Infostealer liefern die Token für Entra-ID-Angriffe So umgehen Angreifer mit gestohlenen Token die MFA

Anbieter zum Thema

Check Point Software Technologies GmbH

Widas ID GmbH

FTAPI Software GmbH

Infostealer lesen neben Passwörtern auch aktive Session-Token aus. Mit einem gültigen Token umgehen Angreifer die Multifaktor-Anmeldung und bewegen sich weiter in Richtung Active Directory. Exposure Management prüft geleakte Zugangsdaten nahezu in Echtzeit auf Gültigkeit, MFA-Umgehung und Berechtigungen.

Die Multi-Faktor-Authentifizierung (MFA) gilt vielen Organisationen als verlässliche Hürde gegen Kontoübernahmen. Gegen eine bestimmte Angriffsart bietet sie keinen Schutz. Sobald ein Angreifer ein gültiges Session-Token besitzt, weist er sich gegenüber dem Dienst als bereits angemeldeter Nutzer aus, ohne Passwort und ohne zweiten Faktor. MITRE führt den Diebstahl von Session-Cookies als eigene Technik, die genau diesen Schutz umgeht, da die Sitzung bereits authentifiziert ist. Für die Verteidigung verschiebt sich damit der Fokus von der Anmeldung selbst auf den Schutz und die Überwachung der ausgestellten Token.

Microsoft Authenticator leitet Token an Angreifer weiter

Kritische Authenticator-Lücke er­mög­licht Kontoübernahme ohne Exploit

Ein Token ersetzt den zweiten Faktor

Nach erfolgreicher Anmeldung stellt der Identitätsdienst ein Token aus, das die Sitzung für eine begrenzte Zeit gültig hält. Microsoft beschreibt den Token-Diebstahl als Angriff, bei dem ein ausgestelltes Token kompromittiert und erneut abgespielt wird, auch wenn der Nutzer die MFA zuvor erfüllt hat. Zwei Wege führen zum Token. Auf dem Endgerät greift Schadsoftware das Sitzungs-Cookie direkt aus dem Browser ab. Im Anmeldefluss fängt ein zwischengeschalteter Server, ein Adversary-in-the-Middle, das Token nach erfolgreicher MFA ab. In beiden Fällen erhält der Angreifer eine fertig authentifizierte Sitzung und muss den zweiten Faktor nie selbst überwinden.

Infostealer liefern die Token

Den ersten Weg bedienen Infostealer. Microsoft und Europol legten im Frühjahr 2025 die Infrastruktur von Lumma Stealer lahm und zählten zwischen März und Mai allein für diese eine Familie über 394.000 infizierte Windows-Rechner. Check Point verzeichnete bereits für 2024 einen Anstieg der Infostealer-Angriffe um 58 Prozent und stellte fest, dass die Infektionen überwiegend private Geräte trafen. Genau dieser Punkt ist heikel, denn ein privates Notebook ohne Endpunktschutz wird zum Ausgangspunkt für den Zugriff auf Unternehmensdaten. Auch das BSI verzeichnet in seinem Lagebericht 2025 eine Zunahme von Zugangsdatendiebstählen und einen wachsenden Handel mit gestohlenen Credentials im Darknet.

Daniel Dreier, AVP Exposure Management bei Check Point, beschreibt einen realen Fall. Ein Mitarbeiter meldet sich vom privaten Rechner bei einem Unternehmensdienst an, auf dem Gerät läuft ein Infostealer. „Der Infostealer liest nicht nur Passwörter aus, er greift auch Cookies ab. Stecken darin Session-Token von Entra ID, lässt sich die Multifaktor-Anmeldung umgehen, denn ich habe den Token bereits“, erklärt Dreier. Das Passwort des Nutzers bleibt dabei unverändert gültig, ein Zurücksetzen allein schließt die Lücke nicht.

Cloudflare Threat Report 2026

Session-Token-Diebstahl macht MFA wirkungslos

Mit dem Token geht es weiter ins Active Directory

Ein gestohlenes Token betrifft selten nur eine einzelne Anwendung. In Microsoft Entra ID bindet der Identitätsdienst ein Primary Refresh Token an ein registriertes Gerät und nutzt es für die Anmeldung an allen angebundenen Diensten (https://learn.microsoft.com/en-us/entra/identity/devices/protecting-tokens-microsoft-entra-id). Gelangt ein solches Token an einen Angreifer, bewegt er sich über die Single-Sign-On-Kopplung von einer Anwendung zur nächsten. Verfügt das übernommene Konto über erhöhte Rechte, reichen die Folgen bis in das Active Directory, wo sich Gruppenmitgliedschaften ändern und weitere Konten übernehmen lassen. Aus einem infizierten Privatgerät wird so ein Weg in die zentrale Verzeichnisinfrastruktur, und die anfängliche Kompromittierung eines einzelnen Nutzers wächst zu einem Risiko für die gesamte Domäne.

