Eine Nachricht in Microsoft Teams. Der angebliche IT-Support meldet sich wegen eines Sicherheitsupdates, einer Kontoprüfung oder eines technischen Problems. Der Mitarbeiter soll kurz eine Fernwartung freigeben – schließlich klingt die Anfrage plausibel und kommt über ein Werkzeug, das im Unternehmen ohnehin täglich genutzt wird.
Genau dieses Vertrauen nutzen Cyberkriminelle derzeit gezielt aus.
Microsoft warnt aktuell vor einer Angriffskampagne, bei der sich Angreifer über Microsoft Teams als IT- oder Helpdesk-Mitarbeiter ausgeben. Das Ziel: Beschäftigte dazu zu bringen, freiwillig Fernzugriff auf ihren Rechner zu gewähren.
Was zunächst wie ein gewöhnlicher Supportvorgang aussieht, kann den Angreifern anschließend einen direkten Einstieg in die Unternehmens-IT ermöglichen.
Das Besondere daran: Für diesen Angriff ist nicht zwingend eine klassische Sicherheitslücke notwendig. Die Täter nutzen legitime Funktionen, bekannte Programme und menschliches Vertrauen.
Microsoft Teams Phishing: Der Angriff beginnt nicht mehr zwingend per E-Mail
Beim Begriff Phishing denken viele Menschen zuerst an eine verdächtige E-Mail mit einem Link oder Dateianhang.
Genau darauf haben sich Unternehmen in den vergangenen Jahren zunehmend vorbereitet. Spamfilter, E-Mail-Security, Mitarbeiterschulungen und Warnhinweise haben klassische Phishing-Angriffe zumindest schwieriger gemacht.
Cyberkriminelle reagieren darauf.
Statt ausschließlich den E-Mail-Posteingang anzugreifen, verlagern sie ihre Kontaktaufnahme zunehmend auf Kommunikationsplattformen wie Microsoft Teams.
Der psychologische Vorteil für die Täter liegt auf der Hand:
Eine Nachricht in Teams wirkt für viele Mitarbeiter zunächst vertrauenswürdiger als eine unbekannte E-Mail.
Schließlich wird Teams im Unternehmensalltag für interne Kommunikation, Meetings, Telefonate, Dateiübertragungen und teilweise auch für den Kontakt mit externen Geschäftspartnern genutzt.
Meldet sich dort jemand mit einem Namen wie „IT Support“, „Helpdesk“ oder „Microsoft Security“, entsteht schnell der Eindruck einer legitimen internen Anfrage.
Genau darauf basiert die aktuelle Angriffsmethode.
So läuft der Angriff laut Microsoft ab
Microsoft Threat Intelligence beschreibt eine mehrstufige Angriffskette.
Am Anfang steht zunächst keine Schadsoftware, sondern Kommunikation.
1. Der vermeintliche IT-Support nimmt über Teams Kontakt auf
Die Angreifer verwenden einen externen Microsoft-365-Tenant und kontaktieren einen Mitarbeiter über Microsoft Teams.
Dabei geben sie sich beispielsweise als IT-Abteilung, Helpdesk oder technischer Support aus.
Als Vorwand können angebliche Sicherheitsprobleme, Spamfilter-Updates, Kontoprüfungen oder drohende Kontosperrungen dienen.
Der Mitarbeiter soll möglichst schnell reagieren.
Zeitdruck ist dabei ein wichtiger Bestandteil vieler Social-Engineering-Angriffe.
2. Der Mitarbeiter soll Fernzugriff erlauben
Im nächsten Schritt versuchen die Täter, eine Fernwartungssitzung aufzubauen.
Dafür können legitime Funktionen und Programme verwendet werden – beispielsweise Microsoft Quick Assist oder die Fernsteuerung während einer Bildschirmfreigabe.
Der Mitarbeiter bekommt dadurch unter Umständen gar keine offensichtlich verdächtige Software zu sehen.
Er öffnet ein bekanntes Microsoft-Werkzeug und bestätigt selbst den Zugriff.
