81 Millionen Anmeldeversuche: Was der Massenangriff auf Microsoft-365-Konten für Ihr Unternehmen bedeutet

Sicherheitsforscher des Anbieters Huntress haben eine der größten Angriffswellen der letzten Monate auf Microsoft-365-Konten dokumentiert: Zwischen dem 12. und 26. Juni 2026 zählten sie rund 81 Millionen Anmeldeversuche – ein 155-facher Anstieg gegenüber vorherigen Wellen. Allein am 22. Juni erreichte die Kampagne ihren Höhepunkt.

Das Ergebnis: 78 Konten in 64 Organisationen wurden erfolgreich übernommen. Und das Beunruhigende daran ist nicht die schiere Menge der Versuche – sondern die Methode, mit der die Angreifer selbst bei aktivierter Zwei-Faktor-Authentifizierung zum Ziel kamen.

Was ist passiert?

Bei der Kampagne handelte es sich um sogenanntes Passwort-Spraying. Dabei probieren Angreifer nicht viele Passwörter für ein einzelnes Konto durch (das würde schnell zu einer Sperrung führen), sondern ein einzelnes, häufig genutztes Passwort gegen sehr viele Konten gleichzeitig. So bleiben sie unter dem Radar klassischer Sperrmechanismen – und finden statistisch fast immer jemanden, dessen Passwort zu schwach ist.

Neu und gefährlich ist der Weg, über den die Anmeldeversuche liefen. Die Angreifer nutzten gezielt einen technischen Anmeldeweg, der die Multi-Faktor-Authentifizierung (MFA) in vielen Fällen komplett aushebelte.

Der eigentliche Trick: Umgehung der Multi-Faktor-Authentifizierung

Viele Verantwortliche gehen davon aus: „Wir haben MFA aktiviert, also sind wir sicher." Genau diese Annahme haben die Angreifer ausgenutzt. Warum die Multi-Faktor-Authentifizierung heute Pflicht ist, haben wir bereits in einem eigenen Beitrag zusammengefasst – dieser Angriff zeigt jedoch, dass es entscheidend auf die richtige Umsetzung ankommt.

Im Zentrum steht ein älterer Anmelde-Mechanismus namens ROPC (Resource Owner Password Credentials). Vereinfacht gesagt handelt es sich um einen Anmeldeweg, bei dem Benutzername und Passwort direkt an den Anmelde-Endpunkt von Microsoft geschickt werden – ohne die übliche Login-Maske, in der normalerweise die MFA-Abfrage erscheint.

Das bedeutet: Wo dieser Weg offensteht, fragt das System oft gar keinen zweiten Faktor ab. Ein korrektes Passwort genügt. Die Angreifer zielten dabei besonders auf Anmeldungen über die Azure-Kommandozeilenwerkzeuge (Azure CLI) ab, die in vielen Umgebungen unbeaufsichtigt und ungeschützt liefen.

Der wahre Schwachpunkt war die Konfiguration

Die eigentliche Lücke lag also nicht in einer neuen, unbekannten Sicherheitslücke – sondern in der Art, wie MFA und Zugriffsregeln konfiguriert waren. Huntress fand bei den betroffenen Unternehmen immer wieder dieselben Muster:

• MFA nur teilweise aktiviert: Der zweite Faktor galt nur für einzelne Anwendungen oder nur für Administratoren – nicht durchgängig für alle Konten und alle Apps.
• Regeln nur im „Report-Only"-Modus: Die Conditional-Access-Richtlinien liefen im reinen Protokoll-Modus. Sie zeichneten verdächtige Anmeldungen zwar auf, blockierten sie aber nicht.
• MFA nur an „fremden" Standorten: Wo MFA nur für Anmeldungen von unbekannten Orten galt, konnten Angreifer diese Einschränkung gezielt umgehen.
• Alte Anmeldewege nicht abgeschaltet: Legacy-Authentifizierung und ROPC blieben offen, obwohl sie im normalen Arbeitsalltag längst nicht mehr gebraucht werden.

