Die Vorgehensweise bei der Kontoübernahme hat sich geändert. Und Ihre Verteidigung?

Die in diesem Blog beschriebenen Angriffe lassen sich nicht durch eine single Sicherheitsmaßnahme abwehren. Sie werden durch eine Plattform gestoppt, die die gesamte Kette überblickt – vom ersten verdächtigen Glied bis hin zur Datenbewegung nach einem Sicherheitsvorfall – und dabei die Signale miteinander verknüpft, die von Einzellösungen isoliert bleiben. Um diese Lücke zu schließen, geht es nicht darum, weitere Kontrollmechanismen einzuführen, sondern die bereits vorhandenen miteinander zu verknüpfen.

Eine Kontoübernahme gelingt nicht, weil die Sicherheitsteams nicht aufmerksam sind, sondern weil der Angriff so konzipiert ist, dass er den Anschein erweckt, als sei alles in Ordnung. Eine legitime Identität auf einem anerkannten Gerät von einem plausiblen Standort aus. Es gibt keine Signaturbrände. Keine Dienstreisen. Der Zugriff erscheint berechtigt, da er technisch gesehen tatsächlich berechtigt ist.

Für einen Sicherheitsexperten ist dies die unbequeme Wahrheit, die im Jahr 2026 im Mittelpunkt der Identitätssicherheit steht. Das neue Ziel ist die Identität selbst, und Microsoft 365, als Plattform, die E-Mail, Dateien, Kalender und die Zugriffsverwaltung für Hunderte Millionen Nutzer unterstützt, steht damit direkt im Fadenkreuz. Ein single kompromittiertes Konto stellt kein isoliertes Problem im Posteingang dar. Dies stellt einen organisatorischen Ansatzpunkt dar, und die Verweildauer bis zur Erkennung verschafft Angreifern mehr als genug Spielraum, um aktiv zu werden.

600 Millionen identitätsbasierte Angriffe pro Tag

Das Ausmaß identitätsbasierter Angriffe auf Microsoft 365 stellt keine bloße Hintergrundbedrohung mehr dar. Microsoft meldet^täglich rund 600 Millionen solcher Angriffe¹; einer der erfolgreichsten Angriffswege ist dabei das groß angelegte, äußerst überzeugende Phishing nach Zugangsdaten, bei dem häufig genau das ausgenutzt wird, was Unternehmen nicht durch Patches beheben können: die Vertrautheit der Benutzer mit dem System.

Da Kollaborationssuiten und SaaS so fest in den modernen Arbeitsabläufen des Alltags verankert sind, sind die Nutzer darauf eingestellt, Mitteilungen zu erhalten und darauf zu reagieren, die so aussehen, als stammten sie von diesen Diensten. Angreifer nutzen diese Prägung gezielt aus. Im gesamten weltweiten Kundenstamm von Mimecast macht Phishing mittlerweile 77% aller beobachteten^{Bedrohungen aus²}; Microsoft berichtete, allein im ersten Quartal 2026 rund 8,3 Milliarden Phishing-Versuche per E-Mail festgestellt zu haben, wobei die überwiegende Mehrheit darauf abzielte, Zugangsdaten zu erlangen, anstatt^Malware zu verbreiten³. Dies deutet darauf hin, dass Ihr Netzwerk nicht das unmittelbare Ziel ist. Es handelt sich um die Zugangsdaten Ihrer Mitarbeiter.

Wie sich das Spielbuch weiterentwickelt hat

Die meisten Menschen stellen sich Hackerangriffe nach wie vor so vor, dass ein Angreifer Passwörter errät. Über 97.% e Identitätsangriffe auf 365 basieren nach wie vor auf „Spray“- oder Brute^{-Force-Angriffen¹}. Es ist unverblümt, automatisiert und funktioniert manchmal. Die gefährlicheren Techniken finden jedoch um Ihre Steuerelemente herum statt, nicht über diese.

Phishing mittels QR-Codes: Im ersten Quartal 2026 hat sich die Zahl mehr als verdoppelt – ein^Anstieg um 146% 3. QR-Codes umgehen Text-Scanner und leiten die Opfer auf ihrem Mobiltelefon – das weitaus weniger gut geschützt ist als ihr Arbeitsgerät – auf eine Phishing-Seite weiter.

CAPTCHA-Missbrauch:^Allein im März 2026 stieg die Nutzung dieser Technik um 125% an.³ Das CAPTCHA dient nicht dazu, zu überprüfen, ob Sie ein Mensch sind, sondern verhindert, dass die grundlegenden E-Mail-Sicherheitslösungen die dahinter liegende Seite erreichen, auf der Anmeldedaten abgegriffen werden.

