Session Hijacking in Microsoft 365: Wie gestohlene Token die MFA aushebeln und was Sie jetzt tun sollten

• Bei Session Hijacking stehlen Angreifer nicht das Passwort, sondern das Token, das Microsoft nach erfolgreicher Anmeldung inklusive MFA ausstellt.
• Laut Huntress wurden zwischen Juli und September 2026 auf diese Weise 97 Microsoft 365 Konten in 79 Organisationen übernommen.
• Die Angreifer registrierten eigene Geräte und Authenticator-Apps, versteckten E-Mails per Posteingangsregel und nutzten Postfächer für Betrugsversuche.
• Ein Passwort-Reset allein reicht nach einem Vorfall nicht: Sitzungen müssen widerrufen und fremde Geräte sowie MFA-Methoden entfernt werden.
• Phishing-resistente MFA, Conditional Access ohne Ausnahmen und die Sperre des Gerätecode-Flusses schützen wirksam.

Session Hijacking bedeutet, dass Angreifer eine bereits angemeldete Sitzung übernehmen. In Microsoft 365 heißt das: Sie stehlen nicht das Passwort, sondern das Token, das Microsoft nach einer erfolgreichen Anmeldung ausstellt. Dieses Token beweist, dass Passwort und MFA bereits geprüft wurden. Wer es besitzt, kann sich damit von einem eigenen Rechner aus anmelden, ohne die MFA erneut zu durchlaufen.

Wie aktuell das ist, zeigt eine Analyse des Sicherheitsunternehmens Huntress vom 22. Oktober 2026, über die auch The Hacker News berichtet: Zwischen dem 14. Juli und dem 22. September 2026 übernahmen Angreifer auf diese Weise 97 Microsoft 365 Konten in 79 Organisationen. Huntress zählte dabei 497 erfolgreiche Anmeldungen bei mehr als 200.000 Versuchen.

Huntress beschreibt drei Wege:

• Gefälschte Anmeldeseiten als Zwischenstation: Das Opfer meldet sich auf einer Seite an, die alle Eingaben inklusive MFA an die echte Microsoft-Anmeldung weiterreicht. Die Anmeldung gelingt, das ausgestellte Token landet aber auch beim Angreifer. Fachleute nennen das Adversary in the Middle.
• Phishing mit Gerätecode: Das Opfer gibt auf der echten Microsoft-Seite einen Code ein, den der Angreifer geschickt hat, und meldet damit unbemerkt das Gerät des Angreifers an.
• Täuschung während einer echten Anmeldung: Das Opfer bestätigt eine Anmeldung, die nicht von ihm stammt.

Zwischen Diebstahl und Nutzung des Tokens lagen laut Huntress oft nur wenige Minuten. Die Angreifer nutzten angemietete Server und automatisierte Werkzeuge.

Die Angreifer sicherten sich den Zugang dauerhaft. In mindestens 19 Organisationen entfernten sie die vorhandenen MFA-Methoden und registrierten eine eigene Authenticator-App. Außerdem legten sie mindestens 48 gefälschte Geräte in Microsoft Entra ID an, um weiter Token anfordern zu können.

In den Postfächern richteten sie versteckte Regeln mit unauffälligen Namen ein, die E-Mails zu Gehalt, Kontoverbindungen oder Bonuszahlungen verschoben oder löschten. Ein übernommenes Postfach verschickte Spam an Hunderte externe Empfänger, ein anderes eine E-Mail zu einer Gehaltszahlung an einen externen Steuerberater. Das ist das typische Muster von Business Email Compromise: Betrug mit echten Absendern, den Empfänger kaum erkennen können.

Wenn Sie einen Vorfall vermuten, reicht ein neues Passwort nicht. Ein bereits ausgestelltes Token bleibt laut Huntress etwa 90 Minuten gültig, fremde Geräte und MFA-Methoden bleiben ohnehin bestehen. Gehen Sie so vor:

1. Sitzungen widerrufen und Passwort zurücksetzen, danach unbekannte Geräte und MFA-Methoden des Kontos entfernen.
2. Posteingangsregeln prüfen, besonders Regeln mit sehr kurzen Namen oder solche, die E-Mails in selten genutzte Ordner verschieben.
3. Gerätecode-Fluss einschränken: Mit Conditional Access lässt sich diese Anmeldeart für alle Benutzer sperren, die sie nicht brauchen.
4. Conditional Access ohne Lücken: MFA für alle Benutzer, alle Cloud-Apps und alle Client-Typen, ohne Ausnahmen.
5. Zustimmung zu neuen Apps durch Benutzer abschalten und stattdessen eine Prüfung durch Administratoren vorschreiben.

Den wirksamsten Schutz gegen gefälschte Anmeldeseiten bietet phishing-resistente MFA mit Passkeys oder Windows Hello for Business. Diese Verfahren sind an die echte Microsoft-Adresse gebunden und funktionieren auf einer gefälschten Seite nicht. Zusätzlich lässt sich in Conditional Access festlegen, dass Token nur auf registrierten, verwalteten Geräten gelten.

Als Microsoft Solutions Partner für Security richten wir Conditional Access, phishing-resistente MFA und Geräteverwaltung so ein, dass gestohlene Token wertlos werden. Im Microsoft Tenant Sicherheitscheck prüfen wir, ob Ihre Richtlinien Lücken haben, etwa Ausnahmen für einzelne Benutzer oder Apps, einen offenen Gerätecode-Fluss oder fehlende Überwachung von MFA-Änderungen. Einen Überblick über unsere Leistungen finden Sie auf der Seite Microsoft 365 Partner für Security und Lizenzen.