Device-Code-Phishing: Wie Angreifer dein Microsoft-365-Konto ohne Passwort kapern – und die Zwei-Faktor-Anmeldung umgehen
Es gibt eine Phishing-Masche, die ohne gefälschte Webseite und ohne dein Passwort auskommt – und die trotzdem an deiner Zwei-Faktor-Anmeldung vorbeikommt. Sie missbraucht einen echten Microsoft-Login-Weg, und weil fertige Baukästen die Technik inzwischen anbieten, können sie selbst unerfahrene Täter einsetzen. Für alle mit einem Microsoft-365-Konto – privat wie im Betrieb – ist das ein wachsendes Risiko.
Das Wichtigste in Kürze
- Device-Code-Phishing kapert Microsoft-365-Konten, ohne das Passwort abzugreifen – und umgeht dabei die normale Zwei-Faktor-Anmeldung.
- Die Masche missbraucht einen echten Microsoft-Login-Weg; es gibt keine gefälschte Seite, was sie schwer erkennbar macht.
- Der Trick: Du wirst dazu gebracht, einen Code auf einer echten Microsoft-Seite einzugeben und zu bestätigen – die Zugangs-Token landen beim Angreifer.
- Fertige Phishing-Baukästen (unter anderem Tycoon2FA) bieten die Technik an, sodass auch unerfahrene Täter sie nutzen können.
- Wichtigste Regel: Gib niemals einen Anmelde-Code ein, den dir jemand geschickt hat und den du nicht selbst ausgelöst hast.
Was ist Device-Code-Phishing?
Device-Code-Phishing ist eine Betrugsmasche, die einen legitimen Anmelde-Weg von Microsoft ausnutzt, um Zugang zu einem Konto zu bekommen – ohne das Passwort jemals zu sehen. Sicherheitsforscher von LevelBlue beschreiben, wie die Angriffe gerade stark zunehmen.
Zum Verständnis hilft der legitime Hintergrund: Der „Device Code Flow" ist eigentlich für Geräte gedacht, auf denen man schlecht tippen kann – etwa ein Smart-TV oder ein Drucker. Statt dort ein langes Passwort einzugeben, zeigt das Gerät einen kurzen Code an. Den tippt man auf einer echten Microsoft-Seite ein und bestätigt die Anmeldung am Handy oder Computer.
Genau diesen Ablauf drehen die Täter um: Sie starten die Anmeldung auf ihrer Seite, erhalten dadurch den kurzen Code und bringen dich per Nachricht dazu, diesen Code auf der echten Microsoft-Seite einzugeben und zu bestätigen. Microsoft händigt die Zugangsschlüssel – die sogenannten Token – demjenigen aus, der die Anmeldung gestartet hat. Und das ist in diesem Fall der Angreifer.
Warum diese Masche so gefährlich ist
Drei Eigenschaften machen Device-Code-Phishing besonders heimtückisch:
- Keine gefälschte Seite. Du landest auf einer echten Microsoft-Adresse. Die üblichen Warnzeichen – seltsame URL, schlechtes Design – fehlen komplett.
- Die Zwei-Faktor-Anmeldung hilft nicht. Du bestätigst eine echte, korrekte Anmeldung. Dein zweiter Faktor winkt sie durch, weil aus seiner Sicht alles stimmt.
- Dauerhafter Zugang. Mit den erbeuteten Token – vor allem dem „Refresh-Token", das neue Schlüssel nachliefert – bleibt der Angreifer oft lange im Konto. Von dort aus kann er Daten abgreifen, weitere Phishing-Mails verschicken und sich im Unternehmen umsehen.
Ein Token ist dabei nichts anderes als ein digitaler Schlüssel, den ein Dienst nach erfolgreicher Anmeldung ausstellt, damit man sich nicht ständig neu einloggen muss. Wer ihn besitzt, ist drin – ganz ohne Passwort.
Warum das Problem gerade explodiert
Neu ist die Technik nicht, neu ist ihre Verbreitung. Laut LevelBlue haben gängige Phishing-Baukästen die Device-Code-Funktion eingebaut – darunter Plattformen wie Tycoon2FA, EvilTokens und Kali365. Solche Baukästen werden als fertiger Dienst vermietet, teils mit Partnerprogrammen. Das senkt die Hürde drastisch: Auch ohne technisches Können lassen sich damit gezielte Angriffe starten.
Wie hartnäckig dieses Geschäft ist, zeigt Tycoon2FA: Der Baukasten startete 2023 als einfaches Werkzeug zum Abgreifen von Zugangsdaten und entwickelte sich zu einer der ausgefeiltesten Plattformen ihrer Art. Selbst nach einer gemeinsamen Abschaltaktion von Europol und Microsoft im März 2026 war er binnen weniger Wochen wieder aktiv – nun zusätzlich mit der Device-Code-Funktion. Dass viele Baukästen inzwischen KI-Funktionen mitbringen, verschärft die Lage. Wie Angreifer KI generell einsetzen, vertieft der Beitrag dazu, wie Cyberkriminelle künstliche Intelligenz nutzen.
