Das Bundesamt für Cybersicherheit (BACS) meldet eine neue Welle von Phishing-Angriffen über Microsoft SharePoint. Besonders heikel: Selbst die Zwei-Faktor-Authentisierung (2FA) kann hier ausgehebelt werden – wenn du nicht aufmerksam bist. Hier erfährst du, wie die Masche abläuft, warum sie so schwer zu erkennen ist und wie du dich schützt.
Kurze Einordnung: Microsoft SharePoint
SharePoint ist ein System von Microsoft, das Firmen nutzen, um Dateien online zu speichern, zu teilen und gemeinsam daran zu arbeiten. Stell dir einen Online-Ordner für Teams vor – ähnlich wie Dropbox, aber tiefer ins Firmen-Intranet eingebettet: Dokumente, News, Handbücher, Projektseiten.
Mitarbeitende bekommen Einladungen per E-Mail und sind es gewohnt, auf Links zu klicken.
Genau das nutzen Betrüger bei dieser Phishing-Masche aus.
Wie die neue Phishing-Masche funktioniert
Die Betrüger verschicken gefälschte E-Mail-Einladungen, die scheinbar von Kolleginnen, Kollegen oder bekannten Unternehmen stammen – mit einem Link zu einem Dokument auf SharePoint. Auf den ersten Blick wirkt alles echt:
- Die erste Login-Seite ist die echte Microsoft-Seite.
- Die Absenderadresse lässt sich leicht fälschen oder wirkt glaubwürdig.
- Moderne Übersetzungstools sorgen für fehlerfreie Texte.
Keine typischen Betrugshinweise. Kein schlechtes Deutsch. Kein seltsames Layout.
So werden die Daten abgegriffen: Ablauf der Phishing-Masche im Detail
- Du klickst auf den SharePoint-Link → die echte Microsoft-Loginseite öffnet sich.
- Du loggst dich ein → Microsoft schickt wie gewohnt einen Sicherheitscode (2FA).
- Du gibst den Code ein → Die Betrüger sitzen in Echtzeit zwischen deinem Browser und Microsoft. Sie leiten deinen Code sofort weiter und nutzen ihn direkt für einen parallelen Login.
- Der eigentliche Angriff → Im Dokumentbereich öffnet sich ein weiterer Link, z. B. zu einem PDF.
- Auf der gefälschten Folgeseite wirst du erneut zum Login aufgefordert.
- Dein Passwort und der 2FA-Code werden live abgefangen – und können von den Angreifern genutzt werden.
Wichtig: Microsoft selbst wurde nicht gehackt. Die Angreifer sitzen wie ein „Zwischenstation-Server“ zwischen dir und Microsoft. Alles, was du eingibst, wird direkt weitergeleitet.
Warum diese Masche so schwer zu erkennen ist
- Der erste Login ist echt → du hast bereits Vertrauen aufgebaut.
- Das Layout der gefälschten Seite ist identisch.
- Der Sicherheitscode ist echt → dein Gehirn sagt: „Alles korrekt.“
- Dokumentenfreigaben per Mail gehören zum Firmenalltag → Klickreflex, ohne genauer hinzuschauen.
Diese Methode heisst Real-Time-Phishing oder Man-in-the-Middle-Phishing: Technisch wird nichts gehackt – die Angreifer nutzen dein Verhalten aus, um Zugriff zu erhalten.
Praktische Schutzmassnahmen für Unternehmen und Privatpersonen
- Nie über Mail-Links einloggen → direkt über die offizielle Microsoft-Website oder App gehen.
- Unerwartete Dokumentfreigaben prüfen → besonders bei unbekannten Absendern oder wenn die Anfrage überraschend kommt.
- E-Mail-Adressen genau lesen → kleine Schreibfehler oder zusätzliche Zeichen sind Hinweise auf Fälschungen.
- Hardware-Keys nutzen → Security-Keys (z. B. USB-Stick zum Einloggen) senken das Risiko erheblich, weil Codes dabei nicht abgefangen werden können.
- Auf ungewöhnliches Verhalten achten → mehrfache Anmeldeanfragen oder sofortige Datei-Downloads sind verdächtig.
- Kolleginnen, Kollegen und das persönliche Umfeld aufklären → auch legitime Seiten und echte Sicherheitscodes können missbraucht werden.
Die SharePoint-Phishing-Masche ist gefährlich, weil sie vertraute Abläufe nutzt: echte Login-Seiten, echte Sicherheitscodes, gewohnte Dokumentenfreigaben. Wer nicht blind auf Links klickt und 2FA nur auf verifizierten Seiten eingibt, macht es Angreifern deutlich schwerer.