Ja, das ist möglich, und es ist kein Versäumnis Ihrer IT. Der zweite Sicherheitsschritt bei der Anmeldung schützt gegen gestohlene Passwörter — er schützt nicht gegen einen Angreifer, der die fertige Anmeldung selbst übernimmt, sich eine App genehmigen lässt oder einfach beim Service-Desk anruft. Vier Wege führen an MFA vorbei. Alle vier lassen sich schließen, und die ersten Schritte kosten kein Budget.
Dienstagmorgen, die Buchhaltung meldet eine Rechnung mit geänderter Bankverbindung, versendet aus dem Postfach der Geschäftsführerin. MFA ist seit einem Jahr für alle Konten aktiv. Trotzdem ist jemand drin gewesen.
Diese Situation kommt häufiger vor, als die Statistik vermuten lässt, und sie führt fast immer zu derselben Frage: Wozu der ganze Aufwand, wenn es trotzdem passiert? Die Antwort ist unspektakulär. MFA hat genau das getan, wofür es gebaut ist — es hat das Passwort wertlos gemacht. Angreifer haben sich daraufhin andere Wege gesucht.
Wie kommen Angreifer an MFA vorbei?
1. Die Anmeldesitzung wird abgefangen, nicht das Passwort
Der häufigste Weg heute: Eine täuschend echte Anmeldeseite schaltet sich zwischen Nutzer und Microsoft. Der Nutzer gibt Passwort und Bestätigung ein, beides wird in Echtzeit an Microsoft weitergereicht, die Anmeldung gelingt — und der Angreifer behält den Nachweis, dass die Anmeldung stattgefunden hat. Mit diesem Nachweis kommt er ohne Passwort und ohne zweiten Schritt ins Postfach, oft für Wochen. Für Ihre Systeme sieht das aus wie ein normaler Arbeitstag.
2. Eine Zusatz-App bekommt Zugriff — genehmigt vom Nutzer selbst
Hier wird kein Passwort gestohlen. Der Nutzer klickt einen Link, landet auf einer echten Microsoft-Seite und erlaubt einer App den Zugriff auf E-Mails und Dateien. Der zweite Sicherheitsschritt greift nicht, weil formal nichts Falsches passiert ist: Ein berechtigter Nutzer hat eine Genehmigung erteilt. Der Zugriff bleibt bestehen, auch wenn später das Passwort geändert wird.
3. Ein veralteter Anmeldeweg steht noch offen
Ältere Protokolle können den zweiten Schritt technisch gar nicht abfragen. Solange sie im Tenant erlaubt sind, genügt ein Passwort. Solche Wege bleiben oft offen, weil ein altes Gerät, ein Multifunktionsdrucker oder eine Fachanwendung sie noch braucht — und die Ausnahme, die einmal für ein Gerät gemacht wurde, gilt dann für alle.
4. Der Anruf beim Service-Desk
Jemand ruft an, gibt sich als Kollege aus, schildert einen dringenden Fall und bittet darum, den zweiten Sicherheitsschritt für sein Konto zurückzusetzen. Wer hilfsbereit ist, hilft. Diese Masche stand hinter mehreren der größten Angriffswellen der letzten Jahre und kostet den Angreifer keine Technik, sondern ein Telefonat.
Was jetzt zu tun ist, wenn es passiert ist
Die Reihenfolge ist wichtiger als die Geschwindigkeit. Ein neues Passwort allein reicht in keinem der vier Fälle aus — die bestehende Anmeldung des Angreifers läuft weiter.
- 1Alle aktiven Anmeldesitzungen des betroffenen Kontos beenden, dann erst das Passwort ändern und den zweiten Schritt neu einrichten.
- 2Prüfen, welche Zusatz-Apps auf das Konto zugreifen dürfen, und alles entfernen, was niemand bewusst genehmigt hat.
- 3Postfach auf automatische Weiterleitungen und neue Regeln prüfen — der klassische erste Handgriff nach einer Übernahme.
- 4Anmeldeprotokolle der letzten 30 Tage sichern, bevor sie ablaufen. Versicherer und Auditoren fragen danach.
- 5Prüfen, wer noch betroffen ist: dieselbe Nachricht ging selten an nur eine Person.
- 6Meldepflichten klären. Bei personenbezogenen Daten läuft eine Frist von 72 Stunden.
