ConsentFix und ClickFix: So kapern Sie Microsoft 365-Konten in Sekundenschnelle

Sicherheitsexperten warnen vor zwei rasant wachsenden Angriffsmethoden, ClickFix und ConsentFix, die das Nutzerverhalten ausnutzen, um Microsoft 365-Sitzungen zu übernehmen. Angreifer müssen weder Passwörter stehlen noch die Multi-Faktor-Authentifizierung mit herkömmlichen Methoden umgehen. Stattdessen missbrauchen sie legitime Authentifizierungsprozesse und das Vertrauen der Nutzer, wodurch die Angriffe deutlich schwerer zu erkennen sind.

Im vergangenen Jahr wurden diese Techniken in einer wachsenden Zahl gezielter Kampagnen gegen Unternehmen und öffentliche Einrichtungen beobachtet. Sicherheitsforscher prognostizieren, dass die Angriffe weiter zunehmen werden, da sie eher auf Manipulation sozialer Medien und legitimen Funktionen als auf der Ausnutzung technischer Schwachstellen basieren.

Moderne Cyberangriffe nutzen menschliches Verhalten aus

Cyberkriminelle konzentrieren sich zunehmend auf das Nutzerverhalten anstatt auf technische Sicherheitslücken. Wir sind es gewohnt, CAPTCHA-Abfragen zu bestätigen, Cookie-Anfragen zu akzeptieren und Anweisungen auf dem Bildschirm ohne Weiteres zu befolgen.

Genau diese reflexartigen Handlungen nutzen Angreifer aus.

Anstatt Firewalls zu umgehen oder Software-Schwachstellen auszunutzen, schalten sie sich in einen legitimen Arbeitsablauf ein und zwingen den Benutzer zu der Handlung, die zum Sicherheitsvorfall führt.

ClickFix verleitet den Benutzer dazu, den Code des Angreifers auszuführen.

ClickFix ist eine Angriffsmethode, bei der dem Benutzer eine gefälschte Verifizierungsseite angezeigt wird, die ihn dazu auffordert, einfache Aktionen durchzuführen, wie z. B. die Verwendung bestimmter Tastenkombinationen, um seine Identität zu “bestätigen” oder einen Vorgang abzuschließen.

Was wie eine normale Verifizierung aussieht, führt tatsächlich dazu, dass der Benutzer unwissentlich die Befehle des Angreifers auf seinem eigenen Computer einfügt und ausführt.

Es muss keine Sicherheitslücke ausgenutzt und keine Firewall umgangen werden. Der Angreifer verlässt sich ausschließlich darauf, dass der Benutzer den Anweisungen folgt.

ClickFix erlebte 2025 einen starken Aufschwung und wird nach wie vor von mehreren Bedrohungsakteuren aktiv für Angriffe gegen Unternehmen und Behörden eingesetzt.

ConsentFix verlagert den Angriff auf Microsoft 365.

Die neuere Angriffsvariante ConsentFix zielt auf Microsoft 365 OAuth-basierte Authentifizierung.

OAuth ist ein etablierter Standard, der es Nutzern ermöglicht, Anwendungen eingeschränkten Zugriff auf ihre Konten zu gewähren, ohne ihr Passwort preiszugeben. Gelangen diese Zugriffstoken in falsche Hände, kann ein Angreifer sich als legitimer Nutzer ausgeben und Zugriff auf die Ressourcen der Organisation erlangen.

Der Angriff beginnt üblicherweise mit einer Phishing-E-Mail, die über bekannte Dienste wie Dropbox oder DocSend versendet wird. In manchen Fällen ist das Dokument zusätzlich passwortgeschützt, was die Analyse des Inhalts durch Sicherheitslösungen erschwert.

Beim Öffnen des Dokuments wird dem Benutzer ein scheinbar legitimes Microsoft-Login angezeigt.

Anschließend wird der Benutzer aufgefordert, die Authentifizierung abzuschließen, indem er einen localhost-Link in den Browser zieht.

Genau dieser Moment stellt den Angriff dar.

Statt einer regulären Authentifizierung gibt der Benutzer unwissentlich seine OAuth-Token an den Angreifer weiter. Diese ermöglichen den Zugriff auf die Microsoft 365-Sitzung und können für den Zugriff auf E-Mails, Dokumente, Teams und andere Microsoft 365-Dienste verwendet werden, ohne dass der Angreifer das Passwort des Benutzers kennen muss.

Der Benutzer gibt seine Anmeldedaten niemals auf einer gefälschten Website ein. Es ist die bereits genehmigte Sitzung, die gehackt wird.

Warum die Multi-Faktor-Authentifizierung nicht hilft

Die Multi-Faktor-Authentifizierung ist nach wie vor eine der wichtigsten Sicherheitsmaßnahmen, aber sie verhindert nicht alle Arten von Identitätsangriffen.

