Die Kurzfassung
Die Digital Crimes Unit von Microsoft hat EvilTokens zerschlagen, einen Abo-Dienst, der Kontoübernahme, KI-gestützte Postfachanalyse und Werkzeuge für Zahlungsbetrug in einem Produkt bündelte. Er wird mit mehr als 12.000 kompromittierten Postfächern in über 10.000 Organisationen in Verbindung gebracht. Gestützt auf einen Gerichtsbeschluss aus dem Eastern District of Virginia wurden 50 Websites und mehr als 150 unterstützende Domains abgeschaltet; die britische Polizei nahm zwei Verdächtige fest. Für Verteidiger zählt vor allem, wie der Dienst funktionierte: Device-Code-Phishing, das die Multi-Faktor-Authentifizierung aushebelte, und danach ein KI-Chatbot, der jedes gestohlene Postfach in fertige Angriffe vom Typ Business E-Mail Compromise (CEO-Fraud) verwandelte.
Die Lehre daraus lautet nicht „Phishing ist zurück“. Sie lautet: KI hat den Aufwand und das Können, die BEC-Betrug erfordert, drastisch gesenkt. Aufklärung, Zielauswahl und Identitätsvortäuschung, also die Teile, für die es früher einen geduldigen Menschen brauchte, laufen jetzt automatisiert. Wenn Ihre Identitätsarchitektur noch auf Passwort plus MFA setzt und E-Mails nach der Anmeldung als vertrauenswürdig behandelt, ist das genau die Kampagne, die dort durchkommt.
Was Microsoft bekanntgegeben hat und warum es wichtig ist
Nach Angaben von Microsoft beschlagnahmte die Digital Crimes Unit auf Beschluss des U.S. District Court for the Eastern District of Virginia 50 Websites, über die EvilTokens betrieben wurde, und nahm gemeinsam mit Partnern aus Industrie und Strafverfolgung mehr als 150 weitere Domains der Plattform-Infrastruktur vom Netz. Microsoft führt die Operation als Storm-2992 und bringt sie mit mehr als 12.000 kompromittierten Postfächern in über 10.000 Organisationen in Verbindung. Die Londoner Metropolitan Police nahm am 11. September im Zusammenhang mit dem Dienst zwei Männer im Alter von 32 und 38 Jahren fest.
Bemerkenswert an EvilTokens ist, dass es ein Produkt war und keine einmalige Kampagne. Der Dienst startete im Februar 2026, wurde über Telegram für 1.500 $ Einrichtungsgebühr plus 500 $ im Monat verkauft und bündelte Kontoübernahme, KI-Postfachanalyse und Betrugswerkzeuge in einem einzigen Abo. Es ist dieselbe Kommerzialisierung, die aus Ransomware „Ransomware-as-a-Service“ gemacht hat. Die Ermittler verfolgten rund 1,1 Mio. $ an Krypto-Einnahmen nach. Laut Microsoft wurde die Aktion mit Health-ISAC, Cloudflare, Coinbase, OpenAI, Railway, SpyCloud, der Shadowserver Foundation und TRM Labs abgestimmt.
Die Verteilung der Opfer ist vor allem für den Mittelstand eine Warnung. Laut Microsoft konzentrierten sich die Fälle auf die USA, Kanada, Großbritannien, Australien, Indien und Frankreich und reichten von Großhandel und Bauwesen bis zu Finanzdienstleistungen und Gesundheitswesen. Genau diese Unternehmen bewegen echtes Geld per E-Mail, also Rechnungen, Überweisungsanweisungen und Bestellungen, haben aber oft kein eigenes Identitäts- oder Betrugsteam auf FinTech-Niveau. Genau diese Lücke sollte EvilTokens zu Geld machen.
Wie Device-Code-Phishing die MFA aushebelt
Die Technik hinter EvilTokens missbraucht den OAuth-2.0-Device-Authorization-Flow, also den legitimen Mechanismus, mit dem man einen Smart-TV oder ein Kommandozeilen-Tool am eigenen Konto anmeldet, indem man auf dem Smartphone einen kurzen Code eintippt. Ein Phishing-Köder (eine Rechnung, eine Ausschreibung, eine geteilte Datei) führt das Opfer auf eine Seite, die im Hintergrund beim Identitätsanbieter von Microsoft einen gültigen Gerätecode anfordert. Das Opfer wird aufgefordert, diesen Code auf der echten Seite microsoft.com/devicelogin einzugeben und sich ganz normal anzumelden, einschließlich MFA.
Und hier liegt die Falle: Weil der Code zur Sitzung des Angreifers gehört, stellt der Identitätsanbieter Access- und Refresh-Token dem Angreifer aus, nicht dem Opfer. Der Nutzer hat alles richtig gemacht, echte Website, echte MFA-Abfrage, und trotzdem eine authentifizierte Sitzung aus der Hand gegeben. Klassische MFA hilft hier nicht, denn die Abfrage war echt; sie hat schlicht den falschen Client autorisiert. Schlimmer noch: Das gestohlene Refresh-Token gewährt auch nach einer Passwortänderung weiter Zugriff, bis die Sitzung oder das Token ausdrücklich widerrufen wird.
