Was passiert
Unit 42, das Threat-Intelligence-Team von Palo Alto Networks, hat eine koordinierte Voice-Phishing-Kampagne namens Spring Ring dokumentiert, die zwischen Januar und April 2026 aktiv war. Die Angreifer nutzten manipulierte Microsoft Teams-Konten als Hauptvektor für ihre Angriffe und richteten externe Teams-Tenants ein, deren Namen gezielt bestehende interne IT-Support-Strukturen imitieren sollten.
Die Kampagne erreichte nachweislich mehr als 150 Mitarbeiter in über 10 Unternehmen verschiedener Branchen. Das Angriffsmodell folgte dabei einem konsistenten Muster: Die Angreifer kontaktierten Zielemployees über die gefälschten Teams-Accounts und präsentierten sich als interne IT-Support-Mitarbeiter. Das Vertrauen in diese vermeintliche Autorität nutzten sie dann gezielt aus, um ihre Opfer zu weiteren Aktionen zu bewegen – entweder zur Installation von Schadsoftware oder zur Gewährung von Remote-Zugriff auf die Unternehmenscomputer.
Das besondere an dieser Kampagne war die Wahl des Delivery-Kanals: Microsoft Teams ist im Unternehmensalltag so ubiquitär und vertrauenswürdig, dass die Unterscheidung zwischen echten und gefälschten Accounts für normale Mitarbeiter sehr schwierig ist. Besonders tückisch ist dabei, dass die Angreifer nicht auf die Infrastruktur der eigentlich kompromittierten Microsoft Teams-Umgebung angewiesen waren – sie registrierten externe Tenants und verließen sich darauf, dass die Zielorganisationen keine hinreichenden Kontrollen zur Verifizierung intern eingehender Nachrichten hatten.
Die Zeitspanne von vier Monaten deutet auf eine organisierte Operation hin, die systematisch vorgegangen ist. Die Angreifer führten klassische Vishing-Techniken (Voice-Phishing) durch – also verbale Manipulation kombiniert mit schriftlicher Bestätigung über Teams. Dadurch entstand ein Multiplex-Manipulationsraum, in dem die psychologische Hebelwirkung verstärkt wurde. Die Opfer bekamen von vermeintlich vertrauenswürdiger Stelle Anweisungen, die unmittelbar einen Sicherheitsgrund zu haben schienen.
Einordnung
Microsoft Teams ist mit weltweit über 300 Millionen monatlichen Nutzern eine der meistgenutzten Enterprise-Collaboration-Plattformen. Diese Verbreitung macht Teams gleichzeitig zu einem attraktiven Ziel für Angreifer – nicht weil die Plattform selbst unsicher ist, sondern weil sie als Vertrauensquelle innerhalb von Organisationen funktioniert. Phishing-Kampagnen haben sich in den letzten Jahren systematisch von E-Mail zu messengerbasierten Kanälen verschoben, weil diese eine höhere Erfolgsquote bei Täuschung bieten.
Vishing ist dabei älter als digitale Phishing: Angreifer haben schon lange versucht, Mitarbeiter per Anruf zu manipulieren, um Zugangsdaten oder sensitive Informationen zu bekommen. Spring Ring ist eine Modernisierung dieser Technik – sie verbindet klassische Voice-Phishing mit der Effizienz und Skalierbarkeit digitaler Kommunikationsplattformen. Ein menschlicher Anruf lässt sich nur schwer automatisieren; ein gefälschter Teams-Account ermöglicht Massenkampagnen mit pseudo-persönlichem Touch.
Die Taktik der Angreifer, externe Tenants zu registrieren und diese mit Namen zu versehen, die interne Strukturen nachahmen, zeigt, dass die bloße Präsenz auf einer Plattform bereits ausreicht – es gebraucht keine Kompromittierung der eigentlichen Microsoft-Infrastruktur oder Authentifizierungssysteme der Zielunternehmen. Das ist ein kritischer Erkenntnisgewinn: Viele Organisationen setzen auf starke technische Kontrollen bei E-Mail, aber Teams wird oft weniger streng überwacht, weil es als "interne" Plattform wahrgenommen wird.
Als Kontext: Vishing-Kampagnen haben 2025 und 2026 deutlich zugenommen, weil Large Language Models es einfacher machten, überzeugende schriftliche Manipulationen zu verfassen, und weil gleichzeitig die E-Mail-Sicherheit technisch versperrt wurde. Teams, Slack, Discord und ähnliche Plattformen wurden dadurch zur neuen Grenze des sozialen Engineerings.
Was das bedeutet
Spring Ring belegt eine grundsätzliche Wahrheit im modernen Threat-Landscape: Technische Sicherheit ist notwendig, aber nicht hinreichend. Ein externer Teams-Account braucht keine Authentifizierungscodes zu knacken oder Zero-Days auszunutzen – er braucht nur Zugang zur Aufmerksamkeit einer Person.
Für Organisationen ergibt sich daraus ein operativer Handlungsbedarf, der über technische Controls hinausgeht. Teams-Tenants mit realistischen Firmennamen lassen sich nicht durch Firewalls blockieren. Die Verteidigung muss auf zwei Ebenen stattfinden: Erstens durch Schulung – Mitarbeiter müssen trainiert werden, zu verstehen, dass interne IT-Support-Anfragen üblicherweise über etablierte, verifizierbare Kanäle laufen und nicht über spontane Teams-Kontakte. Zweitens durch organisatorische Kontrollen wie definierte Prozesse für Support-Anfragen, die zwingend erfordern, dass Mitarbeiter die Anfrage über bekannte Nummern oder interne Ticketing-Systeme verifizieren, bevor sie handeln.
Das zentrale Learning ist: Wo technische Systeme zu Vertrauensfunktionen werden, können Angreifer dieses Vertrauen direkt ausnutzen. Microsoft Teams ist nicht das Problem – aber die mangelnde Infrastruktur zur Verifizierung von Identitäten innerhalb von Teams ist es.