Aus Sicht klassischer Sicherheitssysteme ist das eine schwierige Situation: Ein legitimer Benutzer startet ein legitimes Programm und erlaubt bewusst eine Verbindung.
3. Der Angreifer übernimmt den Rechner
Sobald die Fernwartung aktiv ist, kann der Täter den Computer interaktiv bedienen.
Microsoft beobachtete anschließend unter anderem den Einsatz von PowerShell, um weitere Komponenten herunterzuladen und zu installieren.
Dabei nutzen Angreifer bewusst Werkzeuge, die in Windows-Umgebungen völlig normal sind.
PowerShell beispielsweise ist ein leistungsfähiges Administrationswerkzeug und wird täglich von Administratoren eingesetzt.
Genau das macht den Missbrauch so interessant.
4. Schadsoftware wird im Hintergrund installiert
In der von Microsoft untersuchten Kampagne wurde unter anderem ein manipuliertes MSI-Installationspaket eingesetzt.
Anschließend kam sogar eine legitime Node.js-Laufzeitumgebung zum Einsatz, über die ein schädlicher JavaScript-Code ausgeführt werden konnte.
Auch hier zeigt sich ein wichtiger Trend moderner Cyberangriffe:
Angreifer versuchen nicht immer, möglichst auffällige „Hackerprogramme“ einzusetzen.
Stattdessen kombinieren sie legitime Windows-Komponenten, bekannte Software und vorhandene Administrationsschnittstellen.
Dadurch kann sich der Angriff deutlich länger wie normale IT-Aktivität verhalten.
Vom einzelnen Arbeitsplatz bis zum gesamten Unternehmensnetzwerk
Die Übernahme eines einzelnen Computers ist häufig nur der Anfang.
Nach dem ersten Zugriff versuchen professionelle Angreifer herauszufinden, in welcher Umgebung sie sich befinden.
Microsoft beobachtete bei der aktuellen Kampagne umfangreiche Analysen der Unternehmensinfrastruktur.
Dazu gehörten unter anderem Informationen über:
- Benutzerkonten
- Computer und Server
- Active-Directory-Strukturen
- Sicherheitssoftware
- vorhandene Systeme und Dienste
- erreichbare Netzwerkressourcen
Anschließend versuchten die Angreifer, sich innerhalb des Unternehmensnetzwerks weiterzubewegen.
Microsoft dokumentierte dabei unter anderem Zugriffe über Windows Remote Management (WinRM).
Besonders kritisch: Zu den möglichen Zielen gehörten zentrale Systeme wie Domain Controller und Zertifizierungsstellen.
Ein zunächst unscheinbarer Support-Chat mit einem einzelnen Mitarbeiter kann damit theoretisch zum Ausgangspunkt für einen Angriff auf wesentliche Teile der Unternehmens-IT werden.
Warum diese Angriffsmethode so gefährlich ist
Der entscheidende Punkt ist nicht Microsoft Teams selbst.
Teams wurde bei dieser Angriffsmethode nicht einfach technisch „gehackt“.
Vielmehr missbrauchen die Täter legitime Funktionen und bestehende Arbeitsabläufe.
Genau dadurch werden solche Angriffe gefährlich.
Ein Mitarbeiter sieht möglicherweise:
- eine Nachricht in Microsoft Teams,
- einen angeblichen IT-Mitarbeiter,
- ein bekanntes Fernwartungsprogramm,
- eine normale Windows-Oberfläche
- und einen plausibel klingenden technischen Grund.
Keines dieser Elemente muss für sich genommen ungewöhnlich aussehen.
Die Manipulation entsteht aus der Kombination.
Der Mensch wird Teil der Angriffskette
Technische Schutzsysteme bleiben enorm wichtig.
Aber kein Virenscanner kann zuverlässig verhindern, dass ein Mitarbeiter einem vermeintlichen Techniker freiwillig Fernzugriff auf seinen Rechner gewährt.
Das bedeutet nicht, dass Mitarbeiter das Problem sind.
