FBI schlägt Alarm: Neue Phishing-Plattformen hebeln 2FA aus
Zwei-Faktor-Authentifizierung (2FA) galt jahrelang als solider Schutz gegen Account-Übernahmen. Doch das FBI hat Anfang Juni 2026 eine deutliche Warnung ausgesprochen: Sogenannte Phishing-as-a-Service-Plattformen (PhaaS) ermöglichen es Angreifern, auch Konten mit aktivierter 2FA zu kompromittieren — und das ohne tiefes technisches Wissen.
Besonders betroffen: Microsoft-365-Umgebungen, die im deutschen Mittelstand weit verbreitet sind. Für Unternehmen im DACH-Raum bedeutet das: Bisherige Sicherheitskonzepte müssen dringend auf den Prüfstand.
So funktioniert der Angriff
PhaaS-Plattformen bieten kriminellen Akteuren schlüsselfertige Angriffspakete. Der Ablauf ist erschreckend einfach:
- Täuschend echte Login-Seiten werden automatisch erstellt — inklusive Microsoft-Branding, SSL-Zertifikat und korrekter Domain-Optik.
- Reverse-Proxy-Technik: Die gefälschte Seite leitet die Eingaben des Opfers in Echtzeit an den echten Microsoft-Server weiter. Das Opfer gibt Passwort und 2FA-Code ein — der Angreifer fängt beides ab und erhält das Session-Token.
- Session-Hijacking: Mit dem gestohlenen Token hat der Angreifer vollen Zugriff auf das Konto — ohne das Passwort erneut eingeben oder einen weiteren 2FA-Code abfangen zu müssen.
Das Perfide: Der Nutzer bemerkt den Angriff oft nicht, weil er tatsächlich bei Microsoft eingeloggt wird. Nur eben nicht allein.
Warum der Mittelstand besonders gefährdet ist
Großkonzerne setzen längst auf hardwarebasierte Sicherheitsschlüssel (FIDO2) und Conditional-Access-Policies. Im Mittelstand sieht die Realität anders aus:
- SMS- oder App-basierte 2FA ist der Standard — und genau das wird von PhaaS-Plattformen ausgehebelt.
- Fehlende Security-Awareness-Schulungen: Mitarbeiter erkennen hochwertige Phishing-Mails nicht als solche.
- Kein Monitoring von Anmeldeaktivitäten: Verdächtige Logins aus unbekannten Regionen bleiben unentdeckt.
- Budget-Einschränkungen: Dedizierte IT-Sicherheitsteams sind im KMU-Bereich selten.
Hinzu kommt: PhaaS senkt die Einstiegshürde für Angreifer massiv. Man braucht kein Hacker-Know-how mehr — ein Abo auf einer Untergrund-Plattform reicht.
Konkrete Schutzmaßnahmen für Unternehmen
Die gute Nachricht: Gegen PhaaS-Angriffe gibt es wirksame Gegenmaßnahmen. Entscheidend ist, dass Unternehmen jetzt handeln:
- FIDO2-Sicherheitsschlüssel einführen: Hardware-Token wie YubiKey sind resistent gegen Phishing, da sie die Authentizität der Login-Seite kryptografisch prüfen. Das ist derzeit der beste Schutz.
- Conditional Access konfigurieren: In Microsoft 365 lassen sich Richtlinien setzen, die Anmeldungen nur von verwalteten Geräten oder bekannten Standorten erlauben.
- Phishing-resistente MFA erzwingen: Passkeys und zertifikatsbasierte Authentifizierung ersetzen anfällige SMS- und TOTP-Verfahren.
- Security-Awareness regelmäßig schulen: Mitarbeiter müssen URLs kritisch prüfen und verdächtige Mails melden — ohne Angst vor Konsequenzen.
- Anmeldeprotokolle überwachen: Ungewöhnliche Login-Muster (neue Geräte, andere Länder, unmögliche Reisezeiten) sollten automatisiert Alarm auslösen.
Fazit: 2FA ist nicht tot — aber allein nicht genug
Zwei-Faktor-Authentifizierung bleibt ein wichtiger Baustein der IT-Sicherheit. Aber die Vorstellung, dass ein aktivierter zweiter Faktor automatisch vor Account-Übernahmen schützt, ist überholt. PhaaS-Plattformen zeigen: Angreifer passen sich an — und Unternehmen müssen das auch tun.
Der Umstieg auf phishing-resistente Verfahren wie FIDO2, kombiniert mit Conditional Access und geschulten Mitarbeitern, ist kein Nice-to-have mehr. Es ist die Baseline.
Sie möchten wissen, wie gut Ihr Unternehmen gegen moderne Phishing-Angriffe geschützt ist? Sprechen Sie mit uns — wir prüfen Ihre Microsoft-365-Umgebung und identifizieren konkrete Schwachstellen. Mehr zu unseren IT-Sicherheitsleistungen finden Sie auf antileaks.de.