Device-Code-Phishing: M365-Konten durch DEBULL angegriffen

Eine aktuelle Phishing-Kampagne nutzt den legitimen Microsoft Device-Code-Flow, um M365-Konten zu übernehmen. Erfahren Sie, wie die Angreifer vorgehen u…

Was ist der Device-Code-Flow und warum wird er missbraucht?

Der Device-Code-Flow ist ein legitimer Authentifizierungsmechanismus von Microsoft, der für Geräte ohne Browser entwickelt wurde. Statt eines Passworts zeigt das Gerät einen Code an, den der Nutzer auf einem anderen Gerät eingibt. Genau diesen Mechanismus nutzen die Angreifer der DEBULL-Kampagne. Sie benötigen keine gefälschte Passwortseite – der gesamte Prozess spielt sich auf offiziellen Microsoft-Seiten ab. Das macht die Erkennung für herkömmliche Sicherheitslösungen extrem schwierig.

Die Kampagne wurde zwischen Ende Juni 2026 und Anfang Juli 2026 beobachtet. Laut dem Sicherheitsforscher ZeroBEC setzten die Angreifer auf sogenannte Collaboration-Lures – also Köder, die aussehen wie Einladungen zu Team-Meetings oder gemeinsamen Dokumenten. Ein typisches Szenario: Sie erhalten eine E-Mail mit dem Betreff „Gemeinsames Projekt – Ihre Teilnahme erforderlich“. Klicken Sie auf den Link, landen Sie auf einer Seite, die vorgibt, eine Microsoft-Anmeldung zu benötigen.

Dort wird Ihnen ein Code angezeigt, den Sie auf der offiziellen Microsoft-Seite https://microsoft.com/devicelogin eingeben sollen. Tun Sie das, gewähren Sie den Angreifern Zugriff auf Ihr Konto – ohne es zu merken.

Wie läuft der Angriff genau ab?

Der Angriff erfolgt in mehreren Schritten: Zunächst erstellt der Angreifer eine legitime Device-Code-Anfrage bei Microsoft. Er erhält einen Code und eine URL. Dann verschickt er eine Phishing-E-Mail mit einem Link zu einer Seite, die den Code anzeigt. Der Link führt nicht zu Microsoft, sondern zu einer täuschend echten Kopie einer Kollaborationsplattform. Dort wird der Nutzer aufgefordert, den Code auf der echten Microsoft-Seite einzugeben.

Was dann passiert? Der Nutzer gibt den Code ein und meldet sich auf der offiziellen Microsoft-Seite an. Der Angreifer erhält daraufhin ein Access-Token, mit dem er auf E-Mails, Dateien und sogar auf Microsoft 365-Dienste zugreifen kann. Das Token ist gültig, bis es widerrufen wird – oder bis der Angreifer es weiterverwendet.

Das Heimtückische: Da die Anmeldung auf einer legitimen Microsoft-Seite stattfindet, schlagen keine Phishing-Filter an. Auch Multi-Faktor-Authentifizierung (MFA) schützt nur bedingt, denn der Code selbst ist Teil des MFA-Prozesses.

Warum herkömmliche Schutzmaßnahmen versagen

Die meisten Unternehmen setzen auf E-Mail-Filter, die bekannte Phishing-Links blockieren. Doch hier führen die Links nicht zu einer gefälschten Microsoft-Seite – sie sind harmlose Zwischenseiten. Der eigentliche Schaden entsteht erst durch die Interaktion mit Microsoft selbst.

Ein weiteres Problem: Viele Mitarbeiter sind geschult, keine Passwörter auf unbekannten Seiten einzugeben. Hier geben sie aber gar kein Passwort ein, sondern nur einen Code auf einer vertrauten Seite. Das unterläuft jede Security-Awareness-Schulung.

ZeroBEC berichtet, dass die Kampagne gezielt auf Führungskräfte und Projektmanager abzielte – also Personen mit Zugriff auf vertrauliche Daten. Die Angreifer nutzten die erbeuteten Konten, um weitere Phishing-E-Mails innerhalb des Unternehmens zu versenden. So breitete sich der Angriff wie ein Lauffeuer aus.

Wie Sie sich schützen können – praktische Tipps

Sie müssen verstehen: Der Device-Code-Flow ist nicht böse, aber er wird missbraucht. Microsoft selbst empfiehlt, den Flow nur für Geräte ohne Browser zu aktivieren. Prüfen Sie in Ihrem Sicherheits-Dashboard, ob der Device-Code-Flow für Ihre gesamte Organisation aktiviert ist. Deaktivieren Sie ihn für alle Benutzer, die ihn nicht zwingend benötigen.

Zweitens: Schulen Sie Ihre Mitarbeiter spezifisch zu dieser Angriffsform. Zeigen Sie ihnen, wie ein legitimer Device-Code-Ablauf aussieht und dass sie niemals einen Code eingeben sollten, der per E-Mail oder Chat kommt. Ein Code gehört auf das Gerät, das ihn angefordert hat.

Drittens: Nutzen Sie Conditional Access Policies. Sie können festlegen, dass bestimmte Apps oder Aktionen nur von vertrauenswürdigen Geräten oder Standorten ausgeführt werden dürfen. Das erschwert es Angreifern, mit gestohlenen Tokens Schaden anzurichten.

Viertens: Überwachen Sie Ihre Authentifizierungslogs auf ungewöhnliche Device-Code-Anmeldungen. Tools wie Microsoft Sentinel können dabei helfen, Anomalien zu erkennen.

Eine unbequeme Wahrheit

Die DEBULL-Kampagne zeigt: Selbst die besten technischen Schutzmaßnahmen sind nutzlos, wenn die Angreifer den legitimen Authentifizierungsprozess nutzen. Das ist nicht nur ein Problem von Microsoft – auch andere Dienste wie Google oder Dropbox bieten ähnliche Flows. Die Sicherheitsbranche muss umdenken.

Der einfachste Schutz ist: Vertrauen Sie keinem Code, den Sie nicht selbst auf Ihrem Gerät erzeugt haben. Klingt banal, aber genau das ist der Schwachpunkt. Wenn Sie das nächste Mal eine E-Mail mit der Bitte um Code-Eingabe sehen, halten Sie inne. Fragen Sie sich: Habe ich diesen Code angefordert? Wenn nicht, löschen Sie die E-Mail sofort.

Kein Unternehmen ist immun. Aber mit den richtigen Maßnahmen können Sie das Risiko drastisch senken. Fangen Sie heute an – die Angreifer warten nicht.