Business E-Mail Compromise: Wenn MFA nicht mehr reicht

Das MFA-Trugbild

Ein Häkchen bei MFA fühlt sich an wie „Problem gelöst". Die Logik ist bestechend einfach: Wer ein Passwort stiehlt, kommt ohne den zweiten Faktor nicht hinein.

Doch diese Rechnung geht nicht auf. MFA schützt vor genau einem Szenario – dem Diebstahl eines Passworts. Es verhindert, dass sich jemand allein mit einem erbeuteten Passwort von seinem eigenen Gerät anmeldet. Aber was passiert, wenn der Angreifer nicht nur das Passwort abgreift, sondern auch den Authentifizierungstoken, der nach dem zweiten Faktor ausgestellt wird?

Folgendes Szenario: Eine Mitarbeiterin erhält eine E-Mail vom vermeintlichen „IT-Support". Der Link wirkt vertraut und führt auf eine Seite, die der Microsoft-365-Anmeldung täuschend ähnlich sieht. Sie gibt Benutzername und Passwort ein, dann den Code aus ihrer Authenticator-App. Was sie nicht weiß: Zwischen ihr und Microsoft sitzt ein Angreifer-Werkzeug wie Evilginx. Es fängt nicht nur Benutzername und Passwort ab, sondern auch die Session-Cookies und Token, die nach dem erfolgreichen MFA-Durchlauf entstehen.

Diese Tokens sind vollkommen legitim. Microsoft hat sie korrekt ausgestellt, nachdem sich die echte Nutzerin mit beiden Faktoren authentifiziert hat. Der Angreifer hält sie nun in der Hand, und MFA kann nicht mehr prüfen, wer sie verwendet.

Für Microsoft 365 ist der Angreifer ab diesem Moment nicht mehr von der echten Nutzerin zu unterscheiden. MFA war aktiv, alles verlief regelkonform. Trotzdem hat der Angreifer Zugriff. Hier sitzt der blinde Fleck von MFA: Es schützt die Anmeldung, nicht die Sitzung danach.

Wenn traditionelle Schutzmaßnahmen nicht mehr greifen

Die meisten Organisationen setzen auf mehrere Schutzschichten: starke Passwörter, MFA, Standard-Spam- und Malware-Filter, Awareness-Trainings, Geo-Sperren. Jede davon hat ihren Wert. Aber sie alle haben dieselbe Schwäche: Sie schützen den Einstiegspunkt. Keine von ihnen erkennt, was ein Angreifer mit einer einmal erbeuteten, gültigen Sitzung danach anstellt.

Das ist die eigentliche Lücke. Die meisten Umgebungen beantworten zwei Fragen souverän:

• Authentifizierung – „Wer bist du?" (Passwort + MFA)
• Autorisierung – „Was darfst du?" (Zugriff auf Postfach, Teams, SharePoint)
• Verhaltensüberwachung – „Ergibt es Sinn, dass du das gerade tust?" Ist es normal, dass dieses Konto nachts um drei eine Weiterleitungsregel anlegt oder plötzlich 1.000 E-Mails auf einmal weiterleitet?

Die dritte Frage bleibt offen:

Genau diese Fähigkeit, anomales Verhalten zu erkennen, fehlt in den meisten Microsoft-365-Umgebungen. Und die Angreifer wissen das.

Sicherheit braucht mehrere Schichten, die ineinandergreifen

Multi-Faktor-Authentifizierung ist notwendig, aber nicht ausreichend. Das ist eine unbequeme Wahrheit für alle, die MFA als letztes Wort in Sachen Sicherheit verstanden haben.

Echter Schutz vor BEC entsteht nicht durch eine einzelne Maßnahme, sondern durch das Zusammenspiel mehrerer Ebenen:

• 📧 Fortgeschrittene E-Mail-Filterung, die Phishing stoppt, bevor es überhaupt im Postfach landet.
• 👁️ Kontinuierliche Identitäts- und Verhaltensüberwachung, die kompromittierte Konten an ihrem Verhalten erkennt – nicht erst am Schaden.
• 🛡️ Ein Expertenteam, das rund um die Uhr eingreift, statt nur Warnmeldungen weiterzuleiten.
• 🔍 Regelmäßige Tests, die Schwachstellen aufdecken, bevor Angreifer sie finden.

Jede Ebene fängt ab, was die vorherige nicht gesehen hat. Erst im Zusammenspiel ergeben sie echten Schutz.

Wie groß der Unterschied ist, zeigt ein realer Fall aus dem Sophos MDR-Team: Ein Angreifer hatte über ein Phishing-Kit gültige Session-Token erbeutet und begann bereits, Postfachregeln für einen BEC-Angriff anzulegen. Sophos MDR erkannte die Anomalie, sperrte die Anmeldungen und widerrief sämtliche aktiven Sitzungen – 95 Sekunden nach dem ersten Alarm. Kein Schaden, keine Betriebsunterbrechung, kein Versicherungsfall.

Genau hier entscheidet sich BEC-Abwehr: nicht daran, ob MFA aktiv ist, sondern daran, ob jemand das Verhalten nach der Anmeldung beobachtet. 41 % der Bedrohungsfälle, die Sophos MDR in Microsoft-Umgebungen stoppt, werden über genau solche Signale ausgelöst.