Microsoft 365 gehackt: Was jetzt zu tun ist – und warum ein neues Passwort nicht reicht

Ungewöhnliche Anmeldungen aus dem Ausland, Kunden fragen nach seltsamen Rechnungen, Ihr Postfach verschickt E-Mails, die Sie nie geschrieben haben, oder Sie bekommen plötzlich MFA-Anfragen ohne eigenen Anmeldeversuch? Dann besteht der begründete Verdacht, dass Ihr Microsoft 365 gehackt wurde. Bleiben Sie ruhig – aber handeln Sie zügig. Die ersten Stunden entscheiden darüber, wie groß der Schaden wird.

Diese Angriffe treffen längst nicht nur Konzerne. Business Email Compromise (BEC) – der Missbrauch gekaperter Geschäftskonten für Zahlungs- und Rechnungsbetrug – gehört laut FBI-Meldestelle IC3 zu den teuersten Cyberdelikten überhaupt: über 55 Milliarden US-Dollar gemeldeter Schäden zwischen 2013 und 2023, allein 2025 weitere rund 3 Milliarden. Gerade kleine und mittlere Unternehmen sind beliebte Ziele.

Dieser Beitrag ist bewusst als Soforthilfe und Aufklärung geschrieben: Sie erfahren, was Sie unmittelbar tun sollten, woran Sie eine Kompromittierung erkennen, warum ein einfacher Passwort-Wechsel gefährlich trügerisch ist – und wie Sie Ihren Tenant wirklich sauber und dauerhaft sicher bekommen.

Woran Sie erkennen, dass Ihr Konto betroffen ist

Je früher eine Kompromittierung auffällt, desto kleiner der Schaden. Diese Anzeichen deuten auf einen Angriff hin:

Warum ein neues Passwort nicht reicht: Ihr Tenant als Sprungbrett

Das ist der wichtigste – und am häufigsten unterschätzte – Punkt: Passwort ändern schließt die Haustür, doch der Angreifer hat sich längst mehrere Hintertüren eingebaut. Moderne Angriffe zielen nicht nur auf ein Passwort, sondern auf dauerhaften Zugang (Persistenz). Typische Verankerungen, die einen Passwort-Reset überstehen:

Wird nur das Passwort getauscht, bleiben diese Mechanismen aktiv – und das Konto wird immer wieder übernommen. Ein kompromittierter Tenant, der nicht gründlich bereinigt wird, entwickelt sich zum Sprungbrett mit drei gefährlichen Ausprägungen:

1. Massenmail-Schleuder. Angreifer missbrauchen Ihre Domain und Ihren Ruf, um Spam- und Phishing-Wellen zu versenden. Die Folge: Reputationsschaden, Blacklisting Ihrer Domain und Zustellprobleme für Ihre legitime Geschäftspost – oft noch Wochen später.

2. Login-Brücke und laterale Ausbreitung. Über Single Sign-On, Gastzugänge (B2B), verbundene Anwendungen und Partner-Beziehungen wird der gekaperte Tenant zum Brückenkopf: Der Angreifer bewegt sich von einem Konto zum nächsten und von Ihrem Unternehmen weiter zu Kunden und Partnern.

3. Vertrauensmissbrauch als Folgeangriff. Weil Nachrichten aus einer echten, bekannten Domain kommen, sind gezielte Betrugs- und Supply-Chain-Angriffe auf Ihr Umfeld besonders erfolgreich. Ihr guter Name wird zur Waffe gegen Ihre eigenen Geschäftspartner.

Deshalb erfordert eine saubere Wiederherstellung mehr als einen Klick: alle Tokens invalidieren, sämtliche Persistenz-Mechanismen aufspüren und entfernen, den Umfang systematisch bewerten und den Tenant anschließend härten. Ohne Erfahrung und methodisches Vorgehen bleibt fast immer ein Rest – und genau dieser Rest genügt dem Angreifer, um zurückzukehren. Professionelle Unterstützung ist hier kein Luxus, sondern der Unterschied zwischen „wirkt sauber“ und „ist sauber“.

So läuft ein moderner Angriff ab (defensiv erklärt)

Um sich zu schützen, hilft es, das Muster zu kennen. Die folgende Darstellung dient der Erkennung, nicht der Nachahmung.

1. Der Köder. Eine Phishing-Nachricht – angebliche Rechnung, „geteiltes Dokument“, Sprachnachricht, Signaturanfrage oder „Ihre Sitzung ist abgelaufen“. Meist in fehlerfreiem Deutsch.

2. Die gefälschte Anmeldeseite. Der Link führt auf eine Seite, die der echten Microsoft-Anmeldung gleicht. Dahinter steckt ein Proxy, der zwischen Opfer und echtem Microsoft sitzt (Adversary-in-the-Middle, AiTM). Microsoft nennt AiTM inzwischen die verbreitetste moderne Phishing-Technik.

3. MFA wird ausgehebelt. Der Nutzer gibt Passwort und MFA-Code ein – beides wird an das echte Microsoft weitergereicht. Der Proxy greift dabei das ausgestellte Sitzungs-Token ab. Wichtig: MFA schützt den Anmeldevorgang, nicht die Sitzung danach. Mit dem gestohlenen Token ist der Angreifer „drin“ – ganz ohne Passwort und zweiten Faktor.