ConsentFix erfordert kein herkömmliches Login.

Stattdessen nutzt der Angreifer eine bereits authentifizierte Sitzung aus.

Das bedeutet Folgendes:

• Das Passwort des Benutzers muss niemals gestohlen werden.
• Es ist keine erneute Anmeldung erforderlich.
• Der Angreifer nutzt die bereits autorisierte Sitzung und deren OAuth-Token.
• Die Multi-Faktor-Authentifizierung wurde vom rechtmäßigen Benutzer bereits abgeschlossen.

Dadurch wird es deutlich schwieriger, den Angriff mit herkömmlichen Sicherheitsmaßnahmen zu erkennen.

Angreifer teilen ihre Werkzeuge offen.

Im März 2026 wurde ein ausführlicher Testbericht zu ConsentFix in einem offenen russischen Cyberkriminalitätsforum veröffentlicht.

Das Material enthielt funktionierenden Code, eine vollständige Infrastruktur, Screenshots, Videoanleitungen und detaillierte Anweisungen zum Aufbau und zur Durchführung des Angriffs.

Der Leitfaden beschrieb auch, wie Angreifer ihre Ziele mithilfe öffentlich zugänglicher Quellen wie LinkedIn lokalisieren, bevor sie Phishing-Nachrichten versenden. Durch das Sammeln von Informationen über Organisationen und einzelne Mitarbeiter lassen sich die Köder so anpassen, dass sie deutlich glaubwürdiger wirken.

Dies bedeutet, dass fortgeschrittene Angriffsmethoden, die zuvor umfangreiche technische Fachkenntnisse erforderten, nun wesentlich einfacher umzusetzen sind.

Wie Organisationen das Risiko reduzieren können

Die Schulung der Anwender ist nach wie vor ein wichtiger Bestandteil der Sicherheitsarbeit, muss aber durch technische Schutzmaßnahmen ergänzt werden.

Weil beides ClickFix Und ConsentFix Auf der Grundlage legitimer Arbeitsabläufe müssen Organisationen in der Lage sein, anomales Verhalten zu erkennen, anstatt nur bekannte Schadsoftware zu blockieren.

Sicherheitsexperten empfehlen unter anderem Folgendes für Organisationen:

• schult Benutzer darin, ungewöhnliche Anweisungen zu hinterfragen, die Tastenkombinationen oder Drag-and-Drop-Aktionen im Browser erfordern.
• überwacht ungewöhnliche PowerShell-Aktivitäten, die von normalen Benutzerprozessen gestartet werden.
• Erkennt neue Microsoft 365-Sitzungen von unerwarteten geografischen Standorten oder Geräten
• Überprüft regelmäßig OAuth-Apps und Benutzereinwilligungen
• schränkt die Möglichkeit der Nutzer ein, Drittanbieteranwendungen ihre Zustimmung zu erteilen.
• verwendet Microsoft Entra ID Identitätsschutz- und bedingte Zugriffsrichtlinien
• überwacht verdächtige tokenbasierte Authentifizierung und ungewöhnliche Sitzungsänderungen
• wird durch fortschrittliche Identitäts- und Endpunktüberwachung ergänzt, um kompromittierte Sitzungen frühzeitig zu erkennen.

Identität und Sitzungen werden die nächste große Sicherheitsherausforderung sein.

ConsentFix zeigt, wie sich Cyberbedrohungen von traditionellem Phishing hin zu deutlich ausgefeilteren Identitätsangriffen weiterentwickeln, bei denen der Angreifer das Vertrauen der Nutzer in legitime Authentifizierungsprozesse ausnutzt.

Statt Passwörter zu stehlen, wird die aktive Sitzung gestohlen.

Dadurch werden die Angriffe schneller, diskreter und schwerer zu erkennen.

Für Unternehmen bedeutet dies, dass sich der Schutz nicht mehr allein auf Passwörter und Multi-Faktor-Authentifizierung beschränken kann. Identität, aktive Sitzungen, OAuth-Berechtigungen und kontinuierliche Überwachung werden zu einem immer wichtigeren Bestandteil moderner Zero-Trust-Strategien.

Da Angreifer nicht mehr versuchen, durch die Tür einzubrechen, sondern dem Nutzer durch den offenen Zugang folgen, müssen sich auch die Sicherheitsstrategien ändern. Organisationen, die Nutzerschulungen mit kontinuierlicher Identitätsüberwachung, risikobasierten Zugriffskontrollen und fortlaufender OAuth-Autorisierungsprüfung kombinieren, sind deutlich besser gerüstet, die nächste Generation identitätsbasierter Angriffe zu erkennen und zu stoppen, bevor es zu einer vollständigen Kompromittierung eines Kontos kommt.