Der M365-Angriffsablauf im Detail: Was Sie wissen sollten

Von Mirko Peters · 2026-08-28

Willkommen zurück im Podcast-Blog! Wenn Sie unseren aktuellen Audio-Episoden gefolgt sind, wissen Sie, dass wir uns intensiv mit Cloud-Sicherheit, Bedrohungslagen und…

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Willkommen zurück im Podcast-Blog! Wenn Sie unseren aktuellen Audio-Episoden folgen, wissen Sie, dass wir uns intensiv mit Cloud-Sicherheit, Bedrohungslandschaften und dem Schutz Ihrer Umgebungen beschäftigen. Heute greifen wir eines der meistgewünschten Themen auf: das mehrstufige Vorgehen, mit dem Cyberkriminelle Microsoft-365-Umgebungen angreifen. Falls Sie unsere letzte ausführliche Diskussion verpasst haben, hören Sie sich unbedingt die passende Episode Detect Microsoft 365 Attack Chains with Entra and Sentinel an. Darin erfahren Sie, wie Sicherheitsteams moderne Werkzeuge einsetzen, um diese Bedrohungen frühzeitig zu erkennen und zu stoppen.

In diesem umfassenden Leitfaden erläutern wir die Mechanismen des modernen Angriffslebenszyklus in der Cloud. Wer jede Phase kennt, von der ersten Aufklärung bis zum endgültigen Datenabfluss, kann Anomalien früher erkennen, robuste präventive Kontrollen aufbauen und Bedrohungsakteure letztlich stoppen, bevor sie ihre Ziele erreichen.

Überblick über den M365-Angriffsablauf

Definition und Bedeutung

Der M365-Angriffsablauf beschreibt die strukturierte Abfolge von Schritten, mit denen Angreifer in Microsoft-365-Umgebungen eindringen, sich darin bewegen und Schwachstellen ausnutzen. Dieses Verständnis ist für Ihre Organisation entscheidend, weil es die Arbeit an der Verteidigung auf eine solide Grundlage stellt. Jede Phase des Angriffs zeigt einen spezifischen Indikator für eine Kompromittierung und macht deutlich, wie Angreifer Zugang erlangen, sich dauerhaft festsetzen und schließlich sensible Daten abfließen lassen. Wer diese aufeinanderfolgenden Phasen erkennt, kann gezielte Sicherheitsmaßnahmen umsetzen, die Angriffe stoppen, bevor sie sich zu großflächigen Sicherheitsverletzungen entwickeln.

Häufige Angriffsvektoren

Cyberkriminelle nehmen gezielt verschiedene Komponenten der Microsoft-365-Infrastruktur ins Visier, um ihre Pläne umzusetzen. Wer die wichtigsten Angriffsvektoren kennt, kann seine Härtungsmaßnahmen besser priorisieren. Bedrohungsakteure nutzen häufig Microsoft Teams zur Aufklärung und Datensammlung, verteilen Schadsoftware über versteckte Dateianhänge in kollaborativen Chats, schleusen Daten über geteilte Links ab und erzwingen mit raffinierten Social-Engineering-Methoden finanzielle Erpressung. Phishing ist nach wie vor die mit Abstand häufigste Methode, um initialen Zugriff zu erlangen. Angreifer erstellen dabei täuschend echte Domains, die legitime Portale imitieren, um Anmeldedaten abzugreifen und in Ihr Netzwerk einzudringen.

Phasen eines M365-Angriffs

Aufklärung

In der Aufklärungsphase sammeln Angreifer Informationen über Ihre Organisation, um Schwachstellen zu identifizieren. Diese Phase ist entscheidend, weil sie die operative Grundlage für die gesamte Kampagne schafft. Bedrohungsakteure setzen dabei Methoden wie Password Spraying ein, bei dem gängige Passwörter über zahlreiche Konten hinweg getestet werden, die Ermittlung der MFA-Abdeckung, um Benutzerkonten ohne Multi-Faktor-Authentifizierung zu finden, sowie aktive Netzwerkaufklärung, um exponierte Cloud-Dienste zu kartieren. Verdächtige Aktivitäten in dieser frühen Phase zu erkennen, ist Ihre beste Verteidigung gegen eine Sicherheitsverletzung.

