Cyberkriminelle entwickeln ihre Methoden stetig weiter – insbesondere beim Phishing: Eine neue Welle betrügerischer E-Mails nutzt scheinbar legitime Microsoft-Absenderadressen, um selbst versierte Nutzer zu täuschen. Dieser Artikel zeigt, wie dieser perfide Angriff funktioniert, woran Betroffene ihn erkennen können und wie Unternehmen sowie Privatpersonen sich effektiv schützen.
Phishing mit Microsoft-Absender: Die neue Qualität der Täuschung
Phishing ist kein neues Phänomen – doch seine Ausprägungen erreichen eine bislang unbekannte Raffinesse. Seit 2023 mehren sich Berichte über Angriffe, bei denen täuschend echte E-Mails von vermeintlichen Microsoft-Absenderadressen wie no-reply@microsoft.com oder security-update@microsoft365support.com verschickt werden. Besonders tückisch: Die Angreifer nutzen authentische SMTP-Server, unterwandern legitime E-Mail-Konten – teils durch vorherige Angriffe – oder nutzen sogenannte E-Mail-Spoofing-Techniken, die eine echte Microsoft-Domain imitieren.
Laut dem Microsoft Digital Defense Report 2025 identifizierte Microsoft im Jahr 2024 über 38 Millionen Phishing-E-Mails täglich, wobei über 4 Millionen davon als speziell auf Office 365-Nutzer zugeschnitten bezeichnet wurden. Dabei setzen Angreifer gezielt auf Social Engineering, um Nutzer zur Preisgabe ihrer Anmeldedaten oder zur Ausführung von Malware zu bewegen.
Wie diese Phishing-Angriffe funktionieren
Die aktuelle Welle von Microsoft-Phishing basiert auf mehreren ineinandergreifenden Elementen:
- Gefälschte Authentizität durch Domain-Imitation: Die Absenderdomäne wirkt auf den ersten Blick echt und nutzt beispielsweise homographische Varianten wie „micròsoft.com“ oder kompromittierte Microsoft-Partnerdomains.
- Vertraute Designs und Tonalität: Die Phishing-E-Mails imitieren bekannte Microsoft-Vorlagen mit korrekten Logo-Platzierungen, Corporate Language und einem Aufbau, der z. B. den Ablauf einer Zwei-Faktor-Authentifizierung oder einer Datenrichtlinienänderung darstellt.
- Zielgerichtete Inhalte: In spearfishing-ähnlicher Manier passen Kriminelle Betreffzeile, Namen und Absender oft individuell an. In Unternehmenskontexten werden sogar echte Kalendertermine imitiert.
Eine besonders heimtückische Technik ist dabei das sogenannte „Consent Phishing“: Hierbei wird der Nutzer nicht direkt nach Passwortdaten gefragt, sondern zu einer legitimen Microsoft-Login-Seite weitergeleitet, wo er einer bösartigen App Zugriff auf sein Microsoft-Konto gewährt – inklusive Mailbox, Laufwerken und Kontakten.
Fallbeispiel: Angriff auf ein deutsches mittelständisches Unternehmen
Ein konkreter Vorfall wurde 2025 von der Baden-württembergischen IT-Sicherheitsfirma SySS AG dokumentiert. Ein mittelständisches Maschinenbauunternehmen erhielt eine E-Mail mit dem Betreff „Dringende Office365-Sicherheitsüberprüfung erforderlich“. Die Nachricht stammte angeblich von admin@office365.microsoft.com und enthielt einen Link zur Freigabe einer neuen App namens „SecuritySettingsUpdate“. Da die Domäne korrekt wirkte und ein echter Microsoft-Login aufgerufen wurde, klickte ein Mitarbeiter auf „Zugriff gewähren“.
In den folgenden 48 Stunden wurde das gesamte E-Mail-Postfach gespiegelt, Kundendaten exportiert und versuchsweise ein Passwortänderungsversuch über die Microsoft Graph API durchgeführt. Die Incident-Response-Kosten beliefen sich auf über 42.000 Euro, hinzu kamen Reputationsverluste und Meldepflichten gemäß DSGVO.
Erkennungsmerkmale verdächtiger Microsoft-E-Mails
Selbst erfahrene Administratoren tun sich oft schwer, Phishing-Mails sofort zu entlarven. Dennoch existieren einige typische Warnzeichen:
- Dringlichkeit und Handlungsdruck: Aufforderungen wie „Ihr Konto läuft ab“ oder „Sicherheitsprobleme erkannt“ sind häufige Köder.
- Ungewöhnliche URL-Verlinkungen: Ein Mouse-over über den Link zeigt oft kryptische oder von der Microsoft-Domäne abweichende URLs.
