Device Code Phishing: Was der Mittelstand wissen muss
Cyberkriminelle nutzen zunehmend eine Login-Abkürzung aus, der Millionen Menschen bereits vertrauen. Statt Opfer auf eine gefälschte Login-Seite zu locken oder ein Passwort direkt zu stehlen, bringen sie Mitarbeitende dazu, ein von Angreifern kontrolliertes Gerät über einen völlig legitimen Identitätsanbieter zu autorisieren – meist Microsoft. Das Ergebnis ist eine schnell wachsende Form des Social Engineering: Device Code Phishing.
Weil die Login-Seite echt ist und die Multi-Faktor-Authentifizierung (MFA) genau wie vorgesehen funktioniert, fehlen die meisten Warnzeichen, auf die Mitarbeitende üblicherweise geschult werden. Hier ist, was jeder Mittelständler über diese Technik wissen sollte.
1. Device Code Phishing nutzt legitime Geschäftsabläufe aus
Dieselbe Kurzcode-Anmeldung, die Streaming-Geräte nutzen, wird jetzt als Angriffsvektor gegen Unternehmen eingesetzt.
Das Gefährlichste an Device Code Phishing ist, dass es sich in einem Geschäftsablauf versteckt, den Mitarbeitende bereits kennen und ohne nachzudenken ausführen.
Wer sich schon einmal mit einem Kurzcode bei Netflix auf einem neuen Fernseher angemeldet, Spotify mit einer Spielekonsole verknüpft oder ein anderes Gerät auf diese Weise aktiviert hat, kennt Device Code Authentication bereits – technisch der OAuth-2.0-„Device Authorization Grant“. Statt ein Passwort über eine unhandliche Fernbedienung einzutippen, wird ein kurzer Code angezeigt, den man auf der echten Login-Seite des Dienstes eingibt – auf einem Gerät, bei dem man bereits angemeldet ist. Das neue Gerät ist verbunden, in Sekunden. Millionen Menschen tun das täglich, ohne zweimal darüber nachzudenken.
Stellen Sie sich nun vor, eine Mitarbeiterin erhält eine Microsoft-Teams-Besprechungseinladung, die von einem Kunden, Lieferanten oder Kollegen zu stammen scheint. Im Gespräch heißt es, sie müsse vor dem Beitritt zum Call oder dem Zugriff auf freigegebene Dokumente ein Gerät authentifizieren – eines, das tatsächlich ein Angreifer kontrolliert. Sie erhält einen kurzen Code und wird auf die echte Geräte-Anmeldeseite von Microsoft verwiesen. Nichts wirkt verdächtig, denn die Website gehört wirklich zu Microsoft, und der Authentifizierungsschritt ist tatsächlich echt. Das Einzige, was der Angreifer erfunden hat, ist die Geschichte rund um die Anfrage – exakt die Technik, die Microsoft der Gruppe Storm-2372 zuschreibt. Microsoft stuft die Gruppe mit mittlerer Zuversicht als russland-nah ein; sie nutzte gefälschte Teams- und Messenger-Einladungen, um seit Mitte 2024 Regierungen, NGOs, IT-Unternehmen, Verteidigungs-, Telekommunikations-, Gesundheits- und Energieorganisationen in Europa, Nordamerika, Afrika und dem Nahen Osten anzugreifen.
Andere Vorwände funktionieren ebenso gut: Ein Mitarbeiter soll sich nach einem Sicherheitsupdate erneut bei Microsoft 365 authentifizieren, Outlook nach einer Postfach-Migration neu verbinden, eine neue Teams-Integration autorisieren oder eine von „der IT“ angeforderte Anmeldung abschließen. Da Angreifer zunehmend vertrauenswürdige Geschäftsprozesse statt gefälschter Infrastruktur ausnutzen, muss die Sicherheitsschulung mithalten.
2. MFA stoppt Device Code Phishing nicht
Für viele Mittelständler gehört die Einführung von Multi-Faktor-Authentifizierung für kritische Konten zu den ersten ernsthaften Verbesserungen der IT-Sicherheit – zu Recht. MFA bleibt eine der wirksamsten Verteidigungen gegen gestohlene Passwörter, Credential Stuffing und Passwort-Wiederverwendung nach einem Datenleck. Wer MFA noch nicht überall aktiviert hat, wo es möglich ist, sollte das weiterhin priorisieren.
Das Risiko besteht darin, MFA als Endpunkt statt als eine von mehreren Verteidigungsebenen zu betrachten. Device Code Phishing überwindet MFA nicht technisch, und es bringt niemanden dazu, einen Einmalcode preiszugeben. Mitarbeitende schließen die MFA-Abfrage genau so ab, wie es vorgesehen ist – das Problem ist, dass sie damit eine Geräteautorisierung abschließen, die der Angreifer initiiert hat, nicht sie selbst. Aus Sicht des Identitätsanbieters ist alles korrekt gelaufen: Der Nutzer hat sich ausgewiesen und den Zugriff genehmigt. Der Angreifer erhält lediglich das resultierende Zugriffstoken, statt dass es beim eigenen Gerät der Mitarbeiterin ankommt.
Da sich Passwort-Hygiene und MFA-Verbreitung verbessert haben, schauen Angreifer über die reine Authentifizierung hinaus. Statt die Vordertür aufzubrechen, überreden sie jemanden, der bereits drinnen ist, einen legitimen Schlüssel herauszugeben.
3. Längst keine reine Nation-State-Taktik mehr
Was als Nation-State-Taktik begann, wird heute als Abonnement verkauft.
