Bundesamt warnt vor SharePoint Phishing Masche

Das Bundesamt für Cybersicherheit (BACS) meldet eine neue Welle von Phishing-Angriffen über Microsoft SharePoint. Besonders heikel: Selbst die Zwei-Faktor-Authentisierung (2FA) kann hier ausgehebelt werden – wenn du nicht aufmerksam bist. Hier erfährst du, wie die Masche abläuft, warum sie so schwer zu erkennen ist und wie du dich schützt.

Kurze Einordnung: Microsoft SharePoint

SharePoint ist ein System von Microsoft, das Firmen nutzen, um Dateien online zu speichern, zu teilen und gemeinsam daran zu arbeiten. Stell dir einen Online-Ordner für Teams vor – ähnlich wie Dropbox, aber tiefer ins Firmen-Intranet eingebettet: Dokumente, News, Handbücher, Projektseiten.

Mitarbeitende bekommen Einladungen per E-Mail und sind es gewohnt, auf Links zu klicken.

Genau das nutzen Betrüger bei dieser Phishing-Masche aus.

Wie die neue Phishing-Masche funktioniert

Die Betrüger verschicken gefälschte E-Mail-Einladungen, die scheinbar von Kolleginnen, Kollegen oder bekannten Unternehmen stammen – mit einem Link zu einem Dokument auf SharePoint. Auf den ersten Blick wirkt alles echt:

• Die erste Login-Seite ist die echte Microsoft-Seite.
• Die Absenderadresse lässt sich leicht fälschen oder wirkt glaubwürdig.
• Moderne Übersetzungstools sorgen für fehlerfreie Texte.

Keine typischen Betrugshinweise. Kein schlechtes Deutsch. Kein seltsames Layout.

So werden die Daten abgegriffen: Ablauf der Phishing-Masche im Detail

1. Du klickst auf den SharePoint-Link → die echte Microsoft-Loginseite öffnet sich.
2. Du loggst dich ein → Microsoft schickt wie gewohnt einen Sicherheitscode (2FA).
3. Du gibst den Code ein → Die Betrüger sitzen in Echtzeit zwischen deinem Browser und Microsoft. Sie leiten deinen Code sofort weiter und nutzen ihn direkt für einen parallelen Login.
4. Der eigentliche Angriff → Im Dokumentbereich öffnet sich ein weiterer Link, z. B. zu einem PDF.
5. Auf der gefälschten Folgeseite wirst du erneut zum Login aufgefordert.
6. Dein Passwort und der 2FA-Code werden live abgefangen – und können von den Angreifern genutzt werden.

Wichtig: Microsoft selbst wurde nicht gehackt. Die Angreifer sitzen wie ein „Zwischenstation-Server“ zwischen dir und Microsoft. Alles, was du eingibst, wird direkt weitergeleitet.

Warum diese Masche so schwer zu erkennen ist

• Der erste Login ist echt → du hast bereits Vertrauen aufgebaut.
• Das Layout der gefälschten Seite ist identisch.
• Der Sicherheitscode ist echt → dein Gehirn sagt: „Alles korrekt.“
• Dokumentenfreigaben per Mail gehören zum Firmenalltag → Klickreflex, ohne genauer hinzuschauen.

Diese Methode heisst Real-Time-Phishing oder Man-in-the-Middle-Phishing: Technisch wird nichts gehackt – die Angreifer nutzen dein Verhalten aus, um Zugriff zu erhalten.

Praktische Schutzmassnahmen für Unternehmen und Privatpersonen

• Nie über Mail-Links einloggen → direkt über die offizielle Microsoft-Website oder App gehen.
• Unerwartete Dokumentfreigaben prüfen → besonders bei unbekannten Absendern oder wenn die Anfrage überraschend kommt.
• E-Mail-Adressen genau lesen → kleine Schreibfehler oder zusätzliche Zeichen sind Hinweise auf Fälschungen.
• Hardware-Keys nutzen → Security-Keys (z. B. USB-Stick zum Einloggen) senken das Risiko erheblich, weil Codes dabei nicht abgefangen werden können.
• Auf ungewöhnliches Verhalten achten → mehrfache Anmeldeanfragen oder sofortige Datei-Downloads sind verdächtig.
• Kolleginnen, Kollegen und das persönliche Umfeld aufklären → auch legitime Seiten und echte Sicherheitscodes können missbraucht werden.

Die SharePoint-Phishing-Masche ist gefährlich, weil sie vertraute Abläufe nutzt: echte Login-Seiten, echte Sicherheitscodes, gewohnte Dokumentenfreigaben. Wer nicht blind auf Links klickt und 2FA nur auf verifizierten Seiten eingibt, macht es Angreifern deutlich schwerer.