4. Die Verankerung. Jetzt richtet der Angreifer die oben beschriebene Persistenz ein. Microsoft beobachtet seit April 2025 vermehrt „Device-Join-Phishing“, bei dem Angreifer eigene Geräte in fremde Tenants einschleusen.

5. Der Missbrauch. Mitlesen, den richtigen Zahlungsvorgang abwarten, IBAN manipulieren, Partner weiter anschreiben – oder den Tenant als Sprungbrett nutzen. Wie real solche Angriffe auf Microsoft-Cloud-Umgebungen sind, zeigt unsere Analyse eines realen Vorfalls in der Microsoft-Cloud-Infrastruktur.

Die unterschätzte Lücke: Ein Gerät hinzufügen – nur mit Passwort, ganz ohne MFA

Ein Detail aus dem Angriffsablauf verdient besondere Aufmerksamkeit, weil es so viele Tenants betrifft und so selten bekannt ist: Das Registrieren oder Beitreten eines Geräts ist ein eigener Vorgang – und in der Standardkonfiguration vieler Microsoft-365-/Entra-ID-Umgebungen verlangt genau dieser Vorgang keine Multi-Faktor-Authentifizierung. Wer gültige Anmeldedaten besitzt – ein erbeutetes Passwort oder einen gestohlenen Sitzungs-Token –, kann damit ein eigenes Gerät in den fremden Tenant einbinden, ohne einen zweiten Faktor zu benötigen.

Genau das ist die Lücke hinter dem „Device-Join-Phishing“, das Microsoft seit April 2025 verstärkt beobachtet. Der Denkfehler dahinter: Viele gehen davon aus „wir haben MFA, also ist alles abgesichert“. MFA schützt aber zunächst die Anmeldung – der separate Schritt „Gerät hinzufügen“ läuft in der Grundeinstellung oft ohne diese Hürde.

Warum ein zusätzliches, fremdes Gerät im Tenant so gefährlich ist:

So schließen Sie die Lücke mit Conditional Access. Der Vorgang „Gerät registrieren oder beitreten“ lässt sich gezielt mit MFA absichern. So gehen Sie – gemeinsam mit Ihrem IT-Partner – vor:

1. Richtlinie für die Benutzeraktion anlegen. Im Microsoft-Entra-Admin-Center unter Conditional Access → Richtlinien → Neue Richtlinie. Als Zielressource nicht eine App, sondern Benutzeraktionen → „Gerät registrieren oder beitreten“ wählen.
2. MFA erzwingen – am besten phishing-resistent. Unter Gewähren die Option Zugriff gewähren mit Authentifizierungsstärke aktivieren und mindestens „Multifaktor-Authentifizierung“ verlangen – idealerweise eine phishing-resistente Stärke (Passkey/FIDO2), damit die Absicherung nicht selbst per AiTM umgangen wird.
3. Notfallkonten ausnehmen. Break-Glass-/Notfall-Administratorkonten (und reine Dienstkonten) von der Richtlinie ausschließen, damit Sie sich nie selbst aussperren.
4. Erst testen, dann scharf schalten. Die Richtlinie zunächst im „Nur-Bericht“-Modus (Report-only) laufen lassen, prüfen und anschließend auf „Ein“ stellen.
5. Den Altschalter beachten (wichtiger Fallstrick). Die frühere Einstellung unter Entra ID → Geräte → Geräteeinstellungen („Multi-Faktor-Authentifizierung zum Registrieren oder Beitreten von Geräten erforderlich“) muss auf „Nein“ stehen, wenn die Steuerung über Conditional Access erfolgt – sonst greift die neue Richtlinie nicht sauber. Microsoft empfiehlt heute ausdrücklich den Weg über Conditional Access statt über diesen Legacy-Schalter.

Ergänzend gilt: einschränken, wer überhaupt Geräte einbinden darf, den Ressourcenzugriff möglichst auf konforme, verwaltete Geräte begrenzen und die Geräteliste regelmäßig prüfen – unbekannte Einträge sofort entfernen. So wird aus einem lautlosen Dauerzugang wieder ein Vorgang, der ohne zweiten Faktor gar nicht zustande kommt.

Schutzmaßnahmen: So sichern Sie Microsoft 365 wirksam ab

Wirksamer Schutz besteht aus mehreren abgestimmten Schichten (Defense in Depth), nach Wirkung priorisiert:

1. Phishing-resistente MFA (wichtigster Hebel). Klassische MFA per SMS oder App-Code lässt sich per AiTM aushebeln. Passkeys, FIDO2-Schlüssel, Windows Hello for Business oder zertifikatsbasierte Anmeldung sind kryptografisch an die echte Domain gebunden und funktionieren auf gefälschten Seiten schlicht nicht. Für Admin-Konten sollte dies verpflichtend sein.