Es bedeutet vielmehr, dass Unternehmen klare und überprüfbare Prozesse für ihren IT-Support benötigen.
Ein Mitarbeiter sollte jederzeit wissen:
Wie nimmt unsere IT normalerweise Kontakt mit mir auf?
Darf unser Support spontan Fernzugriff verlangen?
Wie kann ich überprüfen, ob die Person tatsächlich zu unserem IT-Dienstleister gehört?
Welche Fernwartungssoftware ist bei uns überhaupt erlaubt?
Sind diese Fragen nicht eindeutig geklärt, entsteht eine Sicherheitslücke, die keine Firewall vollständig schließen kann.
Ein einfacher Grundsatz kann viele Angriffe verhindern
Für Mitarbeiter sollte eine Regel besonders klar sein:
Unaufgeforderte Support-Anfragen immer über einen bekannten Kommunikationsweg verifizieren.
Meldet sich beispielsweise plötzlich jemand über Microsoft Teams und möchte Fernzugriff auf einen Rechner, sollte der Mitarbeiter nicht die Telefonnummer oder Kontaktdaten verwenden, die ihm der vermeintliche Supportmitarbeiter gerade nennt.
Stattdessen sollte die bekannte Telefonnummer der internen IT oder des betreuenden IT-Dienstleisters verwendet werden.
Ein kurzer Rückruf kann einen vollständigen Cyberangriff verhindern.
Unternehmen können außerdem eindeutige Supportprozesse etablieren.
Beispielsweise:
„Fernwartungen finden bei uns grundsätzlich nur nach vorherigem Ticket oder telefonischer Rücksprache statt.“
Eine solche einfache Regel nimmt Social Engineering einen großen Teil seiner Wirkung.
Was Unternehmen jetzt überprüfen sollten
Die aktuelle Angriffskampagne zeigt erneut, dass moderne IT-Sicherheit aus mehreren Ebenen bestehen muss.
Externe Kommunikation in Microsoft Teams prüfen
Nicht jedes Unternehmen benötigt uneingeschränkte Kommunikation mit beliebigen externen Teams-Nutzern.
Microsoft empfiehlt Unternehmen deshalb, ihre Richtlinien für externe Zusammenarbeit zu überprüfen und externe Kommunikation gegebenenfalls auf vertrauenswürdige Organisationen zu begrenzen.
Welche Einstellung sinnvoll ist, hängt allerdings stark davon ab, wie Teams im jeweiligen Unternehmen genutzt wird.
Multi-Faktor-Authentifizierung konsequent einsetzen
Gestohlene oder missbrauchte Zugangsdaten sollten nicht ausreichen, um auf kritische Unternehmenssysteme zuzugreifen.
Eine konsequent umgesetzte Multi-Faktor-Authentifizierung (MFA) gehört deshalb heute zur Grundausstattung einer professionellen Unternehmens-IT.
Besonders wichtig sind administrative Konten, Microsoft 365, VPN-Zugänge, Remote-Verbindungen und andere Systeme mit Zugriff auf sensible Unternehmensdaten.
Conditional Access richtig konfigurieren
Microsoft Entra bietet Unternehmen die Möglichkeit, Zugriffe nicht nur anhand eines Passwortes zu erlauben.
Zusätzlich können beispielsweise Benutzer, Geräte, Standorte oder andere Bedingungen berücksichtigt werden.
Damit lässt sich verhindern, dass ein gültiger Benutzername und ein gültiges Passwort automatisch vollständigen Zugriff ermöglichen.
Fernwartungsprogramme kontrollieren
Unternehmen sollten wissen, welche Remote-Support- und Remote-Management-Werkzeuge in ihrer Umgebung erlaubt sind.
Je weniger unkontrollierte Fernwartungsmöglichkeiten existieren, desto einfacher lassen sich ungewöhnliche Aktivitäten erkennen.
Professionelle Managed Services gehen deshalb deutlich über die Installation eines Virenscanners hinaus.
Geräte, Benutzerkonten, Berechtigungen, Fernzugriffe, Updates und Sicherheitsereignisse müssen gemeinsam betrachtet werden.
