Microsoft Authenticator: Kritische Token-Lücke ermöglicht Konto-Übernahme

Eine neu bekannt gewordene Sicherheitslücke im Umfeld des Microsoft Authenticator sorgt aktuell für erhebliche Unruhe in der IT-Sicherheitsbranche. Sicherheitsforscher warnen davor, dass Angreifer unter bestimmten Umständen Authentifizierungs-Tokens auslesen und damit geschützte Benutzerkonten kompromittieren könnten – selbst dann, wenn Multi-Faktor-Authentifizierung (MFA) aktiviert ist.

Die Schwachstelle betrifft insbesondere Umgebungen, in denen Unternehmen stark auf Microsofts Identitätsplattform und moderne Cloud-Authentifizierung setzen. Damit rückt erneut ein Problem in den Fokus, das viele Administratoren unterschätzen: MFA schützt nicht automatisch vor Session- und Token-Diebstahl.

Sicherheitsforscher entdeckten eine Schwachstelle im Zusammenhang mit der Verarbeitung und Speicherung von Authentifizierungsdaten innerhalb des Authenticator-Ökosystems. Angreifer könnten dadurch Zugriff auf sogenannte „Session Tokens" oder Authentifizierungs-Tokens erhalten.

Diese Tokens fungieren praktisch als digitaler Nachweis dafür, dass ein Benutzer bereits erfolgreich angemeldet wurde. Wer einen gültigen Token besitzt, benötigt häufig weder Passwort noch zweiten Faktor erneut. Das macht solche Daten extrem wertvoll – und in vielen modernen Cloud-Diensten über längere Zeiträume hinweg automatisch gültig.

„Wer den Token hat, ist der Benutzer – ohne Passwort, ohne zweiten Faktor."

Mit einem geklauten Token verschiebt sich der gesamte Angriffshorizont. Ein einziger erfolgreicher Token-Diebstahl kann ausreichen, um eine komplette Cloud-Identität zu übernehmen:

Viele Unternehmen glauben, dass die Aktivierung von MFA automatisch vollständigen Schutz bedeutet. In der Realität verschiebt sich der Angriffspunkt jedoch zunehmend weg vom Passwort – hin zu aktiven Sitzungen und Tokens. Sobald ein Benutzer erfolgreich angemeldet ist, erzeugen Systeme temporäre Authentifizierungsdaten. Werden diese gestohlen, kann ein Angreifer die bestehende Sitzung oft übernehmen.

Betroffen sind primär stark cloudzentrierte Umgebungen. Vor allem große Organisationen arbeiten heute mit „Persistent Login"-Mechanismen, bei denen Benutzer über lange Zeiträume angemeldet bleiben – genau solche Szenarien erhöhen das Risiko gestohlener Tokens erheblich.

Besonders gefährlich sind Infostealer-Malware-Familien, die speziell auf Browserdaten und Cloud-Sitzungen abzielen – und im Cybercrime-Untergrund inzwischen massenhaft verkauft werden.

„MFA aktiviert" bedeutet nicht automatisch „sicher". Unternehmen sollten ihre Sicherheitsstrategie um Session-Schutz, Conditional Access und Endpoint-Härtung erweitern. Moderne EDR-/XDR-Lösungen erkennen verdächtige Token-Zugriffe meist deutlich früher als klassische Antivirenprogramme.

Nach Bekanntwerden der Schwachstelle wurden laut Berichten bereits Gegenmaßnahmen eingeleitet. Unternehmen sollten dennoch dringend aktiv prüfen:

Admins sollten verdächtige Sessions konsequent widerrufen und Tokens zurücksetzen. In Entra ID hilft dabei „Revoke sessions" in Kombination mit erzwungener Neu-Authentifizierung.

Cyberkriminelle greifen immer seltener direkt Passwörter an. Stattdessen stehlen sie fertige Sitzungen. Für Unternehmen bedeutet das: Wer heute nur auf Passwörter und MFA setzt, schützt oft nur den ersten Teil der Anmeldung – nicht jedoch die aktive Sitzung danach.

Die Zukunft der Cyberabwehr liegt deshalb zunehmend in kontinuierlicher Verhaltensanalyse, Identitätsschutz, Session-Monitoring, Zero Trust, Endpoint Detection & Response sowie KI-gestützter Anomalieerkennung.

Gerade mittelständische Unternehmen unterschätzen diese Entwicklung noch massiv – obwohl moderne Cloud-Infrastrukturen inzwischen zu den attraktivsten Angriffszielen überhaupt gehören.