Anders gesagt: Die Schutzmaßnahmen waren vorhanden, aber nicht konsequent scharf geschaltet. Genau in dieser Lücke zwischen „aktiviert" und „lückenlos durchgesetzt" haben die Angreifer gearbeitet.

Warum das für den Mittelstand besonders relevant ist

Microsoft 365 ist in vielen Unternehmen das digitale Herzstück – E-Mail, Teams, SharePoint, Dokumente, Kalender. Ein übernommenes Konto ist deshalb selten „nur" ein E-Mail-Problem. Angreifer nutzen kompromittierte Zugänge, um interne Kommunikation mitzulesen, überzeugende Phishing-Mails an Kunden und Kollegen zu versenden, Rechnungsdaten zu manipulieren oder sich tiefer im System auszubreiten.

Und der Angriff traf nicht nur Großkonzerne: Betroffen waren 64 Organisationen unterschiedlichster Größe. Gerade kleinere und mittlere Unternehmen haben MFA oft eingerichtet, aber nie systematisch überprüft, ob es wirklich überall und lückenlos greift.

Was Sie jetzt konkret tun sollten

Die gute Nachricht: Der Schutz vor genau dieser Angriffsform ist möglich – und erfordert keine teure neue Software, sondern eine saubere, konsequente Konfiguration. Einen umfassenden Überblick über die häufigsten Einfallstore in Microsoft 365 geben wir in unserer Checkliste Microsoft 365 richtig absichern. Für diesen konkreten Angriff sind vor allem diese Schritte entscheidend:

• MFA für alle Cloud-Apps durchsetzen: Conditional-Access-Richtlinien sollten den zweiten Faktor für „All Cloud Apps" verlangen – nicht nur für einzelne Anwendungen oder Nutzergruppen.
• Alte Anmeldewege abschalten: Legacy-Authentifizierung und ROPC gehören blockiert, wo sie nicht zwingend gebraucht werden. Sie sind das Einfallstor dieser Kampagne gewesen.
• Regeln scharf schalten: Conditional-Access-Richtlinien aus dem „Report-Only"-Modus in den aktiven Blockier-Modus überführen.
• Phishing-resistente MFA nutzen: Hardware-Sicherheitsschlüssel (FIDO2) bieten deutlich stärkeren Schutz als eine einfache Bestätigung per App.
• Anmeldungen überwachen: Fehlgeschlagene und erfolgreiche Logins protokollieren und regelmäßig prüfen – auffällige Muster fallen so früh auf.
• Kompromittierte Zugangsdaten sofort zurücksetzen: Bei Verdacht auf einen erfolgreichen Zugriff zählt jede Stunde.
• Mitarbeiter sensibilisieren: Unerwartete MFA-Anfragen niemals einfach bestätigen – sie können ein Zeichen für einen laufenden Angriff sein.

Unser Fazit

Dieser Angriff zeigt eine unbequeme Wahrheit: MFA zu aktivieren reicht nicht – MFA muss lückenlos durchgesetzt werden. Die meisten der 64 betroffenen Organisationen hatten Schutzmaßnahmen im Einsatz. Sie waren nur nicht konsequent genug konfiguriert.

Genau hier liegt der Unterschied zwischen „irgendwie eingerichtet" und „wirklich sicher". Eine strukturierte Microsoft-365-Betreuung sorgt dafür, dass solche Konfigurationslücken gar nicht erst entstehen – und dass Ihre Einstellungen mit neuen Bedrohungen Schritt halten.

Quelle: Golem.de – „81 Millionen Anmeldeversuche: Massenangriff auf Microsoft-Konten" (Juli 2026), golem.de. Analyse ursprünglich von Huntress. Der Artikel wurde inhaltlich eigenständig aufbereitet und für Unternehmen in Deutschland redaktionell neu verfasst.