Schlechte Nachrichten für alle, die sich hinter Zwei-Faktor und Passkeys sicher fühlen: Eine Phishing-Methode namens Device-Code-Phishing hängt JETZT alle Schutzmechanismen ab — und sie ist in nur sechs Monaten von der Profi-Spionage zur Massenware für Kriminelle geworden.
37-FACHER Anstieg — die Zahlen sind brutal
Sicherheitsforscher zählen inzwischen 18 fertige Phishing-Baukästen für genau diese Masche. Die Zahl der erkannten Angriffsseiten ist um den Faktor 37 explodiert. Jeder größere Phishing-Anbieter hat die Technik mittlerweile im Programm. Was Anfang des Jahres noch staatlichen Hackern aus Russland vorbehalten war, gibt es heute praktisch von der Stange.
SO funktioniert der Trick
Normalerweise tippst du Passwort und Zwei-Faktor-Code auf der echten Login-Seite ein. Beim Device-Code-Phishing zielt der Angreifer aber nicht auf deine Eingabe, sondern auf die Geräte-Code-Anmeldung — den Ablauf, mit dem du etwa einen Smart-TV oder ein Konsolen-Programm freigibst.
Der Angreifer startet diesen Ablauf selbst und schickt dir den dabei erzeugten Code mit einer glaubwürdigen Geschichte („Bitte bestätige unser Teams-Meeting“). Du gibst den Code auf der ECHTEN Microsoft-Seite frei — und genau das ist der Haken. Du autorisierst nicht dein Gerät, sondern das des Angreifers. Weil der Login selbst echt ist, helfen weder starkes Passwort noch Zwei-Faktor noch Passkey.
Warum geklaute Tokens so GEFÄHRLICH sind
Hat der Angreifer den Code, bekommt er ein OAuth-Token — quasi einen Dauer-Schlüssel. Der überlebt selbst einen Passwortwechsel. Du kannst dein Passwort also dreimal ändern, der Eindringling bleibt trotzdem drin. Genau deshalb ist das für Kriminelle so attraktiv: Es ist Phishing nach dem Login, an der eigentlichen Anmeldung vorbei.
Im Visier stehen vor allem Microsoft 365, Entra ID, Teams und SharePoint. Eine einzige Kampagne mit dem Baukasten „EvilTokens“ kaperte zwischen Februar und März über 340 Microsoft-365-Organisationen allein in den USA.
So WEHRST du dich
Der wirksamste Hebel liegt beim Admin: Die Geräte-Code-Anmeldung gezielt sperren, wo sie nicht gebraucht wird — in Entra ID per Conditional Access. Zusätzlich helfen kurze Token-Laufzeiten, ein Auge auf ungewöhnliche Anmeldungen und klare Schulung: Niemals einen Code freigeben, den du nicht selbst angefordert hast.
FAZIT: Device-Code-Phishing ist tückisch, weil es deine Schutzmechanismen nicht knackt, sondern umgeht. Die gute Nachricht: Wer die Geräte-Code-Anmeldung sauber einschränkt, nimmt der Masche den Boden unter den Füßen.
Häufige Fragen
Schützt mich Zwei-Faktor oder ein Passkey nicht?
Woran erkenne ich so einen Angriff?
Was sollten Administratoren konkret tun?
Hilft ein Passwortwechsel nach einem Vorfall?
Quellen: BleepingComputer, Push Security, Microsoft Security Blog, Cloud Security Alliance (2026).