81 Millionen Login-Versuche: Massenangriff auf Microsoft 365

Sicherheitsforscher haben zwischen dem 12. und 26. Juni 2026 eine massive Angriffswelle auf Microsoft-365-Konten beobachtet: über 81 Millionen Login-Versuche in nur zwei Wochen. Das Besondere daran ist nicht die Menge, sondern die Methode – die Angreifer umgehen dabei gezielt die Mehr-Faktor-Authentifizierung (MFA). Für jedes Unternehmen, das M365 nutzt, ist das ein Weckruf.

Was ist passiert?

Das Sicherheitsunternehmen Huntress hat eine großangelegte Password-Spraying-Kampagne dokumentiert. Angreifer probieren dabei systematisch Zugangsdaten durch, die in früheren Datenlecks aufgetaucht sind. In diesem Fall stieg das Volumen um das 155-Fache gegenüber vorherigen Wellen – auf insgesamt rund 81 Millionen Anmeldeversuche.

Der entscheidende Punkt: Die Angreifer authentifizieren sich über die Azure-Kommandozeile (Azure CLI) und nutzen dabei den veralteten ROPC-Flow (Resource Owner Password Credentials) aus OAuth 2.0. Bei ROPC wird das Passwort direkt an den Token-Endpunkt geschickt – ohne interaktive MFA-Abfrage. Wer also nur ein geleaktes Passwort besitzt, kann so an einer unvollständig konfigurierten MFA vorbeischlüpfen. Laut Huntress wurden auf diesem Weg 78 Konten in 64 Organisationen kompromittiert.

Wer ist betroffen?

Grundsätzlich jede Organisation mit Microsoft 365 / Entra ID, deren MFA-Richtlinien Lücken haben. Als besonders anfällig erwiesen sich Konfigurationen, bei denen

• MFA nur für einzelne Apps statt für alle Cloud-Anwendungen gilt,
• MFA nur für bestimmte Nutzergruppen (etwa Admins) erzwungen wird,
• MFA nur bei Zugriffen aus „nicht vertrauenswürdigen“ Netzen greift,
• die Conditional-Access-Richtlinie nur im „Report-only“-Modus läuft (also nicht erzwungen wird),
• oder gar keine MFA-Richtlinie existiert.

Die Angriffs-IPs stammten laut Bericht überwiegend aus China, teils aus den USA.

Was jetzt zu tun ist

1. Legacy-Authentifizierung blockieren: In Entra ID per Conditional Access eine Richtlinie „Block legacy authentication“ aktivieren – das schließt den ROPC-Weg.
2. MFA lückenlos erzwingen: Für ALLE Nutzer, ALLE Cloud-Apps und ALLE Standorte. Keine Ausnahmen für einzelne Gruppen oder „vertrauenswürdige“ IP-Bereiche.
3. Report-only-Richtlinien scharf schalten: Prüfen, ob Conditional-Access-Regeln tatsächlich erzwungen werden und nicht nur im Testmodus laufen.
4. Geleakte Passwörter rotieren: Konten mit wiederverwendeten oder in Leaks aufgetauchten Passwörtern identifizieren und Passwörter zurücksetzen.
5. Anmeldeprotokolle überwachen: Die Entra-Sign-in-Logs auf ROPC- und Legacy-Auth-Zugriffe prüfen und Alarme einrichten.
6. Phishing-resistente MFA erwägen: Wo möglich auf Passkeys / FIDO2 statt SMS- oder App-Code umsteigen.

So hilft Binary System Services

Wir prüfen Ihre Microsoft-365- und Entra-ID-Konfiguration gezielt auf genau solche MFA-Lücken – vom Blockieren der Legacy-Authentifizierung bis zu sauber erzwungenen Conditional-Access-Richtlinien. Auf Wunsch richten wir ein fortlaufendes Monitoring Ihrer Anmeldeprotokolle ein, damit verdächtige Login-Versuche früh auffallen. So wird aus einer riskanten Standard-Konfiguration eine belastbare Absicherung.

Angaben ohne Gewähr. Im Zweifel bitte die offizielle Quelle prüfen.