Das Wichtigste in Kürze
- Ein Verkäufer bietet im Darknet interne Mitarbeiterverzeichnisse großer Konzerne an — abgezogen aus Azure- und Entra-Mandanten.
- Betroffen sind laut Berichten mindestens neun Großunternehmen, darunter McDonald’s, Vodafone und Kyndryl.
- Der Weg hinein waren keine Sicherheitslücken, sondern schlicht gestohlene Zugangsdaten.
- Die Daten sind Gold für Phishing: echte Namen, echte Mail-Adressen, echte Telefonnummern, echte Mandantenstruktur.
Hinweis: Dieser Beitrag enthält Affiliate-Links (mit * gekennzeichnet). Kaufst du über einen dieser Links, erhalte ich eine kleine Provision — für dich ändert sich der Preis nicht.
Es braucht keine spektakuläre Zero-Day-Lücke, um an die Adressbücher von Weltkonzernen zu kommen. Es reicht ein geklautes Passwort. Genau das führen gerade Darknet-Anzeigen vor, in denen jemand die internen Mitarbeiterverzeichnisse gleich mehrerer Fortune-500-Firmen zum Verkauf stellt.
Was da verkauft wird
Ein Akteur unter dem Namen „TheHatman“ hat in den vergangenen Tagen Untergrundforen mit Angeboten geflutet. Betroffen sind laut Berichten von Hudson Rock und mehreren Security-Publikationen mindestens neun Großunternehmen aus IT-Dienstleistung, Gastronomie, Telekommunikation, Handel und Logistik — namentlich genannt werden unter anderem McDonald’s, Vodafone und Kyndryl.
Der Verkäufer behauptet, die Datensätze direkt aus den Azure- und Entra-Mandanten der Opfer gezogen zu haben — also aus dem Verzeichnisdienst, in dem ein Unternehmen sämtliche Mitarbeiterkonten verwaltet.
Was in den Datensätzen steckt
Kein Klartext-Passwort, keine Kreditkarte. Aber etwas, das für Angreifer fast genauso wertvoll ist:
- vollständige Namen
- dienstliche E-Mail-Adressen — inklusive der aktiven Domains und der firmeneigenen
.onmicrosoft.com-Struktur - Telefonnummern
- Postanschriften
Klingt harmlos? Ist es nicht. Das ist der Bauplan für perfektes Phishing. Wer weiß, wie die Mailadressen im Konzern aufgebaut sind, wer in welcher Abteilung sitzt und wie der Mandant heißt, schreibt keine plumpen „Sehr geehrter Kunde“-Mails mehr. Der schreibt eine Mail, die aussieht, als käme sie vom Kollegen zwei Türen weiter.
Der eigentliche Skandal: keine Lücke nötig
Hier liegt der Punkt, der weit über die genannten Konzerne hinaus wichtig ist. Es wurde keine Software-Schwachstelle ausgenutzt. Es wurden schlicht gültige Zugangsdaten verwendet — vermutlich abgegriffen über Infostealer-Malware auf Rechnern von Mitarbeitern.
Aus Sicht von Microsoft war das kein Angriff. Das war ein Login. Genau deshalb greifen die üblichen Abwehrmechanismen nicht: Es gibt keinen Exploit zu blocken, keinen Patch einzuspielen, keine verdächtige Payload zu erkennen. Da meldet sich jemand mit den richtigen Daten an und liest aus, was er darf.
Warum dich das betrifft, auch ohne Konzern-Job
Zwei Gründe. Erstens: Deine Daten könnten dabei sein, wenn du bei einem der Unternehmen arbeitest oder gearbeitet hast — oder bei einem der noch nicht genannten. Zweitens, und das ist der wichtigere Teil: Genau dieselbe Angriffsmethode funktioniert bei dir zu Hause.
