Fake-IT am Privat-Handy: Mit Passkey-Vorwand und Phishing-Druck landen Angreifer bei Session- und MFA-Zugriff – und bleiben oft länger, als Sie merken.

Ihr privates Handy klingelt. Keine Firmennummer. Kein internes Display. Ein unbekannter Anruf. Am anderen Ende: jemand, der behauptet, aus der IT zu kommen. Der Ton ist höflich, aber bestimmt. Die Passkey-Einrichtung. Die MFA. Das Single Sign-on. Alles müsse „jetzt sofort“ aktualisiert werden, sonst drohe Sperrung, Ausfall, Ärger mit dem Chef. Ein Link folgt per SMS. Der Countdown startet in Ihrem Kopf – nicht in einem Ticketportal.

Plot Twist: Der Anruf ist der eigentliche Angriff. Nicht die Passkey-Technik. Nicht eine kryptografische Lücke. Sondern die Inszenierung von Dringlichkeit auf einem Gerät, das Ihr Arbeitgeber oft gar nicht sieht.

Willkommen in einem Fall, den Microsoft Security Research am 9. September 2026 öffentlich aufgerollt hat: Social Engineering mit Passkey-Thema, das in Identitäts- und Cloud-Kompromittierung mündet. Spoiler: Der Köder heißt Passkey. Das Ziel heißt Session, Identität, Persistenz.

Warum ausgerechnet Passkey als Vorwand?

Passkeys gelten zu Recht als starkes Mittel gegen klassisches Passwort-Phishing. Sie sind an die echte Domain gebunden. Wer eine Lookalike-Seite aufbaut, kann damit nicht einfach „die Passkey-Kryptografie knacken“. Genau deshalb taugen Passkeys so gut als Erzählung – und so schlecht als echtes Angriffsziel in diesem Skript.

Das Pikante daran: Der Angreifer braucht Sie nicht davon zu überzeugen, dass Passkeys unsicher sind. Er braucht Sie nur davon zu überzeugen, dass „Ihre“ Passkey-/MFA-/SSO-Konfiguration gerade kaputt oder veraltet sei. Der Vorwand öffnet die Tür. Dahinter stehen ganz andere Mechanismen: entweder ein Man-in-the-Middle-ähnliches Abfangen von Anmeldedaten und Sitzungstoken (AiTM) oder ein Gerätecode-Flow, bei dem Sie versehentlich den Client der Gegenseite freigeben.

Wenig überraschend wirkt der Köder besonders dort, wo Organisationen gerade Passkeys, MFA oder SSO ausrollen. Der Change-Alltag liefert die Story. Der Fake-Helpdesk liefert den Druck. Und das Privat-Handy liefert die Bühne ohne Firmen-Endpoint-Schutz.

Dazu kommt der psychologische Hebel: Passkeys klingen modern, offiziell, „von der IT gewollt“. Viele Beschäftigte haben in den letzten Monaten echte Mails zu Passkey-Piloten, MFA-Härten oder SSO-Migrationen gesehen. Der Fake-Anruf leiht sich genau diese Glaubwürdigkeit. Er spricht die Sprache des Change – und missbraucht sie.

Wer Passkeys im Alltag wirklich verstehen und gegen Social-Engineering-Fallen absichern will, findet bei uns die Einordnung unter Passkeys-Sicherheit: 6 Checks gegen Phishing 2026. Der Clou der Microsoft-Analyse: Die Technik der Passkeys wird hier nicht „gebrochen“ – sie wird als Narrativ missbraucht.

MFA Sessions Sicherheitsinformationen Cloud — Cloud-Konten, MFA-Methoden, Sessions – Persistenz beginnt in den Sicherheitsinformationen (Symbolbild)

Zwei Türen hinter dem gleichen Vorwand

Microsoft beschreibt zwei typische Pfade, die hinter dem Passkey-Drama stehen. Beide enden mit dem, was für Sie als Opfer spürbar wird: Zugriff auf die Cloud-Identität – ohne dass Sie „gehackt“ im Hollywood-Sinn erleben.

Tür eins – AiTM-ähnlich: Sie landen auf einer Seite, die wie eine Microsoft-Anmeldung aussieht. Sie melden sich an, inklusive MFA, soweit Ihr Konto das verlangt. Was Sie erleben: eine normale Login-Strecke unter Zeitdruck. Was im Hintergrund passieren kann: Die Gegenseite fängt Anmeldedaten und Sitzungstoken ab. Für Sie fühlt es sich an wie „einloggen und fertig“. Für die Untersuchung später ist oft nur noch die Folge sichtbar – ungewöhnliche Anmeldungen, neue Geräte, Cloud-Aktivität.

