In den vergangenen Wochen ist mir in mehreren Mandanten immer wieder dasselbe Muster begegnet. Mitarbeiter bekommen über Microsoft Teams Nachrichten von angeblichen IT-Kollegen, die allerdings nicht aus der eigenen IT stammen, sondern aus fremden, externen Tenants. Die Angreifer geben sich als Support aus, nutzen das offene Federationsmodell von Teams und schlagen kurz darauf eine Fernwartung mit Quick Assist vor. Microsoft hat genau dieses Vorgehen im Mai 2024 im Zusammenhang mit Storm-1811 beschrieben. Erst kommt das E-Mail-Bombing, danach der Teams-Chat, dann Quick Assist, und zum Schluss landet Ransomware auf dem Client. Für mich ist Teams-Phishing über externen Zugriff deshalb längst keine theoretische Gefahr mehr, ich treffe in der Praxis immer häufiger darauf.

Angreifer missbrauchen die offene Federation für gefälschten IT-Support

Die Angreifer gehen dabei recht geschickt vor. Sie nutzen die Federation in Microsoft Teams, die ab Werk weit offen steht, und sprechen Mitarbeitende gezielt per Chat an. Oft geht dem eine Flut harmloser, aber lästiger E-Mails voraus (E-Mail-Bombing), die das Opfer unter Druck setzen und empfänglicher für „Hilfe“ machen soll. Im Chat tritt der Angreifer dann als IT-Helpdesk auf und bietet an, das Problem zu beheben. