Eine Nachricht kündigt ein wichtiges Dokument an. Zum Öffnen sollen Sie einen Code auf einer Microsoft-Anmeldeseite eingeben. Die Adresse sieht vertraut aus, die Anmeldung funktioniert – und trotzdem kann ein fremder Zugriff entstehen. Für Unternehmen ist das eine wichtige Erweiterung der bisherigen Phishing-Regel: Nicht nur die Website prüfen, sondern auch den Anlass und den freizugebenden Vorgang.
Was hinter dem aktuellen Angriff steckt
Microsoft beschreibt in seiner Analyse vom 22. September 2026, wie EvilTokens den legitimen Gerätecode-Anmeldeprozess missbraucht. Bei diesem Verfahren wird eine Anmeldung für ein anderes Gerät oder eine Anwendung bestätigt. Angreifer starten den Vorgang und bringen Betroffene dazu, den zugehörigen Code einzugeben. So kann die Anmeldung dem Angreifer Zugriff eröffnen, ohne dass das Opfer sein Passwort auf einer gefälschten Website eintippt. Quelle: Microsoft Threat Intelligence.
Der entscheidende Unterschied zur klassischen Passwortfalle: Auch eine echte Anmeldeseite kann Teil des Täuschungsversuchs sein. Mehrfaktor-Authentifizierung bleibt wichtig, ersetzt aber nicht die Prüfung, welchen Zugriff man gerade bestätigt. Bereits im April 2026 dokumentierte Microsoft eine entsprechende Kampagne.
Eine einfache Regel für den Büroalltag
Bevor Mitarbeitende einen zugesandten Gerätecode eingeben, sollten sie drei Fragen beantworten: Habe ich diese Anmeldung selbst begonnen? Für welches Gerät oder welche Anwendung gilt sie? Passt die Aufforderung zu meiner aktuellen Aufgabe? Bleibt eine Antwort unklar, sollte die Anfrage über einen bekannten Kontaktweg überprüft werden.
Als Schulungsbeispiel eignet sich eine erfundene Dateifreigabe. Lassen Sie Ihr Team zunächst erklären, was die Nachricht verlangt. Anschließend besprechen Sie, ob zum Lesen eines angekündigten Dokuments überhaupt ein neuer Gerätezugriff erwartet wurde. Damit üben Sie die Entscheidung hinter dem Klick, nicht nur das Erkennen verdächtiger Schreibweisen.
Was die IT prüfen sollte
Lassen Sie klären, ob Ihr Unternehmen den Gerätecode-Anmeldeprozess benötigt und wie er gegebenenfalls eingeschränkt werden kann. Änderungen an Anmelderichtlinien sollten zuerst mit den tatsächlich genutzten Anwendungen und Geräten abgeglichen werden. Legen Sie außerdem fest, wer verdächtige Anmeldungen untersucht und wie Mitarbeitende einen Vorfall ohne Umwege melden.
Wurde eine unerwartete Anmeldung bereits bestätigt, reicht die Annahme „Ich habe mein Passwort niemandem verraten“ als Entwarnung nicht aus. Informieren Sie unverzüglich die zuständige IT. Sie sollte den Zugriff einordnen und erforderliche Maßnahmen wie das Beenden verdächtiger Sitzungen prüfen.
Ein sinnvoller erster Schritt für Ihr Unternehmen
Nehmen Sie eine zehnminütige Übung in die nächste Teambesprechung auf. Benennen Sie dabei auch einen festen Meldeweg. So entsteht aus einer aktuellen Angriffsmeldung eine nachvollziehbare Handlung im Alltag.
Sigma-IT unterstützt Sie bei der Absicherung Ihrer Microsoft-365-Umgebung und bei der Sensibilisierung Ihrer Mitarbeitenden. Sprechen Sie mit uns über Ihren Schutz vor Phishing.