Tür zwei – Gerätecode: Hier werden Sie dazu gebracht, auf einer echten Microsoft-Authentifizierungsseite einen Code einzugeben oder eine Freigabe zu erteilen. Was Sie erleben: „Ich bestätige nur schnell etwas für die IT.“ Was tatsächlich passieren kann: Sie autorisieren einen Client, den Sie nicht kontrollieren. Kein Cookie-Diebstahl im Browser-Sinn nötig – die Freigabe selbst ist der Schlüssel.

Überraschung: In beiden Fällen ist der Passkey-Text oft nur Kulisse. Die Story vom „Update jetzt“ hält Sie im Tunnel. Die technische Tür dahinter ist austauschbar. Genau deshalb hilft es wenig, nur „Passkeys“ zu googeln, während Sie noch am Telefon hängen.

Wichtig für die Erkennung ohne Bastelanleitung: Wenn jemand Sie unter Zeitdruck auf dem Privat-Handy durch einen Anmelde- oder Freigabeprozess führt, den Sie nicht selbst über das Firmenportal gestartet haben, ist das ein Alarmsignal – unabhängig davon, ob die Seite „echt“ aussieht oder der Absender „IT“ sagt. Authentizität der Marke ist hier kein Freifahrtschein. Der Kontext zählt: Wer hat den Prozess begonnen? Über welchen Kanal? Mit welcher Nummer?

Was Opfer wirklich erleben – und was sie selten sehen

Die typische Einstiegsszene laut Microsoft: Anruf oder SMS auf die private Nummer. Ansprache als interne IT-Hilfe. Dringlichkeit rund um Passkey, MFA oder SSO. Link zu einer Lookalike-Anmeldeseite. Manchmal SMS direkt aufs Privat-Handy, während der Anruf noch läuft – Doppeldruck, geteilte Aufmerksamkeit, weniger Zeit zum Nachdenken.

Dazu kommt Vorarbeit. Die Akteure recherchieren offenbar vorab über öffentliche Quellen – soziale und berufliche Netzwerke –, um Namen, Rollen und Organisationsstrukturen glaubwürdig zu machen. In manchen Fällen wird ein bereits kompromittiertes Konto genutzt, um denselben Passkey-Köder intern über Microsoft Teams zu verbreiten. Der Absender wirkt dann „wie Kollege X“. Das senkt die Hemmschwelle weiter.

Zu den Domains nur so viel, wie fürs Erkennen reicht: Häufig taucht der Organisationsname als Subdomain unter thematischen Eltern auf – Passkey-, SSO- oder Setup-Motive. Die Infrastruktur rotiert schnell. Historisch wurden Registrierungen unter anderem bei Nicenic beobachtet; das allein ist kein Schuldnachweis gegen eine Registrarin, aber ein Hinweis auf Tempo und Wiederverwendbarkeit. Eine volle IOC-Tabelle als Copy-Paste-Katalog gehört nicht in einen Awareness-Text – und schon gar nicht in Ihre Zwischenablage, während Sie „kurz den Link prüfen“.

Das brisante Detail für den Alltag: Wenn Sie den Link auf einem privaten, unmanaged Handy öffnen, fehlt oft die Endpoint-Telemetrie, die Firmen-Geräte über Microsoft Defender for Endpoint liefern würden. Der früheste Hinweis ist dann – wenig überraschend – Ihre Erinnerung an Anruf oder SMS. Später kommen Anmeldeprotokolle, Token-Aktivität und Änderungen an Authentifizierungsmethoden dazu. Am Anfang steht oft nur: „Ja, da hat jemand angerufen.“

Für Security Awareness heißt das: Trainieren Sie nicht nur „verdächtige Links“. Trainieren Sie auch „verdächtige Dringlichkeit auf dem Privatkanal“. Der Anruf aufs private Gerät ist bewusst gewählt. Er umgeht Firmen-Filter, Firmen-Telemetrie und oft auch die innere Bremse, die im Büro-PC stärker greift.

Persistenz: Wenn MFA plötzlich „mitredet“

Sobald Zugriff besteht, verschiebt sich das Ziel. Nicht nur „einmal rein“. Sondern „drin bleiben“.

Microsoft beschreibt, dass Angreifer unter der kompromittierten Identität eigene MFA-Methoden registrieren – Telefonnummer, Authenticator-App oder softwarebasiertes OTP. Der Clou: Künftige Challenges können dann ohne Sie beantwortet werden. Die Session, die gerade gestohlen wurde, mag irgendwann ablaufen. Die eingeschleuste Authentifizierungsmethode bleibt, solange niemand sie entfernt.