So erkennst du den Angriff
Das entscheidende Warnsignal ist einfach: Du bekommst unerwartet eine Nachricht – per E-Mail, Teams-Chat oder Messenger –, die dich auffordert, eine Microsoft-Anmeldeseite zu öffnen und dort einen mitgelieferten Code einzugeben. Oft mit Zeitdruck oder einem plausibel klingenden Vorwand wie einer angeblichen Sicherheitsprüfung.
Merksatz: Ein Anmelde-Code gehört nur dann eingegeben, wenn du die Anmeldung selbst gerade an einem Gerät vor dir gestartet hast. Einen Code, den dir jemand schickt oder durchgibt, gibst du nie ein – egal wie offiziell die Nachricht wirkt.
Die Masche ähnelt im Aufbau anderen Ködern, die mit echten Logos und Zeitdruck arbeiten, etwa gefälschten Warnungen per Anruf und SMS. Der gemeinsame Nenner: Du sollst unter Druck etwas bestätigen.
So schützt du dich und deinen Betrieb
Gegen Device-Code-Phishing hilft eine Mischung aus Verhalten und Technik:
- Keine fremden Codes eingeben. Die wichtigste Regel überhaupt: niemals einen Anmelde-Code eingeben, den du nicht selbst ausgelöst hast.
- Bei Aufforderungen misstrauisch werden. Jede Nachricht, die dich zu einer Code-Eingabe „zur Bestätigung" oder „zur Verifizierung" drängt, ist verdächtig – besonders mit Zeitdruck.
- Phishing-resistente Anmeldung nutzen. Sicherheitsschlüssel und Passkeys sind an das echte Gerät und die echte Adresse gebunden und lassen sich so nicht über diesen Umweg austricksen. Mehr dazu im Beitrag zum Hardware-Sicherheitsschlüssel als stärkstem Login-Tool.
- Zwei-Faktor bewusst einsetzen. Sie bleibt wichtig, ist aber nicht gegen jede Masche immun. Wie du sie richtig einrichtest, zeigt die Anleitung zur Zwei-Faktor-Anmeldung per Authenticator-App.
- Im Betrieb: den Login-Weg einschränken. Wer Microsoft 365 verwaltet, kann den Device-Code-Anmeldeweg dort sperren, wo er nicht gebraucht wird, und verdächtige Anmeldungen überwachen.
- Nach Verdacht Sitzungen beenden. Besteht der Verdacht, dass Token erbeutet wurden, sollten aktive Sitzungen abgemeldet und Passwörter erneuert werden. Das gehört zur Grundhygiene bei Zugangsdaten.
Für kleine Unternehmen ist Microsoft 365 oft das Herzstück der täglichen Arbeit – und damit ein lohnendes Ziel. Wie ein Betrieb ohne eigene IT-Abteilung solche Grundlagen aufsetzt, zeigt der Leitfaden für Selbstständige und kleine Unternehmen.
Häufige Fragen zu Device-Code-Phishing
Die wichtigsten Fragen kurz beantwortet:
Brauchen die Angreifer mein Passwort?
Nein. Das ist das Besondere: Die Masche greift kein Passwort ab, sondern die Zugangs-Token, die Microsoft nach einer bestätigten Anmeldung ausstellt. Deshalb hilft auch ein starkes Passwort allein hier nicht.
Schützt mich meine Zwei-Faktor-Anmeldung nicht?
Nicht zuverlässig. Weil du eine echte, korrekte Anmeldung bestätigst, wird der zweite Faktor mitbestätigt. Phishing-resistente Verfahren wie Sicherheitsschlüssel oder Passkeys bieten hier deutlich mehr Schutz.
Woran erkenne ich den Angriff?
An der Aufforderung, einen mitgelieferten Code auf einer Microsoft-Anmeldeseite einzugeben, obwohl du selbst gar keine Anmeldung gestartet hast. Häufig mit Zeitdruck oder einem Vorwand wie einer Sicherheitsprüfung.
Was ist ein Token?
Ein Token ist ein digitaler Schlüssel, den ein Dienst nach erfolgreicher Anmeldung ausstellt, damit man sich nicht ständig neu einloggen muss. Wer den Token besitzt, hat Zugriff auf das Konto – auch ohne Passwort.
Was kann ich als kleines Unternehmen tun?
Mitarbeitende für die Masche sensibilisieren, phishing-resistente Anmeldung einführen, den Device-Code-Anmeldeweg dort sperren, wo er nicht gebraucht wird, und bei Verdacht aktive Sitzungen beenden sowie Passwörter erneuern.
Was tun, wenn ich schon einen Code eingegeben habe?
Schnell handeln: das Passwort ändern, in den Kontoeinstellungen alle aktiven Sitzungen abmelden und – im Betrieb – die IT-Verantwortlichen informieren, damit erbeutete Token entwertet werden können.