Endgeräte überwachen
Moderne Endpoint-Security kann ungewöhnliche Prozessketten erkennen.
Beispielsweise kann es verdächtig sein, wenn unmittelbar nach einer Fernwartung PowerShell startet, Software heruntergeladen wird und anschließend ungewöhnliche Netzwerkaktivitäten auftreten.
Endpoint Detection and Response – kurz EDR – versucht genau solche Verhaltensmuster zu erkennen.
Administrative Zugänge begrenzen
Ein normaler Mitarbeiter-PC sollte möglichst wenig Möglichkeiten bieten, auf kritische Server oder administrative Systeme zuzugreifen.
Netzwerksegmentierung, eingeschränkte Administratorrechte, getrennte Administrationskonten und moderne Berechtigungskonzepte können den Schaden erheblich reduzieren, wenn ein einzelnes Gerät kompromittiert wird.
Mitarbeiter sensibilisieren
Awareness bedeutet nicht, Mitarbeitern einmal pro Jahr zu erklären, dass sie keine unbekannten E-Mail-Anhänge öffnen sollen.
Angriffsmethoden verändern sich.
Heute kann Phishing eine E-Mail sein.
Morgen ein Teams-Chat.
Übermorgen vielleicht ein täuschend echter KI-generierter Telefonanruf.
Entscheidend ist deshalb weniger das Erkennen einer bestimmten Betrugsmasche als ein grundsätzlich sicherer Umgang mit ungewöhnlichen Anfragen.
„Wir haben doch Microsoft 365“ ist keine vollständige Sicherheitsstrategie
Microsoft 365 bietet zahlreiche leistungsfähige Sicherheitsfunktionen.
Doch Funktionen müssen richtig konfiguriert, überwacht und in ein Gesamtkonzept integriert werden.
Die aktuelle Angriffskampagne zeigt das sehr deutlich.
Microsoft Teams kann korrekt funktionieren.
Quick Assist kann korrekt funktionieren.
PowerShell kann korrekt funktionieren.
Das Benutzerkonto kann korrekt funktionieren.
Und trotzdem kann ein Angriff erfolgreich sein.
IT-Sicherheit entsteht deshalb nicht durch ein einzelnes Produkt.
Sie entsteht durch das Zusammenspiel aus:
- Identitätsschutz
- sicheren Endgeräten
- Berechtigungsmanagement
- Netzwerksegmentierung
- Monitoring
- Backup
- sicheren Supportprozessen
- Mitarbeitersensibilisierung
- und einer professionell administrierten Microsoft-365-Umgebung.
Besonders KMU sollten ihre Supportprozesse hinterfragen
Große Unternehmen verfügen häufig über eigene Security-Teams, zentrale Helpdesks und genau definierte Supportprozesse.
Bei kleinen und mittelständischen Unternehmen sieht die Realität oftmals anders aus.
Der Geschäftsführer ruft den IT-Dienstleister an.
Ein Techniker meldet sich anschließend beim Mitarbeiter.
Fernwartungen werden spontan durchgeführt.
Genau diese grundsätzlich effizienten und unkomplizierten Abläufe können von Angreifern nachgeahmt werden.
Deshalb sollte auch in einem Unternehmen mit zehn, zwanzig oder fünfzig Mitarbeitern eindeutig geregelt sein, wie echter IT-Support erkennbar ist.
Das muss die tägliche Arbeit nicht komplizierter machen.
Im Gegenteil: Ein klarer Prozess kann sehr einfach sein und trotzdem enorme Sicherheitswirkung haben.
Was Mitarbeiter bei einer unerwarteten Teams-Supportanfrage tun sollten
Erhält ein Mitarbeiter unerwartet eine Teams-Nachricht von einem angeblichen IT-Mitarbeiter, sollte er zunächst nichts freigeben.