Entra ID schützt Token, aber nicht überall

Microsoft hat auf die Bedrohung reagiert. Token Protection bindet ein Token kryptografisch an das Gerät, sodass eine Kopie auf einem fremden System unbrauchbar wird. Die kontinuierliche Zugriffsbewertung, Continuous Access Evaluation, zieht ein Token nahezu in Echtzeit zurück, sobald sich kritische Bedingungen ändern. Beide Funktionen senken das Risiko. Eine Lücke bleibt jedoch. Token Protection deckt nach aktueller Microsoft-Dokumentation nur native Anwendungen ab, nicht den Browser, und gerade dort findet der Tokenraub über zwischengeschaltete Phishing-Seiten statt. Den wirksamsten Schutz an der Anmeldung selbst bietet phishing-resistente MFA auf Basis von FIDO2 oder Passkeys. MFA blockiert laut Microsoft generell über 99 Prozent der unbefugten Zugriffsversuche, phishing-resistente Verfahren gelten dabei als sicherste Variante. Sie bindet die Anmeldung an die echte Domain und macht ein abgefangenes Token wertlos.

Phishing trotz Zwei-Faktor-Authentifizierung

Erfolgreiche Hacks trotz 2FA – das können Unternehmen tun

Exposure Management prüft den Fund gegen den eigenen Stack

Prävention an der Anmeldung deckt nicht jeden Fall ab, deshalb gewinnt die Frage an Gewicht, was mit bereits geleakten Zugangsdaten geschieht. Hier setzt Continuous Threat Exposure Management an. Check Point überwacht über seine Exposure-Management-Plattform Foren, Telegram-Kanäle und Quellen im Deep und Dark Web und erfasst dort veröffentlichte Zugangsdaten und Token nahezu in Echtzeit. Erst die anschließende Prüfung gegen die eigene Umgebung ordnet den Fund ein.

„Wir lassen diese Funde über Automatisierungsmechanismen gegen den Infrastruktur-Stack laufen“, sagt Dreier. „Ist das Credential überhaupt noch gültig? Lässt sich damit die Multifaktor-Anmeldung umgehen?“ Aus der Verbindung mit internen Daten aus Endpunktschutz und Firewall ergibt sich, welche Berechtigungen an einem geleakten Konto hängen und ob ein aktives Token noch Zugriff gewährt. Aus einer reinen Fundmeldung wird so eine belastbare Risikoaussage.

Die Unterscheidung zwischen einem nur exponierten und einem aktiv nutzbaren Zugangsdatum bestimmt die Reaktion. Ein noch gültiges Session-Token verlangt die sofortige Beendigung der Sitzung, nicht allein das Zurücksetzen des Passworts. Die Dringlichkeit lässt sich an einer Check-Point-Beobachtung ablesen, nach der 90 Prozent der später verletzten Unternehmen ihre Zugangsdaten schon vor dem Einbruch in einem Stealer-Log hatten. Der Angriff kündigt sich also an, bevor er sichtbar wird, und die Geschwindigkeit der Erkennung entscheidet darüber, ob ein Fund noch verwertbar ist.

Neue Angriffsmethoden bedrohen Microsoft 365 & Azure-Umgebungen

Wie Angreifer KI nutzen, um Microsoft-365-Konten zu übernehmen

Fazit

Gestohlene Session-Token verschieben den Angriff von der Anmeldung auf die laufende Sitzung und entwerten die Multifaktor-Authentifizierung in dem Moment, in dem ein Token den zweiten Faktor ersetzt. Phishing-resistente Verfahren und gerätegebundene Token senken das Risiko an der Quelle. Die kontinuierliche Beobachtung geleakter Zugangsdaten deckt den Zeitraum davor ab. Für Administratoren und Sicherheitsverantwortliche zählt die Verbindung beider Ebenen, ein robustes Anmeldeverfahren und eine schnelle Prüfung jedes Fundes gegen den eigenen Stack, ergänzt um die sofortige Invalidierung aktiver Sitzungen.

(ID:50910239)