erfordern Analysen, die das native M365-Monitoring oft nicht in der benötigten Geschwindigkeit liefert.

Viertens trennen Sie sensiblen Datenaustausch von allgemeiner Kollaboration. Der Thales-Report zeigt: Unternehmen nutzen im Schnitt 89 SaaS-Anwendungen. Fließen sensible Daten über dieselbe Plattform wie alltägliche Zusammenarbeit, wird jeder Authentifizierungskomprimittierung zum potenziellen Compliance-Vorfall. Eine dedizierte, zugriffsgesteuerte Plattform für Datenaustausch begrenzt das Risiko.

Fünftens etablieren Sie vorgeplante Incident-Response-Workflows, die die forensischen Einschränkungen von M365 berücksichtigen. Wissen Sie, welche Logs Sie haben, wie lange sie aufbewahrt werden, welche Premium-Lizenzen erfordern und wie groß die maximale Verzögerung bis zur Verfügbarkeit ist. Die 72-Stunden-DSGVO-Meldepflicht pausiert nicht, während Sie auf Logs warten.

Die Geschwindigkeit KI-gestützter Angriffe nimmt zu. Die Frage ist nicht mehr, ob Ihr M365-Mandant Ziel einer solchen Kampagne wird – sondern ob Ihre Architektur sicherstellt, dass ein kompromittierter Authentifizierungsfluss nicht zum kompromittierten Datenbestand führt.

Erfahren Sie mehr darüber, wie Sie die Governance-Lücke bei M365 schließen können: Vereinbaren Sie jetzt eine individuelle Demo.

Weitere Ressourcen

• Blog Post Schützen Sie Ihre sensiblen Inhalte mit E-Mail-Sicherheit
• Blog Post Brief: So optimieren Sie E-Mail-Governance, Compliance und Schutz sensibler Inhalte
• Brief Transparenz erweitern und Schutz aller sensiblen E-Mails automatisieren
• Brief Kiteworks Secure Email mit dem Email Protection Gateway (EPG) erweitern