Vor nicht allzu langer Zeit war Device Code Phishing weitgehend hochentwickelten, staatsnahen Akteuren wie Storm-2372 vorbehalten. Forscher von Volexity verknüpften unabhängig davon mindestens zwei weitere russland-affine Cluster mit derselben Technik im selben Zeitraum – ein Hinweis darauf, dass sich die Taktik zunächst in Spionagekreisen verbreitete, bevor sie die gewöhnliche Cyberkriminalität erreichte.
Das änderte sich 2026. Proofpoint verzeichnete ab September 2025 einen deutlichen Anstieg der Device-Code-Phishing-Aktivität, und bis März 2026 war die von Proofpoint als TA4903 verfolgte kriminelle Gruppe – zuvor für Business Email Compromise bekannt – nahezu vollständig auf Device Code Phishing umgestiegen. Auslöser war die Kommerzialisierung: Phishing-as-a-Service-Plattformen wie EvilTokens (im Februar 2026 auf Telegram gestartet), Tycoon2FA (ein etabliertes Adversary-in-the-Middle-Kit, dessen Betreiber nach einer von Europol geführten Zerschlagung der Plattform am 4. März 2026 auf Device Code Phishing umstiegen) und Kali365 (seit April 2026 als Abonnement verkauft) verpacken inzwischen den Großteil der Angriffskette – Betreiber mit wenig Verständnis von OAuth oder Identitätsprotokollen können damit eigene Kampagnen fahren.
Das Ausmaß ist erheblich. Push Security registrierte Anfang März 2026 einen 15-fachen Anstieg erkannter Device-Code-Phishing-Seiten, der innerhalb weniger Wochen auf das 37,5-Fache des vorherigen Niveaus stieg, während weitere Kits in Umlauf kamen. Barracuda registrierte unabhängig davon in einem einzigen Vier-Wochen-Zeitraum im April 2026 mehr als sieben Millionen Device-Code-Phishing-Angriffe, und Push Security verfolgt inzwischen mehr als zwei Dutzend unterschiedliche Kits im aktiven Einsatz.
Dasselbe Muster gab es zuvor bereits bei Ransomware, Adversary-in-the-Middle-Phishing und Business Email Compromise: Sobald eine Technik verpackt und verkauft wird, erreicht sie opportunistische Kriminelle, die Unternehmen jeder Größe angreifen – nicht nur die hochwertigen Ziele staatlicher Akteure. Device Code Phishing hat diesen Punkt inzwischen erreicht, weshalb Mittelständler davon ausgehen sollten, ihm früher zu begegnen als erwartet.
4. Sicherheitsbewusstsein muss sich weiterentwickeln
Die neue Frage für Mitarbeitende lautet nicht „Ist das eine gefälschte Seite?“, sondern „Habe ich das selbst angefordert?“
Phishing-Schulungen bringen Mitarbeitenden meist bei, auf bekannte Warnzeichen zu achten: Links vor dem Klicken prüfen, auf Rechtschreibfehler achten, verifizieren, dass eine Login-Seite wirklich zum angegebenen Unternehmen gehört. Diese Lektionen bleiben nützlich und verhindern weiterhin viele Angriffe.
Doch das meiste davon läuft auf eine Anweisung hinaus: Geben Sie Ihre Zugangsdaten nicht preis. Geben Sie Ihr Passwort nicht auf einer verdächtigen Seite ein. Lesen Sie keinen Einmalcode vor. Device Code Phishing verlangt von Mitarbeitenden, ein anderes Verhalten zu erkennen – nämlich aufgefordert zu werden, ein Gerät im Namen einer anderen Person zu autorisieren.
Heutige Identitätsangriffe zielen zunehmend auf die Zustimmung der Nutzer statt auf deren Geheimnisse. Ob es um die Zustimmung zu einer OAuth-Anwendung, die Genehmigung einer unerwarteten MFA-Abfrage oder den Abschluss eines Geräteautorisierungs-Vorgangs geht: Der Angreifer versucht, den Nutzer zu einer völlig legitimen Handlung zu bewegen, von der letztlich jemand anderes profitiert. Phishing-Simulationen, die nur testen, ob Mitarbeitende auf einen bösartigen Link klicken oder Zugangsdaten auf einer geklonten Seite eingeben, bleiben wertvoll – bereiten aber niemanden auf einen Angriff vor, der über einen vollständig legitimen Workflow gelingt. Das Sicherheitsbewusstsein muss mit der Technik mitwachsen.
Mitarbeitende auf die nächste Welle von Device Code Phishing vorbereiten
Realistische, aktuelle Angriffsszenarien schaffen die Gewohnheit, unerwartete Anfragen zu hinterfragen.
Cyberkriminelle passen ihr Social Engineering laufend an die tatsächliche Arbeitsweise von Menschen an, und Device Code Phishing ist dafür ein deutliches Beispiel – es nutzt einen vertrauenswürdigen Authentifizierungsablauf aus, keine gefälschte Website oder ein gestohlenes Passwort. Genau deshalb bleiben realistische Phishing-Simulationen eines der wirksamsten Mittel, mit denen Mittelständler ihre menschliche Verteidigungslinie stärken können.
Indem Mitarbeitende realistischen, aktuellen Angriffsszenarien ausgesetzt werden – einschließlich neuer Techniken wie Device Code Phishing –, entwickeln Unternehmen die Gewohnheit, unerwartete Autorisierungsanfragen zu hinterfragen, bevor daraus eine Kontoübernahme wird. Das Phishing-Simulationsprogramm von DIESEC testet Ihr Team gegen aktuelle, reale Angriffsmuster – ergänzt durch gezielte Schulungen und Awareness-Sessions.
