„Hier ist Ihr IT-Support“: Wie Angreifer am Telefon die Mehr-Faktor-Anmeldung aushebeln

Was passiert bei diesen Anrufen?

Sicherheitsforscher von Arctic Wolf beschreiben eine laufende Angriffswelle, die sie unter der Kennung PREY-0058 führen. Der Ablauf ist bemerkenswert unspektakulär — und genau deshalb wirksam:

1. Ein Anruf erreicht eine Führungskraft, oft auf der privaten Nummer. Die angezeigte Rufnummer ist gefälscht und wirkt wie die des eigenen Helpdesks.
2. Der Anrufer nennt einen plausiblen Anlass: ein Passkey- oder MFA-Update sei fällig, die Anmeldung müsse einmal erneuert werden.
3. Das Opfer wird auf eine täuschend echte Anmeldeseite geleitet und gibt dort Benutzername und Passwort ein.
4. Die Seite reicht die Eingaben in Echtzeit an die echte Microsoft-Anmeldung weiter. Die löst dadurch eine echte MFA-Abfrage aus — der Anrufer lässt sich den Code nennen oder wartet auf die Bestätigung in der App.
5. Danach beginnt der automatisierte Datenabzug aus SharePoint, OneDrive und Exchange.

Das Vorgehen heißt Adversary-in-the-Middle: Der Angreifer sitzt zwischen Opfer und echtem Dienst. Er klaut nicht nur das Passwort, sondern die fertig angemeldete Sitzung.

Warum hilft die Mehr-Faktor-Anmeldung hier nicht?

Weil sie funktioniert wie vorgesehen — nur für den Falschen. Ein Einmalcode aus der App oder per SMS beweist nur, dass gerade jemand mit dem richtigen Gerät bestätigt hat. Er beweist nicht, wem gegenüber bestätigt wurde.

Damit muss man deutlich sein, weil der Punkt oft falsch ankommt: Das ist kein Argument gegen MFA. Ohne zweiten Faktor wäre dieser Angriff nicht aufwendiger, sondern trivial — ein gestohlenes Passwort würde genügen. Warum MFA nicht verhandelbar ist, steht unverändert in Brauchen wir wirklich Multi-Faktor-Authentifizierung?

Die richtige Schlussfolgerung ist eine andere: Nicht jedes MFA-Verfahren ist gleich viel wert. Code-Eingabe per SMS oder App lässt sich weiterreichen. Passkeys und FIDO2-Sicherheitsschlüssel nicht — sie prüfen kryptografisch, ob die Seite, die gerade fragt, wirklich Microsoft ist. Auf einer gefälschten Domain verweigern sie schlicht die Arbeit. Wo ihre Grenzen liegen, haben wir in Passkeys sind kein Freifahrtschein beschrieben.

Warum trifft es ausgerechnet die Chefetage?

Weil sich der Aufwand dort lohnt — und weil die Rahmenbedingungen dem Angreifer helfen:

• Breite Berechtigungen. Geschäftsführung und Leitungsebene kommen an Verträge, Personalunterlagen, Zahlen. Ein Konto, viele Ordner.
• Erreichbarkeit. Mobilnummern von Führungskräften sind oft öffentlich oder leicht zu beschaffen — aus dem Impressum, aus Messeunterlagen, aus Datenlecks.
• Zeitdruck als Hebel. Wer viel unterwegs ist, klärt Dinge schnell zwischen zwei Terminen. Genau darauf zielt der Anruf.
• Weniger Rückfragen. Die wenigsten Mitarbeitenden fragen beim Chef nach, ob der Anruf echt war — umgekehrt schon.
• Ausnahmen von den Regeln. In vielen Betrieben ist die Leitungsebene diejenige, für die Sicherheitsvorgaben „aus Praktikabilitätsgründen“ gelockert wurden.

Der letzte Punkt ist der bittere: Die Person mit den weitesten Rechten hat häufig die schwächsten Schutzeinstellungen.

Woran erkennen Sie den Anruf?

Es gibt eine Regel, die alles andere überflüssig macht — und vier Merkmale, die sie stützen.