Für Sie als Nutzerin oder Nutzer heißt das im Klartext: Nach einem verdächtigen Vorfall reicht „Passwort geändert“ allein oft nicht. Sessions müssen widerrufen, verdächtige Authentifizierungsmethoden müssen geprüft und entfernt werden. Sonst bleibt die Hintertür offen – höflich versteckt hinter einem zusätzlichen Eintrag in den Sicherheitsinformationen.

Praktisch sichtbar wird Persistenz manchmal erst spät: plötzliche MFA-Aufforderungen, die Sie nicht ausgelöst haben; unbekannte Geräte in den Sicherheitsinfos; Anmeldehinweise zu Zeiten, in denen Sie offline waren. Keines dieser Signale allein beweist alles. Zusammen mit dem Erinnerungsstück „Anruf wegen Passkey“ bilden sie jedoch eine Spur, die IT und Security brauchen.

Wer grundsätzlich verstehen will, wie Identitätsmissbrauch und Account-Übernahme zusammenhängen, findet bei uns den Überblick unter Identitätsdiebstahl und Identity Abuse.

Danach: Graph, SharePoint, Postfach – was auf dem Spiel steht

Nach der Persistenz folgt laut Microsoft eine Phase der Cloud-Aufklärung über Microsoft Graph: Nutzer, Gruppen, Berechtigungen, Ressourcen, erreichbare Inhalte. Einzelne API-Aufrufe wirken im Unternehmensalltag harmlos. Die Signatur entsteht erst im Muster – wenn dieselbe Identität systematisch von Verzeichnis über Rollen und Apps bis zu Dateien und Mails wandert.

Anschließend: Sammlung. Hohe Volumina an Zugriffen und Downloads in SharePoint Online und OneDrive for Business. In manchen Intrusionen auch Exchange Online über REST-Zugriffe auf Mailinhalte. Die Aktivität wirkt oft automatisiert, gemessen und über Stunden bis Tage gestreckt – unter Schwellen, die sich in normales Nutzungsverhalten mischen können. Help Net Security fasst denselben Kampagnenstrang am 10. September 2026 zusammen und betont unter anderem den Zugriff über Privat-Handys sowie Zugriffe, die sich über Wochen hinziehen können; Details in der Einordnung bei Help Net Security zu Social Engineering über Privat-Handys.

Was für Sie als Beschäftigte konkret auf dem Spiel steht: Dateien in Teams- und SharePoint-Räumen, OneDrive-Inhalte, Mails und Anhänge, interne Freigaben, Adressbücher, Projektpläne, Verträge – alles, was Ihre Identität in Microsoft 365 sieht. Nicht „nur das Passwort“. Die Identität ist der Schlüsselbund.

Microsoft beobachtet die Aktivität seit Mai 2026. Attribution bleibt vorsichtig: Initial Access werde von mehreren Akteuren genutzt, darunter Storm-3121 und Storm-3032 sowie weitere; Storm-3121 im Kontext späterer Extortion-Ökosysteme (ShinyHunters/Falcon), Storm-3032 im Helix-Kontext nach Abspaltung aus BlackFile. Für Awareness reicht das Muster, nicht die Namensliste: Einstieg über Social Engineering, Persistenz über MFA, danach Cloud-Sammlung.

Warum das Privat-Handy die Beweislage dünn macht

Firmen-Laptops mit Endpoint-Schutz erzeugen Spuren. Private Handys oft nicht – jedenfalls nicht in denselben Dashboards. Microsoft betont: Fehlt die Onboarding-Telemetrie, fehlt der frühe Geräte-Hinweis. Untersuchende müssen dann rekonstruieren: Anrufbericht der Mitarbeitenden, danach Sign-ins, Gerätecode-Ereignisse, Token-Aktivität, Änderungen an Authentifizierungsmethoden.

Das ist der Moment, in dem Security Awareness und Incident Response sich die Hand reichen. Wenn Sie den Anruf „nicht der Rede wert“ finden und schweigen, fehlt der Startpunkt. Wenn Sie ihn melden – auch wenn Sie „nur fast“ geklickt haben –, entsteht die Spur.

Plot Twist der Forensik: Manchmal ist das menschliche Gedächtnis der erste Sensor.

Organisationen sollten deshalb Meldewege so niedrigschwellig halten, dass niemand Angst hat, „dumm dazustehen“. Ein Anruf, der sich als IT ausgab, ist meldewürdig – auch ohne Beweisfoto, auch ohne Link-Screenshot, auch wenn „nichts passiert“ scheint. Gerade weil die Telemetrie dünn ist, zählt die menschliche Meldung doppelt.

