Echte Loginseite. Falscher Auftrag.
Themenstand: 22.09.2026 · Für den Blog aufbereitet am 06.11.2026. Dieser Rückblick ordnet die damalige Entwicklung mit ihrem zeitlichen Kontext ein.
Rückblick September 2026: Device-Code-Phishing zeigt, warum ein echter Anmeldedienst allein noch nichts über die Absicht hinter einer Anmeldung sagt.
Der legitime Ablauf wird zum Transportmittel
Microsoft veröffentlichte am 22. September 2026 eine Analyse zur Phishing-Plattform EvilTokens. Ein zentraler Baustein war der Missbrauch der Gerätecode-Anmeldung. Dieser legitime OAuth-Ablauf ermöglicht die Anmeldung etwa für Geräte, die keine geeignete eigene Eingabemöglichkeit haben. Die Bestätigung erfolgt über einen Browser auf einem anderen Gerät.
Der Trick besteht darin, dass ein Angreifer den Vorgang startet und eine andere Person zur Bestätigung des zugehörigen Codes bringt. Die betroffene Person kann dabei auf einer echten Microsoft-Anmeldeseite landen. Sie bestätigt aber einen Vorgang, dessen Ursprung und Zweck sie nicht ausreichend geprüft hat.
Die Adresse ist nur ein Teil der Prüfung
Für eine Schulung würde ich genau hier stoppen: Der Browser zeigt eine legitime Domain, die Anmeldung funktioniert und ein zweiter Faktor kann verlangt werden. Trotzdem fehlt die Antwort auf die entscheidende Frage: Welches Gerät oder welche Anwendung soll dadurch Zugriff erhalten, und habe ich diesen Vorgang selbst begonnen?
Das Beispiel erklärt, warum die pauschale Empfehlung, nur die Webadresse zu prüfen, zu kurz greift. Die Adresse bleibt wichtig. Zusätzlich müssen Anlass und angeforderte Autorisierung stimmen. Eine erfolgreiche Identitätsprüfung sagt nicht automatisch, dass die bestätigte Anwendung oder Sitzung dem eigenen Arbeitsauftrag entspricht.
Den Flow sichtbar und kontrollierbar machen
Microsoft empfiehlt, den Gerätecode-Ablauf nur dort zuzulassen, wo er benötigt wird. Conditional Access kann diesen Anmeldeweg gezielt steuern. Vor einer Einschränkung muss aber bekannt sein, welche legitimen Geräte und Anwendungen davon abhängen. Ein sauber begründeter Ausnahmefall ist besser als eine pauschale Freigabe aus Sorge vor Betriebsstörungen.
Die Dokumentation beschreibt außerdem Protokollverfolgung über nachfolgende Aktualisierungen einer Sitzung hinweg. Bei der Untersuchung reicht deshalb nicht immer der Blick auf einen einzelnen aktuellen Protokollnamen. Das Feld zum ursprünglichen Übertragungsverfahren kann helfen, den früher verwendeten Gerätecode-Ablauf im Sitzungskontext nachzuvollziehen.
Eine Frage, die hängenbleiben sollte
Im Lab würde ich einen selbst begonnenen Gerätecode-Vorgang mit einer unaufgefordert zugesandten Bestätigung vergleichen. Beide können technisch ähnlich aussehen. Die sinnvolle Entscheidung hängt am beauftragten Zweck. Wer diesen Unterschied erklären kann, hat mehr verstanden als die Regel, auf unbekannte Links grundsätzlich nicht zu klicken.