Was den nächsten Versuch ins Leere laufen lässt
Gegen alle vier Wege gibt es Gegenmaßnahmen, und die wirksamsten sind in den Lizenzen enthalten, die Sie bereits bezahlen.
| Weg des Angreifers | Was ihn stoppt |
|---|---|
| Abgefangene Anmeldesitzung | Anmeldung nur von verwalteten Geräten zulassen; Anmeldeverfahren, die an das Gerät gebunden sind (Passkey statt Code) |
| Zusatz-App mit Zugriff | Genehmigungen nur für geprüfte Anbieter zulassen, alles andere über eine Freigabe durch die Administration |
| Veralteter Anmeldeweg | Alte Protokolle tenant-weit abschalten; Ausnahmen nur für benannte Konten mit Ablaufdatum |
| Anruf beim Service-Desk | Schriftlich festgelegtes Verfahren für Rücksetzungen — wer darf es beantragen, welcher Nachweis ist nötig, wer gibt frei |
Der letzte Punkt kostet nichts außer einer halben Stunde und einer Festlegung. In den meisten Häusern steht nirgends, welchen Nachweis eine anrufende Person erbringen muss — unter Zeitdruck entscheidet dann jeder nach Gefühl. Genau darauf zielen diese Anrufe.
Was es kostet, es beim Passwortwechsel zu belassen
Bleibt die Anmeldesitzung des Angreifers bestehen, ist der Zugriff nach dem Passwortwechsel unverändert offen — nur fühlt sich die Lage jetzt sicher an. Fällt der Vorfall später erneut auf, beginnt die Aufarbeitung von vorn, diesmal mit lückenhaften Protokollen, weil die Aufbewahrungsfrist abgelaufen ist. Und gegenüber Versicherer und Kunden lässt sich ohne diese Protokolle nicht belegen, welche Daten betroffen waren — was regelmäßig teurer wird als der Vorfall selbst.
Häufige Fragen zum Thema
Wie kann man trotz MFA gehackt werden?+
Über vier Wege: eine in Echtzeit abgefangene Anmeldesitzung, eine vom Nutzer selbst genehmigte Zusatz-App, ein noch offener veralteter Anmeldeweg oder ein Anruf beim Service-Desk mit der Bitte, den zweiten Schritt zurückzusetzen. In keinem dieser Fälle wird MFA technisch gebrochen — es wird umgangen.
Reicht es, nach einem Vorfall das Passwort zu ändern?+
Nein. Eine bereits bestehende Anmeldesitzung des Angreifers läuft nach einem Passwortwechsel weiter. Zuerst müssen alle aktiven Sitzungen beendet und die Zugriffsrechte von Zusatz-Apps geprüft werden, danach folgt das neue Passwort.
Welche MFA-Methode ist am sichersten?+
Verfahren, die an das Gerät gebunden sind — Passkeys oder Sicherheitsschlüssel. Sie lassen sich nicht auf einer gefälschten Seite abfragen, weil sie prüfen, mit welcher Adresse sie tatsächlich sprechen. Codes per SMS oder App sind schwächer, aber immer noch deutlich besser als kein zweiter Schritt.
Wie merken wir überhaupt, dass jemand im Postfach war?+
Typische Anzeichen sind neue automatische Weiterleitungen, gelöschte Postfachregeln, Anmeldungen aus ungewöhnlichen Regionen und Nachrichten im Namen von Mitarbeitenden, die niemand geschrieben hat. Ohne laufende Überwachung fällt das meist erst auf, wenn ein Kunde nachfragt.
Müssen wir einen solchen Vorfall melden?+
Sind personenbezogene Daten betroffen, gilt eine Meldefrist von 72 Stunden ab Kenntnis. Ob der Fall meldepflichtig ist, hängt vom Einzelfall ab — die Bewertung gehört zusammen mit der Rechtsberatung und dem Versicherer geklärt, nicht im Nachhinein.
Wissen Sie, welche dieser vier Wege bei Ihnen offen sind?
Der Nexus.365 Security Scan prüft genau das — read-only, ohne Eingriff in den laufenden Betrieb. Festpreis und Enddatum stehen vor Beginn fest, das Erstgespräch ist unverbindlich.
Security Scan starten