Diebstahl von Anmeldedaten: Infostealer wie „Lumma Stealer“ und „RedLine“ sammeln authentifizierte Browser-Sitzungs-Cookies. Dies ist von Bedeutung, da der Angreifer, sobald ein Sitzungs-Cookie gestohlen wurde, den Benutzer authentifizieren kann, ohne jemals dessen Passwort oder MFA-Code zu benötigen. Aus Sicht des Identitätsanbieters handelt es sich um eine gültige, bereits authentifizierte Sitzung. 

Umgehung von AitM und MFA: Plattformen wie Tycoon2FA schalten sich in Echtzeit zwischen den Nutzer und die legitime Anmeldeseite und leiten die Anmeldedaten weiter, wobei sie das MFA-Token unmittelbar nach dessen Eingabe erfassen. Der Benutzer durchläuft die Authentifizierung erfolgreich, ebenso wie der Angreifer – wenige Millisekunden später. 

All diese modernen Verfahren sind speziell auf die traditionellen Identitätskontrollen zugeschnitten, auf die sich die meisten Organisationen stützen.

Ein Master-Abschluss ist wichtig, aber er ist nicht die einzige Lösung

Die MFA ist nach wie vor unverzichtbar; sie verhindert den Großteil der automatisierten Angriffe auf Zugangsdaten und sollte nicht verhandelbar sein. Doch die Angriffe, die im Jahr 2026 für Schlagzeilen sorgen, sind nicht diejenigen, die durch MFA abgewehrt werden. Sie wurden speziell für Umgebungen entwickelt, in denen die MFA bereits aktiviert ist. Die Tatsache, dass MFA eher als Abwehrmaßnahme denn als Standard betrachtet wird, ist die Lücke, auf die Angreifer ihre Vorgehensweisen ausrichten.

Die Lücke zu schließen bedeutet, die gesamte Kette abzudecken

Da es sich bei dem Angriff um eine Kette handelt, muss auch die Abwehr entsprechend aufgebaut sein – mit Kontrollmechanismen, die greifen, bevor Zugangsdaten gestohlen werden, in dem Moment, in dem ein Benutzer auf etwas Verdächtiges klickt, und nachdem ein Konto bereits kompromittiert wurde.

Vor dem Klick

Die meisten Phishing-Links führen nicht direkt zu einer gefälschten Anmeldeseite. Sie nutzen Weiterleitungen, CAPTCHAs, QR-Codes und als Bilder dargestellte URLs – insbesondere, um Sicherheitswerkzeuge zu umgehen, die lediglich die Oberfläche überprüfen. Eine wirksame „Pre-Click“-Abwehr muss die gesamte Weiterleitungskette nachverfolgen und darf sich nicht nur auf die Überprüfung der sichtbaren URL beschränken; außerdem muss sie Computer-Vision-Verfahren einsetzen, um gefälschte Anmeldeseiten zu identifizieren, die von textbasierten Filtern übersehen werden. URLs, die durch ein CAPTCHA geschützt sind, sollten als Risikosignal gewertet werden, nicht als Grund, den Scanvorgang abzubrechen. 

Im Moment des Klicks

Wenn ein Benutzer auf einen Link klickt, der zwar noch nicht als schädlich eingestuft wurde, dem aber auch noch kein Vertrauen entgegengebracht wird, kann die Browser-Isolation eingreifen, bevor Schaden entsteht. Die Sitzung läuft in einem Remote-Container, der vollständig vom Gerät des Benutzers getrennt ist. Es liegt kein Diebstahl von Wertmarken vor. Es erfolgt keine Erfassung von Anmeldedaten. Administratoren können die Eingabe von Anmeldedaten in isolierten Sitzungen vollständig blockieren. Selbst wenn jemand darauf hereinfällt, dringt nichts durch.

Nach dem Kompromiss

Wenn ein Konto kompromittiert wird, erfordert die Erkennung eine Korrelation von Signalen über verschiedene Ebenen hinweg. Verhaltensauffälligkeiten in E-Mails – ungewöhnliches Versandvolumen oder ausgehende Phishing-E-Mails von vertrauenswürdigen Konten – müssen im Zusammenhang mit Identitätsmerkmalen betrachtet werden. Für sich genommen könnte jedes einzelne davon als Störgeräusch abgetan werden. Zusammen ergeben sie ein klares Bild, und dank der KI-gestützten Bewertung lässt sich diese Korrelation konkret nutzen, sodass nur die wirklich relevanten Warnmeldungen angezeigt werden und die Sicherheitsbeauftragten schnell reagieren können.