Infostealer sind heute die Standardware im Untergrund. Sie kommen über geknackte Software, über gefälschte Installer, über bösartige Browser-Erweiterungen — und sie räumen dann in Sekunden alles ab, was der Browser gespeichert hat. Session-Cookies inklusive. Damit ist selbst eine aktivierte Zwei-Faktor-Absicherung ausgehebelt, weil der Angreifer die bereits authentifizierte Sitzung übernimmt und sich gar nicht neu anmelden muss.
Was du konkret tun kannst
Phishing-resistente Zweitfaktoren nutzen. SMS-Codes und App-Codes lassen sich abfischen und weiterreichen. Ein Hardware-Schlüssel nach FIDO2-Standard nicht — der prüft die Domain kryptografisch mit und verweigert die Freigabe auf einer gefälschten Anmeldeseite. Wer sein Microsoft-, Google- oder GitHub-Konto ernsthaft absichern will, fährt mit einem YubiKey 5 NFC* deutlich besser als mit jeder App.
Passwörter nicht im Browser speichern. Genau da holen Infostealer sie ab. Ein separater Passwort-Manager mit eigener Verschlüsselung wie NordPass* — oder eine selbst gehostete Lösung wie Vaultwarden, wenn du lieber alles im eigenen Netz hast — ist die deutlich robustere Wahl.
Aktive Sitzungen aufräumen. In den Sicherheitseinstellungen deiner wichtigen Konten kannst du alle angemeldeten Geräte einsehen und rauswerfen. Ein Mal im Quartal reicht schon.
Bei Mails vom „Kollegen“ misstrauisch bleiben. Wenn eine interne Mail plötzlich zu einer Anmeldeseite führt oder eine ungewöhnliche Zahlung anstößt: Rückfrage über einen anderen Kanal. Telefon. Nicht per Antwort auf die Mail.
Und die betroffenen Firmen?
Öffentliche Stellungnahmen der genannten Unternehmen liegen zum Zeitpunkt dieses Beitrags nicht vor. Die Angaben stammen vom Verkäufer selbst und von Threat-Intelligence-Firmen, die die Anzeigen ausgewertet haben — eine unabhängige Bestätigung von Konzernseite steht aus. Wir halten das hier bewusst so offen, wie die Faktenlage ist.
Häufige Fragen
Wurde Microsoft Azure gehackt?
Nein. Nach aktuellem Stand wurde keine Schwachstelle in Azure oder Entra ausgenutzt. Der Zugriff erfolgte mit gültigen, zuvor gestohlenen Zugangsdaten von Mitarbeiterkonten — technisch also ein regulärer Login.
Sind Passwörter Teil der verkauften Daten?
Den Berichten zufolge nicht. Die Datensätze enthalten Namen, dienstliche E-Mail-Adressen, Telefonnummern und Anschriften. Die gestohlenen Zugangsdaten waren der Weg hinein, nicht die Ware.
Wie erfahre ich, ob meine Firmenadresse betroffen ist?
Zuverlässig gar nicht — die Datensätze sind nicht öffentlich. Wenn du bei einem der genannten Unternehmen arbeitest, ist die interne IT-Sicherheit der richtige Ansprechpartner. Grundsätzlich hilft ein Blick in bekannte Leak-Suchdienste wie Have I Been Pwned.
Schützt Zwei-Faktor-Authentifizierung gegen so einen Angriff?
Teilweise. Klassische Verfahren per SMS oder Authenticator-App lassen sich über Phishing-Seiten und gestohlene Session-Cookies umgehen. Phishing-resistente Verfahren nach FIDO2-Standard — also Hardware-Schlüssel oder Passkeys — schützen deutlich besser, weil sie die Domain kryptografisch prüfen.
Was sind Infostealer eigentlich?
Schadprogramme, die gezielt gespeicherte Zugangsdaten, Browser-Cookies, Krypto-Wallets und Autofill-Daten von einem Rechner abziehen. Sie werden häufig über geknackte Software, gefälschte Installer oder bösartige Browser-Erweiterungen verteilt und laufen oft nur wenige Sekunden.