Alte Sicherheit, neue Angriffsvektoren
Die Sicherheitslage bei Cloud-Authentifizierung ist komplexer geworden. Eine im Februar 2026 gestartete Phishing-as-a-Service-Plattform namens EvilTokens zeigt, wie etablierte Sicherheitsmechanismen ausgehebelt werden können – nicht durch technische Exploits, sondern durch psychologische Manipulation.
Innerhalb von nur fünf Wochen kompromittierte EvilTokens über 340 Microsoft-365-Organisationen in fünf Ländern. Das bemerkenswerte daran: Die Opfer durchliefen ihre normale Multi-Factor Authentication (MFA) vollständig, ohne dass etwas verdächtig wirkte.
Das Konzept: OAuth-Tokens statt Passwörter
Die Methode funktioniert über einen klassischen Social-Engineering-Ansatz mit technischem Twist. Benutzer erhalten eine Nachricht mit der Aufforderung, einen Code auf microsoft.com/devicelogin einzugeben. Das ist ein legitimer Microsoft-Authentifizierungsflow – die Device-Login-Methode, die vor allem bei Apps ohne Browser-Zugang verwendet wird.
Die Angreifer leiten Nutzer zu einem gefälschten Portal, wo diese tatsächlich auf die echte Microsoft-Seite geleitet werden und ihre MFA erfolgreich abschließen. Das System funktioniert deshalb so gut, weil:
- Die MFA-Challenge ist echt (nicht gehackt)
- Der Benutzer erhält eine Bestätigung, die legitim aussieht
- Im Hintergrund wird aber ein OAuth-Token generiert und an die Angreifer übertragen
Das Token ermöglicht vollständigen Zugriff auf das Microsoft-365-Konto – mit den gleichen Berechtigungen wie der echte Benutzer.
Das eigentliche Problem
Der kritische Punkt: OAuth-Tokens sind nicht an das Gerät oder die Anwendung gebunden, auf dem sie ausgestellt wurden. Ein gestohlen Token funktioniert überall – unabhängig davon, wo es verwendet wird. Das macht die Device-Login-Methode zur idealen Angriffsoberfläche.
Microsoft und andere Identity-Provider verlassen sich hier auf die Annahme, dass der Benutzer selbst bestätigt, was er gerade authentifiziert. Aber genau hier setzt die psychologische Komponente an: Der Nutzer sieht eine vertraute Microsoft-Oberfläche und einen authentischen MFA-Prozess – und klickt auf "Bestätigen".
Was bedeutet das für die Praxis?
Die EvilTokens-Kampagne zeigt eine wichtige Erkenntnis: MFA ist nicht das Ende der Sicherheitskette, sondern ein Punkt darin. Token-Theft durch Social Engineering bleibt einer der wirksamsten Angriffsvektoren gegen Cloud-Infrastrukturen.
Organisationen sollten zusätzliche Sicherheitsschichten implementieren – etwa Anomaliedetektion bei Token-Verwendung, geografische Beschränkungen oder Conditional Access-Policies, die ungewöhnliche Login-Muster flaggen.