- Falscher DKIM- und SPF-Eintrag: IT-Administratoren können über E-Mail-Header prüfen, ob der Versand authentisch ist.
- Kleine sprachliche Abweichungen: Einige Texte wirken maschinell erzeugt oder enthalten subtile Grammatikfehler.
Zusätzlich bietet Microsoft selbst den Microsoft 365 Defender Threat Explorer: Dort können auffällige Mails analysiert und verdächtige Trends identifiziert werden.
Empfohlene Schutzmaßnahmen für Unternehmen und Privatpersonen
Die gute Nachricht: Mit gezielten Maßnahmen lässt sich das Risiko deutlich reduzieren. Basierend auf Empfehlungen der BSI, ENISA sowie Microsoft-Sicherheitsanalysten, empfehlen sich folgende Schritte:
- Zwei-Faktor-Authentifizierung (2FA) ausnahmslos aktivieren: Diese Maßnahme verhindert in der Mehrzahl der Fälle unautorisierten Zugriff nach Credential-Phishing.
- Admin-Consent-Workflow in Microsoft 365 einschränken: Privaten Apps oder unregistrierten Drittanbieterdiensten sollte kein automatischer Zugriff erlaubt werden.
- Mail-Gateways mit KI-basiertem Threat Detection aktivieren: Moderne Systeme wie Microsoft Defender for Office 365 oder Proofpoint erkennen verdächtige Signaturen in Echtzeit.
Zahlreiche Bedrohungen – trotzdem hohe Informationslücken
Obwohl Microsoft regelmäßig gegen Angriffe vorgeht – beispielsweise wurden 2024 über 6.700 gefälschte Domains im Microsoft-Umfeld abgeschaltet (Quelle: Microsoft Transparency Hub) – bleibt die Bedrohungslage hoch. Laut einer Umfrage des Verbands Bitkom aus dem Jahr 2025 gaben 32 % der Unternehmen an, in den letzten 12 Monaten Opfer eines Phishing-Angriffs geworden zu sein. Bemerkenswert: 41 % davon konnten den Angriff zunächst nicht als solchen erkennen.
Diese Unsicherheit unterstreicht den Bedarf nach kontinuierlicher Schulung und Sensibilisierung, vor allem in hybriden oder vollständig remote arbeitenden Organisationen. Laut ENISA steigen Phishing-Versuche in Cloud-basierten Umgebungen jährlich um rund 14 %.
Expertenstimmen: Was sagen Profis aus der IT-Sicherheitswelt?
Dr. Sonja Leitner, Senior Threat Analyst bei G DATA CyberDefense, beobachtet eine zunehmende Professionalisierung der Angriffe: „Phishing-Kampagnen mit Microsoft-Branding sind heute so ausgefeilt, dass simple Merkregeln nicht mehr ausreichen. Unternehmen müssen ihre Belegschaft fortlaufend fortbilden und technische Schutzsysteme intelligent koppeln.“
Auch Prof. Dr. Jens Meier vom Institut für Angewandte Informationssicherheit (IAI) warnt: „Consent-Phishing ist deswegen so gefährlich, weil es technisch kaum als Angriff erkennbar ist. Nur durch restriktive App-Freigaberichtlinien und aufmerksames Monitoring kann man sich wirksam schützen.“
Fazit: Phishing ist ein Dauerproblem – aber kein Zufallsschicksal
Die neuen Microsoft-Phishing-Wellen zeigen: Bedrohungsakteure adaptieren schnell und setzen auf psychologische Muster, um Vertrauen zu erlangen. Wer sich jedoch mit der Dynamik dieser Angriffe auseinandersetzt, fundierte Schutzmaßnahmen trifft und seine IT-Infrastruktur kontinuierlich pflegt, kann das Risiko signifikant senken.
- Aktualisieren Sie regelmäßig Ihre Sicherheitsrichtlinien und berücksichtigen Sie neue Angriffsformen wie Consent Phishing.
- Richten Sie ein internes Security Incident Response Team ein oder unterhalten Sie Serviceverträge mit entsprechenden Dienstleistern.
- Führen Sie mindestens vierteljährliche Social-Engineering-Trainings durch – mit realitätsbasierten Phishing-Simulationen.
Cybersicherheit ist kein Projekt, sondern ein Prozess. Diskutieren Sie mit uns in den Kommentaren: Haben Sie bereits selbst Erfahrungen mit Microsoft-Phishing gemacht oder wirksame Verteidigungsstrategien entwickelt? Teilen Sie Ihr Wissen mit der Community!