Initialer Zugriff

Sobald die Aufklärung abgeschlossen ist, wechseln Angreifer zum initialen Zugriff und nutzen entdeckte Schwachstellen, um Ihre Perimeterabwehr zu überwinden. Typische Einstiegsmethoden sind Brute-Force-Angriffe, Credential Stuffing mit geleakten Datenbanken aus dem Darknet, Spear-Phishing-Kampagnen und OAuth-Consent-Phishing. Angreifer nehmen außerdem den externen Benutzerzugriff in Microsoft Teams und SharePoint ins Visier, indem sie vertrauenswürdige Partnerkonten kompromittieren. Umfassende Schulungen für Benutzer und strenge Authentifizierungskontrollen sind unverzichtbar, um diese Einstiegsversuche zu blockieren.

Ausführung

Nach dem erfolgreichen Durchbruch der Perimeterabwehr führen Angreifer schädlichen Code aus oder setzen nicht autorisierte Befehle in Ihrer Umgebung ab. Ausführungstechniken in M365 umfassen häufig Phishing-E-Mails, die vertrauenswürdige Domains von Drittanbietern nutzen, um Sicherheitsfilter zu umgehen, das Umleiten von Opfern auf täuschend echte Anmeldeseiten sowie das Abgreifen von Authentifizierungstoken und MFA-Bestätigungscodes in Echtzeit. Wer diese Ausführungsmuster erkennt, kann Lösungen zur erweiterten Bedrohungserkennung einsetzen, die auffälliges Verhalten sofort melden.

Persistenz

Damit Angreifer auch dann Zugriff behalten, wenn die ursprünglichen Anmeldedaten geändert oder entdeckt werden, richten sie Persistenzmechanismen ein. Zu den gängigen Techniken gehören das Registrieren bösartiger OAuth-Anwendungen, die fortlaufend Token ausstellen, das Anlegen von E-Mail-Weiterleitungsregeln in Exchange Online, um die Kommunikation unbemerkt mitzulesen, sowie das Ändern von Sicherheitseinstellungen oder Bedingter Zugriffsrichtlinien, um verborgene administrative Hintertüren zu schaffen. Das regelmäßige Überprüfen von Anwendungszustimmungen und Sicherheitskonfigurationen ist entscheidend, um diese persistenten Bedrohungen zu beseitigen.

Rechteausweitung

Hat sich ein Angreifer mit einem einfachen Zugang Zutritt verschafft, versucht er, seine Berechtigungen zu erweitern, um auf sensible Ressourcen und administrative Steuerungen auf hoher Ebene zuzugreifen. Methoden zur Rechteausweitung in der Cloud beruhen häufig auf dem Missbrauch von APIs, dem Diebstahl und der Fälschung von Token sowie der Ausnutzung fehlerhaft konfigurierter Richtlinien für die rollenbasierte Zugriffssteuerung (RBAC). Das Prinzip der minimalen Berechtigungen umzusetzen und Benutzerrollen regelmäßig zu überprüfen, verringert das Risiko unbefugter Rechteausweitungen.

Techniken in Microsoft 365

Phishing-Angriffe

Phishing bleibt eine dominierende Technik innerhalb der Angriffskette in Microsoft 365. Moderne Phishing-Kampagnen sind stark zielgerichtet und überzeugend und umgehen oft klassische Perimeterabwehrmechanismen. Branchenstatistiken zeigen, dass Standard-E-Mail-Filter einen erheblichen Anteil gezielter Phishing-E-Mails übersehen, insbesondere solche mit Finanzbetrug oder Markenimitation. Unternehmen müssen automatisierte Sicherheitsfilter mit kontinuierlichen Schulungen für Mitarbeiter kombinieren, um eine menschliche Firewall aufzubauen.

