BigBear 2.0: Phishing-Dienst umgeht MFA bei Hunderten Unternehmen

Security · 7.9.2026

Die Phishing-Plattform BigBear 2.0 hat die Multi-Faktor-Authentifizierung von Microsoft 365 bei hunderten Organisationen ausgehebelt und tausende Zugangsdaten gestohlen.

Ein als „BigBear 2.0“ bekanntes Phishing-as-a-Service-Framework (PaaS) hat erfolgreich die Multi-Faktor-Authentifizierung (MFA) von Microsoft 365 bei mindestens 258 Unternehmen weltweit umgangen. Dabei erbeuteten die Angreifer über 5.000 gültige Zugangsdaten von Mitarbeitern. Die Kampagne nutzt sogenannte Adversary-in-the-Middle-Techniken (AitM), um Anmeldesitzungen abzufangen und Sicherheitsbarrieren wirkungslos zu machen.

Warum ist das wichtig?

Diese Entwicklung stellt eine erhebliche Bedrohung für IT-Verantwortliche und Administratoren im DACH-Raum dar. Viele Unternehmen wiegen sich in falscher Sicherheit, sobald eine Multi-Faktor-Authentifizierung (MFA) implementiert ist. BigBear 2.0 zeigt jedoch, dass herkömmliche, auf Einmal-Passwörtern (OTP) oder Push-Benachrichtigungen basierende MFA-Verfahren durch AitM-Phishing-Proxys relativ leicht ausgetrickst werden können. Der Angreifer schaltet sich dabei unbemerkt zwischen den Nutzer und den echten Microsoft-Dienst, fängt das Session-Token ab und erlangt so vollständigen Zugriff auf Postfächer, SharePoint und sensible Unternehmensdaten. Für geschäftliche Microsoft-365-Tenants bedeutet dies ein akut erhöhtes Risiko für Folgeangriffe wie Business Email Compromise (BEC) oder Ransomware-Infektionen.

Was Nutzer jetzt tun sollten

Um den Schutz vor solchen fortgeschrittenen Phishing-Angriffen zu maximieren, müssen IT-Abteilungen ihre Authentifizierungsstrategie anpassen. Folgende Maßnahmen sind dringend empfohlen:

• FIDO2-Sicherheitsschlüssel implementieren: Stellen Sie, wo immer möglich, auf phishing-resistente MFA-Methoden wie FIDO2 oder Windows Hello for Business um. Diese binden die Authentifizierung an die tatsächliche Domäne und verhindern Token-Diebstahl über Proxy-Server.
• Bedingter Zugriff (Conditional Access): Konfigurieren Sie Richtlinien in Microsoft Entra ID, die Zugriffe nur von verwalteten, konformen Geräten oder bekannten IP-Adressbereichen zulassen.
• Sitzungslaufzeiten verkürzen: Reduzieren Sie die Lebensdauer von Session-Tokens, um das Zeitfenster für Missbrauch nach einem Diebstahl zu minimieren.
• Mitarbeiter sensibilisieren: Schulen Sie Anwender darin, auch bei scheinbar legitimen MFA-Aufforderungen stets die URL in der Adresszeile des Browsers genau zu prüfen.

Fazit

MFA bleibt ein unverzichtbarer Basisschutz, ist aber kein Allheilmittel mehr. IT-Verantwortliche müssen erkennen, dass traditionelle MFA-Verfahren gegen moderne AitM-Angriffe wie BigBear 2.0 versagen. Der Übergang zu phishing-resistenten Standards ist für den langfristigen Schutz von Microsoft-365-Infrastrukturen unumgänglich.

Quelle: BleepingComputer