Phishing-Mails gibt es seit Jahren – aber was aktuell auf Microsoft-365-Konten abzielt, ist eine andere Liga. Das FBI hat im Mai 2026 eine öffentliche Warnung herausgegeben, das Bundesamt für Sicherheit in der Informationstechnik (BSI) zieht mit. Die Besonderheit: Die Angreifer brauchen weder Ihr Passwort noch müssen sie Ihren zweiten Faktor abfangen. Trotzdem sitzen sie danach in Ihrem Konto.
Was ist passiert?
Seit April 2026 ist auf Telegram ein Angreifer-Werkzeug namens Kali365 im Umlauf – ein sogenanntes „Phishing-as-a-Service“-Kit. Das bedeutet: Kriminelle mieten sich eine fertige Angriffs-Infrastruktur, komplett mit KI-generierten Phishing-Mails, automatisierten Kampagnen-Vorlagen und Echtzeit-Dashboards zur Opferverfolgung. Technisches Vorwissen ist kaum nötig.
Kali365 nutzt den sogenannten OAuth Device Code Flow – einen legitimen Microsoft-Anmeldeprozess, der eigentlich für Smart-TVs oder Kommandozeilentools gedacht ist. Das Opfer landet dabei auf der echten Microsoft-Seite, meldet sich mit echtem Passwort und echtem zweiten Faktor an – und autorisiert dabei unwissentlich den Computer des Angreifers. Microsoft sieht einen gültigen Login. Der Angreifer bekommt ein dauerhaftes Zugriffstoken, das monatelang gültig bleibt – ein nachträgliches Passwort-Ändern hilft dann nicht mehr.
Parallel läuft das ähnlich aufgebaute Kit EvilTokens, das laut Sicherheitsforschern bereits über 300 Organisationen in fünf Ländern kompromittiert hat – darunter auch Deutschland.
Wer ist betroffen?
Im Fokus stehen Unternehmen, die Microsoft 365 (Outlook, Teams, OneDrive, SharePoint) nutzen – also die überwältigende Mehrheit des deutschen Mittelstands. Laut Huntress Research waren bereits im März 2026 Firmen aus Bau, Fertigung, Finanzdienstleistungen, Gesundheitswesen und Rechtsbranche betroffen. Die Phishing-Mails sind inzwischen sprachlich einwandfrei und oft täuschend echt an den Kontext des Empfängers angepasst – ein Hinweis auf den Einsatz von KI bei der Erstellung.
Typische Betreffzeilen lauten: „Ein Kollege hat ein Dokument mit Ihnen geteilt“, „Bestätigen Sie den Zugriff auf diese Datei“ oder „Sicherheitshinweis: Bitte bestätigen Sie Ihr Gerät“.
Was Sie jetzt tun sollten
- Device Code Flow einschränken oder sperren: In Microsoft Entra (Azure Active Directory) lässt sich per Conditional-Access-Richtlinie der Device Code Flow für alle Nutzer blockieren. Das FBI empfiehlt dies ausdrücklich als wichtigste Einzelmaßnahme. Ausnahmen nur dort, wo er technisch zwingend benötigt wird.
- Aktive Sitzungen und OAuth-Tokens prüfen: Melden Sie sich im Microsoft-365-Admin-Center an und kontrollieren Sie unter „Aktive Sitzungen“ und in Entra ID, welche Geräte und Apps aktuell Zugriff haben. Unbekannte Einträge sofort entfernen.
- Postfach-Regeln kontrollieren: Angreifer legen nach dem Einbruch oft versteckte Postfachregeln an, die E-Mails automatisch weiterleiten oder löschen. Prüfen Sie dies in Outlook unter Einstellungen → Regeln und im Exchange Admin Center.
- Mitarbeiter sensibilisieren: Zeigen Sie Ihrem Team konkret, wie eine solche Mail aussieht – insbesondere den achtstelligen Code und die Aufforderung, ihn auf microsoft.com/devicelogin einzugeben. Keine legitime Microsoft-Benachrichtigung fordert dazu auf, einen solchen Code einzugeben.
- Verdacht sofort melden: Wer eine solche Mail erhalten oder den Code bereits eingegeben hat, muss sofort die IT-Abteilung oder den externen IT-Dienstleister informieren. Zeit ist entscheidend – nur das Widerrufen des Tokens unterbricht den Angreifer-Zugriff zuverlässig.
Wie wir helfen
Chiemtec unterstützt Sie dabei, die genannten Schutzmaßnahmen in Ihrer Microsoft-365-Umgebung einzurichten: von der Conditional-Access-Konfiguration über die Token-Prüfung bis zur gezielten Mitarbeiterschulung. Sprechen Sie uns an – gerne auch für eine schnelle Erstbewertung Ihrer aktuellen Einstellungen.