Ein Spray, kein Durchbruch
Die Sicherheitsfirma Huntress hat eine Password-Spraying-Kampagne offengelegt, die vom 12. bis zum 26. Juni 2026 lief und am 22. Juni ihren Höhepunkt erreichte. In diesen zwei Wochen gingen mehr als 81 Millionen Anmeldeversuche auf Microsoft-365-Konten nieder. Der Verkehr kam aus einem IPv6-Bereich, der auf einen einzigen Betreiber registriert ist, und die Angreifer haben die Passwörter nicht blind geraten. Sie spielten Kombinationen aus Benutzername und Passwort erneut ein, die aus früheren, völlig unabhängigen Datenlecks stammten, in der Wette darauf, dass Menschen dieselben Zugangsdaten bei mehreren Diensten verwenden. Aus dieser Flut wurden am Ende 78 Konten in 64 Organisationen kompromittiert.
Bemerkenswert ist, was hier fehlt: alles Exotische. Kein Zero-Day, keine raffinierte Schadsoftware, kein Trick in der Lieferkette. Es waren Masse, wiederverwendete Zugangsdaten und ein schwacher Authentifizierungsweg. Diese Kombination steht jedem beliebigen Angreifer offen, und genau deshalb sollte sie einen Eigentümer interessieren. Die Technik ist billig, beliebig wiederholbar und zielt auf die Identitätsebene, die die meisten Unternehmen dank Mehr-Faktor-Authentifizierung längst für gesichert halten.
Wie die Logins an MFA vorbeikamen
Der Mechanismus war ein alter Anmeldeweg. Die Angreifer authentifizierten sich über die Azure-Kommandozeilenwerkzeuge mit dem Resource-Owner-Password-Credentials-Fluss, kurz ROPC. Das ist ein älteres OAuth-Verfahren, das Benutzername und Passwort direkt entgegennimmt und in vielen Mandanten überhaupt keine Mehr-Faktor-Abfrage auslöst. Wo ein Mandant MFA zwar aktiviert, aber eng zugeschnitten hatte, spazierten die wiederverwendeten Zugangsdaten durch die Lücke. Huntress fand immer wieder dieselben Fehlkonfigurationen: MFA nur für ausgewählte Anwendungen, MFA nur für Administratorgruppen, MFA nur von nicht vertrauenswürdigen Standorten aus und Conditional-Access-Richtlinien, die im reinen Berichtsmodus stehen blieben, wo sie protokollieren, aber niemals blockieren.
Die weniger offensichtliche Lehre lautet, dass MFA kein Schalter ist, sondern eine Abdeckungskarte. Ein Mandant kann jede Prüfung bestehen, die nur fragt, ob MFA vorhanden ist, und trotzdem eine alte Tür unverschlossen lassen. Die Angreifer haben die Mehr-Faktor-Authentifizierung nicht überwunden. Sie haben die Anmeldungen gefunden, bei denen nie danach gefragt wurde. In diesem Unterschied steckt die ganze Geschichte, und er bleibt unsichtbar, solange niemand nachsieht, welche Authentifizierungswege ein Mandant überhaupt noch zulässt.
Die halbe Stunde, die die Lücke schließt
Ein Konfigurationsproblem hat eine Konfigurationsantwort, und das meiste davon ist eine kurze Sitzung in der Verwaltungskonsole und kein Einkauf. Blockieren Sie die alte Authentifizierung und schalten Sie den ROPC-Fluss ab, damit Anmeldungen mit Benutzername und Passwort, die MFA überspringen, einfach abgewiesen werden. Erzwingen Sie die Mehr-Faktor-Authentifizierung für jede Anwendung und jede Anmeldung, nicht nur für Administratorkonten oder nicht vertrauenswürdige Standorte, und holen Sie Conditional Access aus dem reinen Berichtsmodus in das aktive Blockieren. Prüfen Sie anschließend die Anmeldeprotokolle auf das Muster der gescheiterten Sprays und setzen Sie jede Zugangsdatenkombination zurück, die ein früheres Datenleck offengelegt haben könnte.
Für ein europäisches Unternehmen gibt es einen zweiten Grund zur Eile. Öffnen wiederverwendete Zugangsdaten ein Postfach mit personenbezogenen Daten, kann der Vorfall eine Meldepflicht nach der DSGVO binnen 72 Stunden auslösen. Aus einer stillen Identitätslücke wird dann ein meldepflichtiges Ereignis und ein Gespräch mit der Aufsichtsbehörde. Die Tür zu schließen kostet einen Nachmittag Konfigurationsarbeit. Sie offen zu lassen, kostet Offenlegungspflichten und Vertrauen. Behandeln Sie die Identitätsebene als den Perimeter, der sie inzwischen geworden ist.
Weiterlesen: KI-Prüfung verpasste die Linux-Lücke zu Root | 29 Jahre alter Squid-Fehler gibt Klartext-Logins preis