2. Conditional Access (bedingter Zugriff). Jede Anmeldung anhand von Gerätezustand, Standort und Anmelde-Risiko prüfen: Zugriff nur von verwalteten, konformen Geräten; Sperren für nie genutzte Länder; risikobasierte Richtlinien (Identity Protection); Legacy-Authentifizierung deaktivieren. Auch der Vorgang „Gerät registrieren oder beitreten“ gehört ausdrücklich mit MFA abgesichert (siehe Abschnitt oben). Damit folgen Sie konsequent dem Zero-Trust-Prinzip.

3. Sitzungen und Tokens absichern. Token Protection (Bindung an das Ursprungsgerät) und Continuous Access Evaluation (nahezu Echtzeit-Entzug bei riskanten Ereignissen) aktivieren; Sitzungsdauer für sensible Rollen begrenzen.

4. Geräte- und App-Governance. OAuth-App-Zustimmungen einschränken (Admin-Consent-Workflow), Geräte-Registrierung kontrollieren, registrierte Geräte/Methoden/Apps regelmäßig prüfen.

5. Postfächer und Protokolle überwachen. Alarme für neue Weiterleitungs-/Postfachregeln, aktiviertes Audit-Logging, Microsoft Defender for Office 365 / für Business, keine automatischen externen Weiterleitungen.

6. Administratoren härten. Separate Admin-Konten ohne Postfach, Least Privilege und Privileged Identity Management (PIM), Orientierung am Microsoft Secure Score.

7. Menschen befähigen. Regelmäßige Schulungen und Phishing-Simulationen – plus ein verbindlicher Zahlungsfreigabe-Prozess: Jede Änderung einer Bankverbindung und jede außergewöhnliche Zahlung wird über einen zweiten, unabhängigen Kanal verifiziert, niemals nur per E-Mail.

8. Vorbereitet sein. Getestetes Backup und ein schriftlicher Notfallplan verkürzen die Reaktionszeit – und die entscheidet über die Schadenshöhe.

Professionelle Bereinigung: So wird der Tenant wirklich sauber

Besteht der Verdacht einer Kompromittierung, sollte die Wiederherstellung strukturiert und vollständig erfolgen – idealerweise mit einem erfahrenen IT-Partner:

1. Konto sperren, alle Sitzungen widerrufen (Tokens invalidieren) – gestohlene Sitzungen werden sofort wertlos.
2. Passwörter zurücksetzen und MFA-Methoden prüfen.
3. Fremde Geräte, Authentifizierungsmethoden und OAuth-Apps entfernen – hier sitzt die Persistenz.
4. Postfachregeln, Weiterleitungen und delegierte Zugriffe prüfen und bereinigen.
5. Anmelde- und Audit-Protokolle auswerten: Zeitpunkt, Umfang und betroffene Daten so genau wie möglich feststellen.
6. Betroffene Partner informieren, wenn in ihrem Namen Nachrichten oder Zahlungsanfragen verschickt wurden.
7. Domain-Reputation prüfen (Blacklists, Zustellbarkeit) und nötige Schritte zur Wiederherstellung einleiten.
8. Anschließend härten – sonst bleibt die Tür für den nächsten Angriff offen.
9. Meldepflichten sachlich prüfen (DSGVO): Bei betroffenen personenbezogenen Daten kann eine Meldung an die Datenschutzbehörde binnen 72 Stunden erforderlich sein. Bewerten Sie belegten Zugriff und tatsächlichen Datenumfang getrennt und faktenbasiert – fristgerecht und regelkonform, ohne den Umfang pauschal zu überschätzen.

Häufige Fragen (FAQ)

Fazit: Sauber ist nicht dasselbe wie „wirkt sauber“

Ein gehacktes Microsoft 365 ist beherrschbar – wenn Sie schnell reagieren und gründlich bereinigen. Der gefährlichste Fehler ist, nach dem Passwort-Wechsel Entwarnung zu geben, während der Tenant im Hintergrund weiter als Sprungbrett dient. Wer alle Sitzungen invalidiert, jede Persistenz entfernt und anschließend mit phishing-resistenter MFA und bedingtem Zugriff härtet, schließt die Tür wirklich – und macht sich zu einem harten Ziel.

Weiterführend in unserem Blog: Wer die eigene Abhängigkeit von US-Cloud-Diensten grundsätzlich überdenken möchte, findet Denkanstöße in unseren Beiträgen zu Euro-Office als europäischer Microsoft-365-Alternative und zu souveränen KI-Agenten im Selfhosting.

So unterstützt Sie SKAWINSKI – Ihr IT-Partner für IT-Sicherheit und Microsoft 365

Als IT-Dienstleister für den DACH-Raum unterstützt die SKAWINSKI GmbH kleine und mittlere Unternehmen bei beidem: der gründlichen Bereinigung eines betroffenen Microsoft-365-/Entra-ID-Tenants und der nachhaltigen Absicherung. Wir prüfen Ihre Umgebung, schließen die kritischen Lücken zuerst und begleiten Sie bis zum sicheren Betrieb.

Verdacht auf einen Vorfall oder unsicher, wie gut Ihr Microsoft 365 aufgestellt ist? Melden Sie sich für einen Security-Check.

„Wir fangen da an, wo andere aufhören.“

– Robert Skawinski · SKAWINSKI GmbH