Insbesondere bei folgenden Aufforderungen ist Vorsicht geboten:
- Fernsteuerung des Computers erlauben
- Quick Assist öffnen
- einen Verbindungscode eingeben oder weitergeben
- PowerShell oder Eingabeaufforderung öffnen
- unbekannte Software installieren
- MFA-Anfragen bestätigen
- Zugangsdaten nennen
- Sicherheitswarnungen ignorieren
Stattdessen sollte die Anfrage über einen bekannten internen Kontakt oder den bekannten IT-Dienstleister überprüft werden.
Im Zweifel gilt:
Lieber einen echten Supportvorgang für fünf Minuten unterbrechen als einem Angreifer fünf Stunden Zugriff auf das Unternehmensnetzwerk ermöglichen.
Fazit: Moderne Cyberangriffe sehen immer weniger wie Cyberangriffe aus
Genau das macht die aktuelle Kampagne so interessant.
Es gibt möglicherweise keine offensichtlich verdächtige Datei.
Keine schlecht geschriebene Phishing-Mail.
Keine blinkende Warnmeldung.
Stattdessen meldet sich jemand freundlich über Microsoft Teams und behauptet, ein technisches Problem lösen zu wollen.
Die eigentliche Sicherheitsfrage lautet deshalb längst nicht mehr nur:
„Haben wir einen Virenschutz?“
Unternehmen sollten sich vielmehr fragen:
Würden unsere Mitarbeiter einen falschen IT-Support erkennen – und würde unsere technische Infrastruktur den Schaden begrenzen, falls jemand darauf hereinfällt?
Innovate Systems unterstützt kleine und mittelständische Unternehmen bei der Absicherung und laufenden Betreuung ihrer IT- und Microsoft-365-Umgebungen – von IT-Sicherheit und Endpoint-Schutz über MFA und Berechtigungsmanagement bis hin zu Managed Services und proaktivem Monitoring.
Wer unsicher ist, wie gut die eigene Umgebung gegen solche Angriffsszenarien geschützt ist, sollte nicht erst auf den ersten Sicherheitsvorfall warten.
Eine strukturierte Überprüfung der vorhandenen IT zeigt meist schnell, welche Maßnahmen bereits gut umgesetzt sind – und an welchen Stellen unnötige Risiken bestehen.
Häufige Fragen zu Phishing über Microsoft Teams
Können Hacker Microsoft Teams für Phishing verwenden?
Ja. Angreifer können externe Teams-Konten verwenden, um Mitarbeiter zu kontaktieren und sich beispielsweise als IT-Support auszugeben. Dabei muss Microsoft Teams selbst nicht kompromittiert sein. Die Täter nutzen legitime Kommunikationsfunktionen für Social Engineering.
Woran erkennt man einen falschen IT-Support?
Verdächtig sind insbesondere unaufgeforderte Supportkontakte, Zeitdruck sowie Aufforderungen, Fernzugriff zu erlauben, Quick Assist zu öffnen, Verbindungscodes weiterzugeben oder Sicherheitswarnungen zu ignorieren. Eine Supportanfrage sollte im Zweifel über einen bereits bekannten Kontaktweg überprüft werden.
Schützt MFA vor solchen Angriffen?
Multi-Faktor-Authentifizierung ist eine wichtige Sicherheitsebene, verhindert Social Engineering aber nicht vollständig. Deshalb sollten MFA, Endpoint-Security, Berechtigungsmanagement, sichere Supportprozesse und Monitoring miteinander kombiniert werden.
Ist Microsoft Teams unsicher?
Nein. Die von Microsoft beschriebene Kampagne basiert nicht auf einer klassischen Sicherheitslücke in Teams. Angreifer nutzen legitime Funktionen und versuchen, Mitarbeiter dazu zu bringen, selbst Zugriff zu gewähren.
Was sollte ein Unternehmen bei einem verdächtigen Fernzugriff tun?
Ein verdächtiger Fernzugriff sollte sofort beendet und der IT-Verantwortliche beziehungsweise IT-Dienstleister informiert werden. Das betroffene Gerät sollte anschließend untersucht werden. Je nach Vorfall können außerdem das Sperren oder Ändern von Zugangsdaten und weitere Sicherheitsmaßnahmen notwendig sein.