Cyberkriminelle setzen gezielt auf Microsoft Teams und authentische Anmeldeseiten, um Unternehmen weltweit mit Phishing-Kampagnen zu attackieren und Zugriffsrechte auf Microsoft 365 zu erschleichen
Im Sommer 2026 hat sich eine neue Angriffsmethode im Bereich der Cybersicherheit etabliert: Cyberkriminelle nutzen nicht mehr nur gefälschte Anmeldeseiten, sondern missbrauchen gezielt die legitime Infrastruktur von Microsoft, um Phishing-Angriffe gegen Unternehmen durchzuführen. Nach Angaben von Check Point Research wurden zwischen dem 25. Juni und der zweiten Juliwoche mehr als 200 Phishing-E-Mails identifiziert, die sich an Nutzerinnen und Nutzer in rund 120 Organisationen weltweit richteten. Die Angriffe betrafen verschiedene Branchen und Länder und zielten darauf ab, Mitarbeitende zur Freigabe von Zugriffsrechten für bösartige Anwendungen innerhalb der Microsoft 365-Umgebung zu bewegen.
Angriffsmuster und technische Umsetzung
Die beobachteten Phishing-Kampagnen setzten auf täuschend echte Microsoft Teams-Benachrichtigungen, die angeblich von der Personalabteilung stammten. Der Absendername lautete "Es gibt neue Aktivitäten im Team", während die Betreffzeile auf neue Nachrichten im Teams-Chat hinwies. Im Nachrichtentext wurde auf angebliche Updates zu Gehaltsabrechnung, Vergütung und Zusatzleistungen verwiesen, ergänzt durch einen Zähler für "überfällige Mitarbeiteraufgaben", um Dringlichkeit zu suggerieren. Jeder Link in der Nachricht, einschließlich der Aktionsschaltflächen, führte die Empfängerinnen und Empfänger zunächst auf eine authentische Microsoft-Anmeldeseite. Erst nach erfolgreicher Anmeldung wurden sie aufgefordert, einer vom Angreifer kontrollierten Anwendung weitreichende Berechtigungen zu erteilen.
Bemerkenswert ist, dass die sichtbare Absenderadresse ebenfalls zur Zielorganisation gehörte. Die E-Mail wurde also scheinbar von der eigenen Adresse an die betroffene Person gesendet. Diese Methode erschwert die Erkennung durch klassische Phishing-Filter und erhöht die Glaubwürdigkeit der Nachricht. Die Taktik ist im MITRE ATT&CK-Framework als eigenständige Angriffsmethode dokumentiert und hat sich von gezielten Einzelangriffen zu einem Dienst entwickelt, der inzwischen auch von weniger technisch versierten Angreifern genutzt werden kann.
Auswirkungen auf Unternehmen und Nutzer
Die Folgen eines erfolgreichen Angriffs hängen maßgeblich davon ab, welche Berechtigungen die betroffene Person der schädlichen Anwendung gewährt. Möglich ist der Zugriff auf E-Mails, Dateien, Teams-Chats, SharePoint-Inhalte, OneDrive-Daten und Kalenderinformationen innerhalb der gesamten Microsoft 365-Umgebung. Besonders kritisch ist die Möglichkeit, E-Mails im Namen des Opfers zu versenden, was Folgeangriffe wie Business Email Compromise (BEC) auslösen kann. Auch der Zugriff auf interne Dokumente und Kommunikationsverläufe birgt erhebliche Risiken für Unternehmen, da sensible Informationen unbemerkt abgeflossen sein könnten.
Check Point Research weist darauf hin, dass die Angreifer nicht mehr versuchen, Microsoft zu imitieren, sondern die Authentifizierungsprozesse und Benutzeroberflächen des Unternehmens direkt nutzen. Für die betroffenen Nutzerinnen und Nutzer ist der gesamte Ablauf authentisch - lediglich die Absicht hinter der angeforderten Berechtigung bleibt verborgen. Die beobachtete Kampagne ist nach aktuellem Stand nicht mehr aktiv, verdeutlicht jedoch, wie sich Angriffsstrategien an die Weiterentwicklung von Sicherheitsmaßnahmen anpassen.
Empfohlene Schutzmaßnahmen und offene Fragen
Unternehmen und Anwenderinnen sollten bei verdächtigen E-Mails besonders aufmerksam sein. Es empfiehlt sich, den Mauszeiger über Links zu bewegen, um das tatsächliche Ziel zu prüfen, und zu hinterfragen, wenn mehrere Schaltflächen auf dieselbe Adresse verweisen. Auch sollte die Übereinstimmung von Absendername, -adresse und -domain kontrolliert werden. Eine scheinbar interne E-Mail ist kein Garant für Authentizität, da Anzeigenamen und Absenderadressen manipuliert werden können. Im Zweifel sollten Teams oder andere Anwendungen direkt über die offizielle App geöffnet werden, statt auf Links in E-Mails zu klicken. Verdächtige Nachrichten sollten umgehend an das Sicherheitsteam gemeldet werden, um böswillige Berechtigungen schnell widerrufen und weitere Angriffsversuche unterbinden zu können.
Die Entwicklung zeigt, wie dynamisch sich Angriffsvektoren im Bereich der Unternehmenssoftware verändern. Während klassische Phishing-Muster zunehmend erkannt werden, verlagern sich Angriffe auf die Ausnutzung legitimer Prozesse und Schnittstellen. Die Frage, wie Unternehmen ihre Mitarbeitenden und Systeme gegen solche Methoden nachhaltig schützen können, bleibt weiterhin offen und erfordert kontinuierliche Anpassung der Sicherheitsstrategien. Im Kontext der zunehmenden Automatisierung von Arbeitsabläufen, wie sie etwa bei der Erweiterung von Claude Cowork um neue Funktionen dokumentiert wurde, gewinnt die Absicherung von Zugriffsrechten und Authentifizierungsprozessen weiter an Bedeutung.
Im Bereich der Cybersicherheit bezeichnet man als Phishing gezielte Versuche, Nutzerinnen und Nutzer durch gefälschte oder manipulierte Nachrichten zur Preisgabe von Zugangsdaten oder zur Freigabe von Berechtigungen zu bewegen. Moderne Phishing-Angriffe nutzen zunehmend legitime Plattformen und Schnittstellen, um klassische Erkennungsmechanismen zu umgehen. Die Unterscheidung zwischen authentischer und böswilliger Nutzung wird dadurch komplexer und erfordert sowohl technische als auch organisatorische Schutzmaßnahmen. Unternehmen stehen vor der Herausforderung, ihre Mitarbeitenden regelmäßig zu sensibilisieren und technische Kontrollmechanismen laufend zu aktualisieren, um den sich wandelnden Angriffsmethoden wirksam begegnen zu können.