Erste Sekunden: Checkliste für den Moment am Telefon

Wenn Ihr Privat-Handy klingelt und „die IT“ ein Passkey- oder MFA-Update verlangt – halten Sie inne. Nicht heldenhaft. Praktisch.

Auflegen bzw. SMS-Druck ignorieren. Dringlichkeit ist Teil des Skripts.
Keine Links aus der SMS öffnen, während Sie noch am Telefon sind – und generell keine Links aus dem Druckkanal.
Echte IT nur über bekannte Kanäle kontaktieren: Intranet-Nummer, Ticketportal, bekannte Hotline. Niemals die Rückrufnummer aus der SMS.
Falls Sie bereits geklickt oder freigegeben haben: sofort melden. Gehen Sie von Session-Kompromittierung aus. IT muss Sessions widerrufen und Authentifizierungsmethoden prüfen.
Sicherheitsinformationen / MFA-Methoden auf unbekannte Geräte und Einträge prüfen (ohne Experimente an fremden Anweisungen).
Niemals Gerätecodes auf Bitten Fremder eingeben oder freigeben.

Das ist keine Panik-Liste. Das ist eine Ausstiegsrampe aus dem Tunnel der Urgency.

Ergänzend zur Checkliste: Lassen Sie sich nicht in parallele Kanäle ziehen. Wer gleichzeitig anruft und per SMS drängt, will Ihre Aufmerksamkeit splitten. Wer „nur kurz bestätigen“ sagt, will den Reflex. Wer mit Sperrung droht, will Angst statt Prozess. Echte IT-Prozesse haben Ticketnummern, bekannte Portale und Zeit – auch wenn die interne Kommunikation manchmal ungeduldig wirkt. Der Unterschied: Echte IT zwingt Sie selten, am Privat-Handy unter Anrufdruck Links zu öffnen.

Und noch einmal der Kontrast zur echten Technik: Echte Passkeys sind an die Domain gebunden. Deshalb muss der Angriff sozial sein – nicht kryptografisch. Wer Passkeys im Alltag sinnvoll einsetzt und unsichere Passwörter ablösen will, liest bei uns weiter unter Passkeys im Alltag: Ersetzen sie unsichere Passwörter?.

Ein weiteres Erkennungsmuster ohne technische Bastelschritte: Echte Helpdesks fordern Sie in der Regel nicht auf, während eines Anrufs auf dem Privat-Handy Links aus einer parallel eintreffenden SMS zu öffnen. Echte Prozesse trennen oft Kanal und Bestätigung. Fake-IT vermischt beides bewusst – Anruf hält Sie im Gespräch, SMS liefert den Klickpfad, Zeitdruck verhindert den zweiten Blick.

Ebenso brisant: Wenn der angebliche Support Sie bittet, „kurz einen Code vorzulesen“ oder „eine Freigabe zu bestätigen, die gerade auf dem Bildschirm erscheint“, obwohl Sie selbst keine Anmeldung gestartet haben. Das ist der Moment, in dem MFA vom Schutzmechanismus zum Mitspieler der Gegenseite werden kann – nicht weil MFA „schlecht“ wäre, sondern weil Sie unter Vorspiegelung falscher Tatsachen freigeben.

Wenig überraschend bleibt deshalb die Regel simpel und hart: Prozesse starten Sie selbst über bekannte Wege. Alles, was ungefragt auf dem Privatkanal landet und sofortiges Handeln verlangt, ist zunächst Verdacht – bis die echte IT über einen von Ihnen gewählten Kanal das Gegenteil bestätigt.

Was Unternehmen tun sollten – kurz und ohne Rezeptbuch

Microsoft fasst Mitigations zusammen, die über „bitte klicken Sie nicht“ hinausgehen. Auf Nutzerseite: phishing-resistente MFA (etwa FIDO2/Passkeys, Windows Hello for Business) über Conditional Access; Training gegen Voice Phishing; ein verifizierter Meldekanal für unaufgeforderte Authentifizierungsbitten; Helpdesk-Identitätsprüfung, bevor MFA zurückgesetzt wird.

Auf Organisationsseite, hochaggregiert: Device-Code-Flows sperren, sofern kein klarer Business-Need besteht; Conditional Access mit managed/compliant Devices für Exchange, SharePoint und privilegierte Graph-Apps; strikte Kontrollen für die Registrierung von Sicherheitsinformationen; Sessions und Refresh-Tokens bei bestätigter Kompromittierung widerrufen; Angreifer-MFA-Methoden entfernen; App-Consent einschränken; Graph- und Mailbox-Auditing nutzen. Defender-Teams finden im Microsoft-Blog zusätzlich Hunting-Hinweise – ohne dass dieser Artikel Abfrageblöcke abdrucken muss.