Den Rest erledigt die KI. Microsoft beschreibt einen KI-Chatbot, der in einem Postfach Kontakte aus Finanzabteilung und Geschäftsführung identifizierte, Verläufe zu Überweisungen und offenen Rechnungen herausfilterte und Nachrichten im Namen vertrauter Partner entwarf, um Zahlungen umzuleiten. Die Recherche- und Schreibarbeit, die ein erfahrener BEC-Betrüger früher von Hand erledigte (Organigramm lernen, Tonfall treffen, den richtigen Moment für die Bitte abpassen), entsteht jetzt auf Knopfdruck. Genau das bedeutet „KI-gestützt“ hier: keine klügere Schadsoftware, sondern Social Engineering im Industriemaßstab.
Was das für Softwareteams in den USA und der EU bedeutet
Die erste Verschiebung: MFA kann nicht mehr der Schlusspunkt Ihrer Identitätsstrategie sein. Device-Code- und Consent-Phishing stehlen Tokens nach einer legitimen MFA-Prüfung, also liegen die entscheidenden Kontrollen jetzt rund um das Token: ob der Device-Code-Flow überhaupt erlaubt ist, wie lange Sitzungen leben und wie schnell Sie widerrufen können. Wer Software für andere baut oder betreibt, hat damit auch eine Produktfrage: Dieselben sicheren Identitäts-Voreinstellungen gehören in die Individualsoftware, die Sie ausliefern, nicht nur in Ihren eigenen Unternehmens-Tenant.
Die zweite Verschiebung: Zahlungsintegrität als technische Kontrolle, nicht als Richtlinien-PDF. BEC gelingt in dem Moment, in dem ein Mensch einer E-Mail so weit vertraut, dass er Bankdaten ändert oder eine Überweisung freigibt. In regulierten Branchen (FinTech, HealthTech, alles, was DSGVO, SOC 2 oder den EU AI Act berührt) muss dieses Vertrauen durch Rückbestätigung über einen zweiten Kanal, Vier-Augen-Freigabe bei Zahlungsänderungen und einen Prüfpfad abgesichert sein. Ein Ablauf, in dem eine einzige überzeugende E-Mail Geld umleiten kann, ist ein Konstruktionsfehler, egal wie gut Ihre Schulungsfolien sind.
Die dritte Verschiebung: Erkennung, die auf Identitäten zugeschnitten ist, nicht nur auf Endgeräte. Die Signale, die diese Angriffsklasse verraten, sind ungewöhnliche Token-Ausgaben, Anmeldungen von unerwarteten Clients, unmögliche Reisemuster und neue Postfachregeln, die Antworten verstecken. Diese Signale stecken in Ihren Identitäts- und E-Mail-Logs und sind ohne technische Aufbereitung verrauscht. Ein solches Monitoring aufzubauen und den Widerruf zu üben, gehört zu der Arbeit, die wir im Rahmen von Cloud- und DevOps-Härtung übernehmen, damit ein gestohlenes Token in Minuten einen Alarm auslöst und nicht erst Wochen später in einem Forensikbericht auftaucht.
Was bedeutet EvilTokens für Unternehmen in Deutschland, Österreich und der Schweiz?
Im DACH-Raum ist die Masche unter dem Namen CEO-Fraud oder „Fake President“ seit Jahren bekannt, doch EvilTokens verändert die Rechnung: Statt gefälschter Absenderadressen kommen die Betrugsmails aus echten, übernommenen Postfächern von Lieferanten und Kollegen. Gerade mittelständische Unternehmen mit vielen Lieferantenrechnungen per E-Mail sollten daher die Freigabe von geänderten Bankverbindungen strikt an eine telefonische Rückbestätigung unter einer bereits bekannten Nummer koppeln.
Rechtlich ist ein kompromittiertes Postfach fast immer eine Verletzung des Schutzes personenbezogener Daten: Nach Art. 33 DSGVO ist sie in der Regel binnen 72 Stunden der zuständigen Aufsichtsbehörde zu melden. Wer unter NIS2 fällt, muss außerdem Risikomanagement-Maßnahmen wie starke Authentifizierung nachweisen, und die Geschäftsleitung haftet für deren Umsetzung. Für Banken, Versicherer und Zahlungsdienstleister unter BaFin-Aufsicht verlangt DORA zusätzlich ein IKT-Risikomanagement, in das der Schutz vor Token-Diebstahl ausdrücklich gehört. Ein gesperrter Device-Code-Flow und phishingresistente Faktoren für Finanz- und Admin-Konten sind damit auch ein Nachweis gegenüber Prüfern.
Was jetzt zu tun ist
- Den Device-Code-Flow abriegeln. Blockieren oder begrenzen Sie ihn per Conditional Access; erlauben Sie ihn nur für Geräte oder Apps, die ihn wirklich brauchen. Für die meisten Nutzergruppen kann er komplett abgeschaltet werden.