Doch ein Kompromiss bleibt selten an einem Ort. Ein Angreifer mit einer gültigen Sitzung wird sich in Teams-Unterhaltungen, gemeinsam genutzte Laufwerke und interne Dateispeicher einklinken, um nach wertvollen Informationen zu suchen und herauszufinden, wen er als Nächstes ins Visier nehmen soll. Das bedeutet, dass eine wirksame Abwehr nicht bei E-Mails aufhören darf. Derselbe verhaltensorientierte Ansatz muss auf alle Kooperationsumgebungen ausgeweitet werden, um verdächtige interne Kommunikation und ungewöhnliche Weitergabe sensibler Daten zu erkennen, bevor ein Angreifer tieferen Zugriff erlangen kann.

Selbst dann ist ein verlässlicher Indikator im fortgeschrittenen Stadium, was ein kompromittiertes Konto letztendlich mit den Daten anstellt. Überweisungen an nicht vertrauenswürdige Empfänger, Freemail-Konten oder private Geräte stellen ein zweites, eigenständiges Anzeichen dafür dar, dass etwas nicht stimmt – ein Anzeichen, das in Echtzeit erkennbar ist, selbst wenn die Identitätsprüfung noch nicht nachgezogen hat.

Die Frage, die man sich heute stellen sollte

Wenn ein Angreifer heute Vormittag ein Microsoft 365-Konto in Ihrer Umgebung kompromittiert hätte, wie lange würde es dauern, bis Ihr Team davon Kenntnis erlangt?  Die Zahl der Angriffe auf M365 nimmt nicht ab, und diejenigen, die erfolgreich sind, kommen nicht durch, da die MFA deaktiviert ist. Sie kommen durch, weil die Lücken in Ihren Kontrollmechanismen genau dort liegen, wo Angreifer ihre Strategien entwickeln. 

Die in diesem Blog beschriebenen Angriffe lassen sich nicht durch eine single Sicherheitsmaßnahme abwehren. Sie werden durch eine Plattform gestoppt, die die gesamte Kette überblickt – vom ersten verdächtigen Glied bis hin zur Datenbewegung nach einem Sicherheitsvorfall – und die Signale miteinander verknüpft, die von Einzellösungen isoliert bleiben.

Mimecast deckt die gesamte Kette ab. Bevor jemand darauf klickt, verfolgen wir jeden Link, der an E-Mail- und Kollaborationsplattformen gesendet wird, bis zu seinem endgültigen Ziel – selbst wenn er absichtlich hinter QR-Codes, Weiterleitungen oder Bestätigungsbildschirmen versteckt wurde, die darauf ausgelegt sind, einfache Sicherheitstools zu täuschen. Wenn jemand auf einen verdächtigen Link klickt, können wir diese Seite in einem isolierten Browser öffnen, sodass seine Anmeldedaten und Sitzungstoken nicht abgefangen werden können. Sollte ein Konto dennoch kompromittiert werden, erkennen wir die Anzeichen umgehend – ungewöhnliche ausgehende E-Mails, Anmeldungen von unerwarteten Standorten – und leiten eine klare, nach Priorität geordnete Warnmeldung an Ihr Team weiter. Und wenn ein Angreifer versucht, Daten nach außen zu leiten, überwacht eine separate Ebene dieses Verhalten und kann so den Datenverlust verhindern, während gleichzeitig eine Warnmeldung ausgelöst wird, die einer Untersuchung unterzogen werden muss.

Das ist die Lösung für das architektonische Problem. Keine weiteren Werkzeuge. Eine Plattform, die entwickelt wurde, um den gesamten Angriff im Blick zu behalten, denn genau an der Schnittstelle zwischen Mensch, Daten und KI liegt das Risiko – und genau dort setzt Mimecast an, um Schutz zu bieten.

Erfahren Sie, wie Mimecast die Übernahme von Konten über die gesamte Angriffskette hinweg verhindert:

Vom ersten verdächtigen Link bis hin zur Datenübertragung nach einem Sicherheitsvorfall – erfahren Sie, wie Mimecast die Signale verknüpft, die Ihrer derzeitigen Infrastruktur fehlen.

Fordern Sie eine Demo an.

1. Microsoft Digital Defense Report 2024 & 2025(microsoft.com/en-us/security/security-insider/microsoft-digital-defense-report-2025)

2. Mimecast Global Threat Intelligence Report, 2025 (https://www.mimecast.com/resources/ebooks/threat-intelligence-january-june-2025/)

3. Microsoft-Bericht zur E-Mail-Bedrohungslage im ersten Quartal 2026 (https://www.microsoft.com/en-us/security/blog/2026/04/30/email-threat-landscape-q1-2026-trends-and-insights/)