Der gefälschte Helpdesk: Wie Angreifer über Microsoft Teams ganze Firmennetze kapern

Eine von Microsoft dokumentierte Kampagne umgeht klassische Schutzmechanismen, indem sie nicht auf eine technische Lücke setzt, sondern auf das Vertrauen der Mitarbeitenden.

Vertrauen als Einfallstor

Sicherheitsforscher von Microsoft warnen vor einer Masche, bei der sich Kriminelle über Microsoft Teams als interne IT- oder Support-Kräfte ausgeben. Unter Vorwänden wie einem angeblichen Sicherheitsupdate oder einer drohenden Kontosperrung bringen sie Beschäftigte dazu, eine Fernwartungssitzung freizugeben. Ist der Zugriff erteilt, arbeiten sich die Täter schrittweise bis zu zentralen Systemen und Domänencontrollern vor. Anders als beim E-Mail-Phishing steuern sie das gekaperte Gerät über längere Zeit aktiv selbst.

Warum die Erkennung so schwerfällt

Der Angriff nutzt durchgängig legitime, ohnehin im Unternehmen vorhandene Werkzeuge, weshalb er sich kaum vom normalen IT-Betrieb unterscheiden lässt. Entscheidend ist: Es handelt sich nicht um eine Schwachstelle in Teams. Die Plattform kennzeichnet externe Kontakte und zeigt Warnhinweise an. Der Angriff gelingt nur, weil die Zielperson diese Warnungen bewusst übergeht, verstärkt teils durch einen zusätzlichen Anruf, der Vertrauen schafft und keine schriftlichen Spuren hinterlässt.

Was Unternehmen tun sollten

Weil die Kampagne auf Täuschung statt auf technische Lücken setzt, empfehlen die Forscher feste interne Verfahren zur Identitätsprüfung des Helpdesks, ein grundsätzliches Misstrauen gegenüber unaufgeforderten externen Support-Anfragen, die Beschränkung externer Teams-Kontakte auf vertrauenswürdige Domänen sowie konsequente Mehrfaktor-Authentifizierung.