- Auf phishingresistente Authentifizierung umsteigen. Passkeys und FIDO2 machen die ganze Klasse der Angriffe zunichte, die Nutzer zu einer MFA-Abfrage verleiten. Beginnen Sie mit Konten aus Finanzabteilung, Geschäftsführung und Administration.
- Verkürzen und widerrufen. Senken Sie die Token-Laufzeiten, aktivieren Sie, wo verfügbar, die fortlaufende Zugriffsauswertung (Continuous Access Evaluation) und machen Sie den Widerruf von Tokens und Sitzungen zu einem Ein-Klick-Runbook statt zu einem Ticket.
- Zahlungen über einen zweiten Kanal bestätigen. Verlangen Sie für jede Änderung von Bankdaten oder Überweisungsanweisungen einen zweiten Kanal und eine Vier-Augen-Freigabe. Behandeln Sie reine E-Mail-Anfragen standardmäßig als unbestätigt.
- Den echten Angriff testen. Führen Sie Sicherheitsaudits und Phishing-Simulationen durch, die Device-Code- und Consent-Abläufe abdecken und nicht nur das Klicken auf Links, und überwachen Sie Identitäts-Logs auf ungewöhnliche Token-Ausgaben.
Häufig gestellte Fragen
Was ist EvilTokens, und was hat Microsoft am 22. September 2026 unternommen?
EvilTokens war eine KI-gestützte Phishing-as-a-Service-Plattform, die Microsoft als Storm-2992 führt und die Kontoübernahme, KI-Postfachanalyse und Betrugswerkzeuge in einem Abo bündelte. Am 22. September 2026 beschlagnahmte die Digital Crimes Unit von Microsoft auf Beschluss des U.S. District Court for the Eastern District of Virginia 50 Websites und nahm mit Partnern mehr als 150 weitere Domains vom Netz. Die Plattform wird mit über 12.000 kompromittierten Postfächern in mehr als 10.000 Organisationen in Verbindung gebracht.
Wie hat EvilTokens die Multi-Faktor-Authentifizierung umgangen?
Der Dienst missbrauchte den OAuth-2.0-Device-Authorization-Flow (Device-Code-Flow). Ein Phishing-Köder brachte das Opfer dazu, einen gültigen Gerätecode auf der echten Seite microsoft.com/devicelogin einzugeben. Sobald das Opfer seine eigene Anmeldung samt MFA abschloss, stellte der Identitätsanbieter Access- und Refresh-Token dem Client des Angreifers aus. Weil die MFA-Abfrage echt war, verhinderte klassische MFA den Diebstahl nicht, und das gestohlene Refresh-Token konnte Zugriff gewähren, bis die Sitzung oder das Token widerrufen wurde.
Was genau hat die KI-Komponente gemacht?
Nach der Übernahme eines Postfachs analysierte ein KI-Chatbot dessen Inhalt, identifizierte Kontakte aus Finanzabteilung und Geschäftsführung, filterte Unterhaltungen über Überweisungen und offene Rechnungen heraus und entwarf Nachrichten im Namen vertrauter Kontakte, um Zahlungen umzuleiten. Damit automatisierte er die Aufklärungs- und Social-Engineering-Schritte von Business E-Mail Compromise, für die früher ein erfahrener menschlicher Täter nötig war.
Wer war betroffen, und welcher Schaden ist entstanden?
Laut Microsoft konzentrierten sich die Opfer auf die USA, Kanada, Großbritannien, Australien, Indien und Frankreich, quer durch Branchen von Großhandel und Bauwesen bis zu Finanzdienstleistungen und Gesundheitswesen. Die Ermittler verfolgten rund 1,1 Mio. $ an Krypto-Einnahmen der Operation nach, und die britische Polizei nahm am 11. September 2026 zwei Männer im Alter von 32 und 38 Jahren fest.
Was sollten Teams in den USA und der EU gegen Device-Code-Phishing tun?
Blockieren oder begrenzen Sie den Device-Code-Flow streng per Conditional Access, steigen Sie auf phishingresistente Authentifizierung wie Passkeys oder FIDO2 um, verkürzen Sie Token-Laufzeiten, ermöglichen Sie schnellen Widerruf und überwachen Sie ungewöhnliche Token-Ausgaben und unmögliche Reisemuster bei Anmeldungen. Für Zahlungen sollte jede Änderung von Bankdaten über einen zweiten Kanal bestätigt werden; führen Sie zudem Sicherheitsaudits und Phishing-Simulationen durch, die gezielt Device-Code- und Consent-Angriffe abdecken.
Quellen
Microsoft On the Issues — Disrupting EvilTokens: The AI Chatbot Built for Cybercrime (Unternehmensmitteilung)
The Hacker News — Microsoft Takes Down EvilTokens Device-Code Phishing Service
Help Net Security — Microsoft disrupts EvilTokens phishing service that gave criminals access to 12,000 inboxes