Weitere Bausteine aus der Microsoft-Empfehlung, die für Entscheider und Security-Teams zählen: Risikobasierte Zugriffe; Einschränkung von Zugriffen von unmanaged Devices (etwa web-only ohne Download/Sync, wo sinnvoll); regelmäßige Reviews privilegierter Graph-Berechtigungen; klare Helpdesk-Prozesse, die Identität rigoros prüfen, bevor Credentials oder MFA zurückgesetzt werden. Das ist kein „Tool kaufen und fertig“-Versprechen. Es ist eine Kette aus Identität, Gerät, Consent und Prozess.

Die Primärquelle für den technischen und organisatorischen Rahmen ist der Microsoft Security Blog vom 9. September 2026: Passkey-themed social engineering leads to identity and cloud compromise.

Passkeys echt absichern – gegen den sozialen Vorwand

Hier schließt sich der Kreis. Passkeys sind kein Marketing-Gimmick und kein Allheilmittel-Slogan. Sie sind eine phishing-resistente Anmeldemethode, die an die legitime Origin bindet. Genau deshalb funktionieren Fake-IT-Anrufe nicht über „Passkey knacken“, sondern über „Passkey-Story erzählen“.

Das bedeutet für Sie: Führen Sie Passkeys dort ein, wo Ihre Organisation sie vorsieht – über bekannte Portale, bekannte Prozesse, bekannte Menschen. Lassen Sie sich nicht am Privat-Handy „durch den Change“ jagen. Und prüfen Sie nach jedem verdächtigen Kontakt die Sicherheitsinformationen, als wäre die Identität das wertvollste Objekt im Haus. Spoiler: Sie ist es.

Consumer- und Enterprise-Welt treffen sich hier. Privat lernen Sie: Dringlichkeit am unbekannten Kanal ist kein Service. Beruflich gilt: phishing-resistente MFA und saubere Conditional-Access-Politik machen den sozialen Vorwand teurer – nicht unmöglich, aber deutlich weniger lohnend. Die Kombination aus Technik und Verhaltensregel ist der eigentliche Schutzraum.

Wer die sechs Praxis-Checks gegen Passkey-Phishing nachlesen will, bleibt bei unserem internen Guide: Passkeys-Sicherheit: 6 Checks gegen Phishing 2026. Wer MFA grundsätzlich härten will, startet bei Zwei-Faktor-Authentifizierung: Konto absichern.

Schlussbild: Der Anruf war die Falle

Zurück zum Klingeln. Private Nummer. „IT“. Passkey jetzt. Link per SMS. Der Countdown in Ihrem Kopf.

Das Pikante daran – und ja, das Pikante daran: Der Angriff beginnt nicht, wenn Sie „Passwort falsch“ tippen. Er beginnt, wenn Sie dem Druck glauben, dass nur eine sofortige Aktion Sie rettet. Der Clou der Kampagne seit Mai 2026: Wenig Endpoint-Spur, viel Identitätsschaden, Persistenz über fremde MFA-Methoden, danach ruhige, automatisierte Sammlung in der Cloud.

Überraschung zum Abschied: Die beste erste Verteidigung ist oft unspektakulär. Auflegen. Bekannten Kanal nutzen. Melden. Sessions und Methoden prüfen lassen. Kein Drama. Kein Heldenstatus. Nur der kurze Schnitt in der Szene, bevor der Fake-Helpdesk die Regie übernimmt.

Plot Twist: Manchmal ist die sicherste Antwort am Privat-Handy – Stille. Und danach ein Ticket an die echte IT.

Und noch ein letzter Spoiler für den Feierabend: Die Kampagne lebt davon, dass Privat und Beruf verschwimmen. Das Firmenkonto ist oft auf dem Privat-Handy erreichbar, Push-Benachrichtigungen mischen sich mit privaten Chats, und der Helpdesk-Ton klingt vertraut genug, um den Reflex zu triggern. Trennen Sie die Kanäle mental: Berufliche Identitätsänderungen gehören in berufliche Prozesse – nicht in den ungeprüften Anruf auf die private SIM.

Merken Sie sich den Satz für den nächsten Feierabend-Anruf: Passkey kann der Vorwand sein. Session und MFA-Persistenz sind das Stück. Und Sie entscheiden in den ersten Sekunden, ob die Szene weiterläuft.