Der Anruf kam von der IT. Angeblich.
Themenstand: 04.11.2026 · Für den Blog aufbereitet am 06.11.2026. Auf Basis vorhandener Postingtexte neu ausgearbeitet.
Eine überzeugende Stimme und eine echte MFA-Abfrage reichen manchmal für eine fremde Sitzung. Der Helpdesk braucht deshalb einen überprüfbaren Vertrauensweg.
Die Anmeldung ist echt. Der Anlass ist erfunden.
Das Canadian Centre for Cyber Security beschreibt in seiner Warnung vom 28. Oktober eine laufende Vishing-Kampagne gegen kanadische Organisationen, darunter Finanz- und Rechtsdienstleister. Die Anrufenden geben sich als interner Support aus. Passkey-Umstellung, neue Mehrfaktor-Anmeldung oder Passwortwechsel liefern den Vorwand.
Der Kontakt kann über Telefon oder Teams kommen. Auf der nachgebauten Anmeldeseite werden Zugangsdaten und MFA-Antworten an den echten Identitätsanbieter weitergereicht. Dadurch erhält die Gegenseite eine angemeldete Sitzung. Dass auf dem eigenen Gerät tatsächlich eine Bestätigung erscheint, beweist also noch keinen legitimen Arbeitsauftrag.
Zwei Richtungen, derselbe Vertrauensfehler.
Für mich gehört der Rückweg zur technischen Kontrolle: Einen unerwarteten Supportanruf beenden und selbst den bekannten Helpdesk kontaktieren. Eine angezeigte Rufnummer genügt nicht. Der Ablauf muss im Alltag funktionieren, auch wenn ein vermeintlicher Techniker Druck macht und die Besprechung in fünf Minuten beginnt.
Umgekehrt braucht der echte Helpdesk einen belastbaren Prozess für Wiederherstellungen. Name, Abteilung und überzeugende Geschichte können bekannt sein. Ein Rückruf darf deshalb nicht einfach an die gerade genannte Ersatznummer gehen. Ausnahmen brauchen eine nachvollziehbare Freigabe und eine unabhängige Identitätsprüfung.
Ein Wiederherstellungscode prüft keine Identität.
Microsofts Temporary Access Pass ist ein zeitlich begrenzter Zugangscode für Einrichtung und Wiederherstellung. Er kann nach einer geprüften Identität helfen, neue Anmeldemethoden einzurichten. Die entscheidende Prüfung geschieht aber vor seiner Ausgabe. Ein sauber ausgestellter Code an die falsche Person bleibt ein verlorenes Konto.
Für den normalen Zugriff würde ich phishingresistente Methoden wie FIDO2 und passende Authentifizierungsstärken verbindlich einsetzen. Die Ressourcenrichtlinie muss diese Stärke tatsächlich verlangen; eine angebotene sichere Methode allein schließt schwächere erlaubte Wege nicht aus. Auch sichere Anmeldung ersetzt keine sichere Kontowiederherstellung.
Die neue Methode ist der Beginn der Untersuchung.
Eine neue Authentifizierungsmethode zusammen mit einer ungewöhnlichen Anmeldung ist ein sinnvoller Untersuchungsanlass. Sie ist kein automatischer Beweis für einen Angriff. Ich würde Registrierung, anmeldendes Gerät, nachfolgende Dateiaktivität und Änderungen am Konto zeitlich zusammenführen.
Der praktische Test ist klein: Ein angekündigtes Übungsszenario ohne echte Zugangsdaten durchspielen. Können Mitarbeitende den Support zuverlässig erreichen? Kann der Helpdesk eine unklare Identität ablehnen? Gute Technik hilft erst, wenn dieser Weg unter Zeitdruck funktioniert.