Token Spraying: 497 erfolgreiche Anmeldungen umgehen die MFA mit gestohlenen Tokens

Das Sicherheitsunternehmen Huntress hat im Rahmen einer Untersuchung von Juli bis September 2026 verdächtige Anmeldevorgänge bei 79 Kundenorganisationen analysiert. Wie aus einem Bericht vom 24. Oktober 2026 hervorgeht, registrierten die Sicherheitsexperten mindestens 200.000 Anmeldeversuche.

Davon führten 497 erfolgreiche Anmeldungen auf das sogenannte Token Spraying zurück – ein Verfahren, bei dem gestohlene Sitzungstoken automatisiert wiederverwendet werden, statt Passwörter durchzuprobieren.

Umgehung von Multi-Faktor-Authentifizierung durch gestohlene Tokens

Die bei den Angriffen genutzten Tokens stammten laut Huntress aus zuvor legitim durchgeführten Anmeldungen nach bereits erfolgter Multi-Faktor-Authentifizierung (MFA). Da die Sitzungstokens diesen Sicherheitsstatus bereits enthielten, wurden bei den erneuten Anmeldeversuchen keine weiteren MFA-Abfragen ausgelöst.

Zur Beschaffung dieser Zugriffstoken griffen die Täter auf verschiedene Angriffsmethoden zurück. Genannt werden Phishing-Verfahren nach dem Adversary-in-the-Middle-Prinzip, manipulierte Anmeldeseiten, Device-Code-Phishing sowie Social Engineering.

Sobald der Zugriff auf die Konten gelang, nahmen Angreifer in mehreren Fällen tiefgreifende Änderungen vor. Sie passten MFA-Einstellungen an, hinterlegten eigene Telefonnummern, registrierten neue Geräte im Verzeichnisdienst Entra und erstellten versteckte Regeln für Posteingänge. In einem Fall nutzten die Akteure ein kompromittiertes Postfach für Betrugsversuche bei Gehaltsabrechnungen, wobei es nach Unternehmensangaben zu keiner Auszahlung kam.

Wer sich mit komplexen Identitätsangriffen und Phishing-Methoden befasst, benötigt eine proaktive Sicherheitsstrategie. Dieser kostenlose Report zeigt, wie Sie Sicherheitslücken schließen und moderne Bedrohungen frühzeitig erkennen. IT-Sicherheit jetzt proaktiv stärken

Für Administratoren empfiehlt Huntress die Durchsetzung von Conditional Access für alle Benutzerkonten, Cloud-Anwendungen und Client-Typen. Bei einem Verdacht auf das Replay von Sitzungstokens sollten Administratoren aktive Sitzungen widerrufen, Passwörter zurücksetzen sowie registrierte Entra-Geräte, MFA-Methoden und Posteingangsregeln sorgfältig überprüfen.

Risiken in hybriden Exchange-Umgebungen und API-Einschränkungen

Neben Identitätsangriffen auf Cloudebene stehen auch hybride Architekturen unter Druck. Microsoft meldete die hochriskante Sicherheitslücke CVE-2025-53786 mit einem CVSS-Wert von 8.0 im lokalen Exchange Server.

Angesichts immer raffinierterer Manipulationsversuche im Unternehmensumfeld wird die Sensibilisierung für Cyberrisiken zur Pflichtaufgabe. Erfahren Sie in diesem kostenlosen Leitfaden, wie Sie Angriffe auf Ihre Infrastruktur in vier konkreten Schritten unterbinden. Anti-Phishing-Paket für Unternehmen gratis sichern

Wie aus einem Bericht vom 25. Oktober 2026 hervorgeht, ermöglicht dieser Fehler in Hybrid-Bereitstellungen Angreifern mit bereits bestehenden Exchange-Administratorrechten eine Rechteausweitung in die verknüpfte Cloud-Umgebung, ohne dabei leicht auditierbare Spuren zu hinterlassen. Ursache für die Anfälligkeit ist ein gemeinsamer Service Principal von Exchange Server und Exchange Online.

Infolge dieses Risikos blockiert Microsoft ab diesem Monat temporär den Datenverkehr der Exchange Web Services (EWS) über diesen gemeinsamen Service Principal. Die US-Sicherheitsbehörde CISA warnte vor Gefahren für die Identitätsintegrität von Exchange Online und forderte Organisationen auf, nicht mehr unterstützte Exchange- und SharePoint-Instanzen abzuschalten.

Zudem hat Microsoft den Zugriff auf die EWS-API in Exchange Online am 1. Oktober 2026 standardmäßig blockiert. IT-Administratoren können die Schnittstelle bis zur endgültigen Abschaltung am 1. April 2027 temporär wieder aktivieren oder Ausnahmen über Zulassungslisten für Anwendungen definieren.

Die Freischaltung erfolgt im Microsoft-365-Admin-Center unter Baseline Security Mode durch das Deaktivieren der Option zur organisationsweiten EWS-Blockade oder alternativ über den PowerShell-Befehl zur Aktivierung der EWS-Einstellung, was innerhalb von vier Stunden wirksam wird.

Langfristig empfiehlt der Hersteller den Umstieg auf die Microsoft Graph API. Von der Abschaltung ist ausschließlich Exchange Online betroffen, nicht jedoch lokale Exchange-Server.