Die Regel: Ihr IT-Support fragt niemals telefonisch nach einem Passwort, einem Einmalcode oder einer Anmeldebestätigung. Nicht bei Wartung, nicht bei Störung, nicht in Eile. Wer danach fragt, ist nicht Ihr IT-Support — unabhängig davon, wie gut er klingt.

Diese Merkmale kommen dazu:

• Der Anruf kommt von außen zu Ihnen. Echter Support reagiert auf ein Ticket, das Sie eröffnet haben.
• Es eilt. „Sonst wird Ihr Konto heute Abend gesperrt.“
• Sie sollen etwas eingeben, während telefoniert wird. Kein seriöser Ablauf verlangt das.
• Die Rufnummer stimmt. Das ist kein Echtheitsbeweis — Rufnummern lassen sich beliebig fälschen.

Und der einzig richtige Reflex: auflegen und selbst zurückrufen — unter der Nummer, die Sie kennen, nicht unter der, die genannt wurde.

Was schützt technisch?

Sensibilisierung allein reicht nicht, weil auch aufmerksame Menschen müde Tage haben. Diese vier Einstellungen fangen den Fehler ab:

• Phishing-resistente Anmeldung für die Leitungsebene und alle administrativen Konten: Passkeys oder FIDO2-Schlüssel statt Code-Eingabe. Das ist die einzige Maßnahme, die diesen Angriff technisch unmöglich macht.
• Zugriffsregeln in Microsoft 365: Anmeldungen nur von verwalteten Geräten zulassen. Der Angreifer hat die Zugangsdaten — aber kein Gerät Ihres Unternehmens.
• Anmeldungen auswerten. Ein Login aus einem fremden Land oder von einem unbekannten Gerät muss einen Alarm erzeugen, den ein Mensch sieht. Dasselbe Prinzip wie bei der Verweildauer.
• Massen-Downloads erkennen. Wenn ein Konto plötzlich Hunderte Dateien aus SharePoint zieht, ist das auffällig — vorausgesetzt, jemand schaut hin.

Und eine organisatorische Maßnahme, die nichts kostet: ein vereinbartes Rückrufverfahren. Wer im Zweifel ist, legt auf und ruft die im Haus bekannte Support-Nummer an. Das muss vorher besprochen sein, sonst traut sich niemand.

Was tun, wenn es schon passiert ist?

Tempo schlägt Gründlichkeit — in dieser Reihenfolge:

1. Alle Sitzungen des Kontos beenden und das Passwort zurücksetzen. Nur das Passwort zu ändern genügt nicht: Die geklaute Sitzung bleibt sonst aktiv.
2. MFA-Methoden prüfen und neu einrichten — Angreifer hinterlegen gern ein eigenes Gerät als zweiten Faktor.
3. Weiterleitungen und Postfachregeln kontrollieren. Eine stille Regel, die eingehende Mails kopiert, ist der Standard-Nachbau.
4. Anmelde- und Zugriffsprotokolle sichern, bevor sie überschrieben werden.
5. Prüfen, was abgeflossen ist — davon hängt ab, ob eine Meldung nach Artikel 33 DSGVO binnen 72 Stunden fällig wird. Die Schritte dafür stehen in IT-Notfallplan.

Und danach die unbequeme Frage: Wer wurde sonst noch angerufen? Diese Wellen laufen selten gegen eine einzelne Person.

Was sollten Sie als Nächstes tun?

Zwei Dinge, heute noch. Erstens: Schreiben Sie die eine Regel auf und schicken Sie sie an alle — „Unser IT-Support fragt niemals telefonisch nach Passwort, Code oder Anmeldebestätigung. Im Zweifel auflegen und unter Nummer X zurückrufen.“ Drei Sätze, die den Angriff im Kern entwerten.

Zweitens: Lassen Sie prüfen, mit welchem Verfahren sich Ihre Geschäftsführung anmeldet. Wenn dort ein Code eingetippt wird, ist die Umstellung auf Passkeys die wirksamste Einzelmaßnahme, die Sie dieses Quartal treffen können — und sie ist an einem Vormittag erledigt.

Wenn Sie beides zusammen angehen wollen: Wir stellen die Leitungsebene und die administrativen Konten auf phishing-resistente Anmeldung um, setzen die Zugriffsregeln und hängen die Anmelde-Alarme an unser Monitoring.