Token-Diebstahl

Token-Diebstahl stellt eine fortgeschrittene Weiterentwicklung von Cloud-Angriffen dar. Statt Passwörter zu stehlen, erbeuten Angreifer Sitzungs- und Authentifizierungstoken über Malware, die Kompromittierung von Browsern oder ausgefeilte Adversary-in-the-Middle-Phishing-Kits. Sind die Token erst einmal in ihrem Besitz, können Angreifer die Multi-Faktor-Authentifizierung vollständig umgehen und auf SaaS-Anwendungen zugreifen, als wären sie der legitime Benutzer.

Missbrauch von OAuth-Apps

Angreifer setzen zunehmend auf OAuth-Anwendungen, um dauerhaften Zugriff zu behalten und Unternehmensdaten zu manipulieren, ohne standardmäßige Warnungen zum Zurücksetzen von Passwörtern auszulösen. Indem sie Benutzer dazu bringen, zu weitreichende Bereiche zu gewähren, etwa Lese- und Schreibzugriff auf E-Mails oder das Verzeichnis, richten Angreifer eigenständige Hintertüren ein, die unbegrenzt bestehen bleiben.

Business Email Compromise (BEC)

Business Email Compromise richtet sich gegen das Vertrauen in Organisationen. Betrüger geben sich als Führungskräfte, Lieferanten oder Personalverantwortliche aus, um Mitarbeiter dazu zu bringen, Überweisungsanweisungen zu ändern, Gehaltszahlungen umzuleiten oder vertrauliche Unternehmensdaten herauszugeben. Dagegen helfen strikte Richtlinien mit mehrstufiger Freigabe für Finanztransaktionen und eine technische Härtung der E-Mail-Umgebung.

Strategien zur Erkennung und Prävention

Überwachung und Protokollierung

Wirksame Überwachung und Protokollierung bilden das Rückgrat jedes erfolgreichen Programms zur Reaktion auf Sicherheitsvorfälle. Echtzeit-Erkennungssysteme für Bedrohungen, die KI-gestützte Analysen über Identitäten, SaaS- und Cloud-Dienste hinweg nutzen, ermöglichen es Sicherheitsteams, Signale zu korrelieren und echte Bedrohungen zu priorisieren. Die Anbindung dieser Protokolle an eine zentrale SIEM-Plattform (Security Information and Event Management) stellt sicher, dass Ihr SOC schnell und entschlossen handeln kann.

Sensibilisierung der Benutzer

Technik allein kann ein modernes Unternehmen nicht schützen. Die Sensibilisierung der Benutzer befähigt Mitarbeiter, als erste Verteidigungslinie zu agieren. Durch regelmäßige simulierte Phishing-Tests, klar definierte Meldewege und Schulungen, die stets auf aktuelle Social-Engineering-Taktiken eingehen, senken Sie die Erfolgsquote von Versuchen eines initialen Zugriffs deutlich.

Multi-Faktor-Authentifizierung

Die Multi-Faktor-Authentifizierung ist eine unverzichtbare Sicherheitsgrundlage. Während die klassische MFA credentialbasierte Angriffe deutlich reduziert, erfordern moderne Bedrohungen wie Token-Diebstahl und Sitzungsübernahmen erweiterte MFA-Konfigurationen, die kryptografisch geschützte Anmeldedaten nutzen und widerstandsfähig gegen Adversary-in-the-Middle-Techniken sind.

Richtlinien für bedingten Zugriff

Richtlinien für bedingten Zugriff bieten eine dynamische, kontextbezogene Sicherheit für Ihre Microsoft-365-Umgebung. Indem diese Richtlinien in Echtzeit das Benutzerrisiko, die Gerätekonformität und den geografischen Standort bewerten, können sie verdächtige Anmeldungen mit MFA herausfordern oder den Zugriff vollständig blockieren, sobald ungewöhnliches Verhalten erkannt wird. So entsteht eine robuste Verteidigung in mehreren Ebenen.

Das Verständnis der Techniken der M365-Angriffskette ist entscheidend, um Ihre Organisation zu schützen. Sie müssen erkennen, wie Angreifer Schwachstellen ausnutzen, um wirksame Verteidigungsstrategien zu entwickeln. Hier sind einige zentrale Punkte, mit denen Sie Ihre Sicherheitslage verbessern können:

1. Aktivieren Sie Safe Links und Safe Attachments in Defender for Office 365.
2. Implementieren Sie robuste Conditional-Access-Richtlinien mit Microsoft Entra ID.
3. Überwachen Sie Verhaltensanomalien mithilfe von Defender for Identity und Cloud Apps.
4. Aktualisieren Sie Bedrohungsrichtlinien regelmäßig und prüfen Sie die Sicherheitsberichte der Administratoren.
5. Schulen Sie Benutzer im Erkennen von Phishing, damit sie verdächtige E-Mails und Links zuverlässig erkennen.

Mit diesen proaktiven Maßnahmen können Sie das Risiko von Cyberangriffen deutlich senken und Ihre kritischen Cloud-Ressourcen schützen.

Häufige Fragen

Was ist die M365-Angriffskette?

Die M365-Angriffskette beschreibt den mehrstufigen Ablauf, mit dem Angreifer Schwachstellen in Microsoft-365-Umgebungen ausnutzen. Wenn Sie diese Kette verstehen, erkennen Sie Schwachstellen leichter und können wirksame Sicherheitskontrollen implementieren.

Wie erkenne ich Phishing-Angriffe?

Phishing-Angriffe erkennen Sie an verdächtigen Absenderadressen, unerwarteten Anfragen nach sensiblen Daten, ungewöhnlicher Dringlichkeit sowie Links, die zu unbekannten oder täuschend ähnlichen Domains führen.

Was ist Missbrauch von OAuth-Apps?

Missbrauch von OAuth-Apps liegt vor, wenn Angreifer schädliche Anwendungen registrieren oder legitime Anwendungen kompromittieren, um sich unbefugten, dauerhaften Zugriff auf Microsoft-365-Ressourcen zu verschaffen, ohne Benutzerkennwörter zu benötigen.

Wie kann ich die Sicherheit meiner Organisation verbessern?

Sie verbessern die Cloud-Sicherheit, indem Sie die Multi-Faktor-Authentifizierung erzwingen, regelmäßige Sicherheitsschulungen durchführen, Anwendungsberechtigungen überwachen und passgenaue Conditional-Access-Richtlinien implementieren.

Welche Rolle spielt die Schulung der Benutzer für die Sicherheit?

Die Schulung der Benutzer ist entscheidend, um Cyberangriffe zu verhindern. Wenn Mitarbeitende Phishing-Versuche und Social-Engineering-Methoden erkennen, werden sie zu einer aktiven Verteidigungslinie.

Wie erkenne ich verdächtige Aktivitäten in M365?

Verdächtige Aktivitäten lassen sich erkennen, indem Sie Echtzeit-Bedrohungserkennungstools einsetzen, die Protokolle von Microsoft Purview prüfen und KI-gestützte Analysen nutzen, um auffälliges Verhalten von Benutzern und Anwendungen aufzudecken.

Welche Folgen hat ein erfolgreicher Angriff?

Erfolgreiche Sicherheitsverletzungen können zu finanziellen Verlusten, hohen behördlichen Strafen, Betriebsunterbrechungen und erheblichem Reputationsschaden für Ihre Marke und das Vertrauen Ihrer Kunden führen.

Warum ist die Überwachung von Anwendungsberechtigungen wichtig?

Die Überwachung von Anwendungsberechtigungen ist entscheidend, weil Angreifer häufig zu weit gefasste OAuth-Bereiche ausnutzen, um unbemerkt E-Mails zu lesen, auf Dateien zuzugreifen und Hintertüren in Ihrer Umgebung zu erhalten.

Vielen Dank, dass Sie unseren Blog gelesen haben! Hören Sie unbedingt die vollständige Podcast-Folge Detect Microsoft 365 Attack Chains with Entra and Sentinel an, um noch mehr Einblicke und fachkundige Kommentare zur Sicherung Ihres digitalen Arbeitsplatzes zu erhalten.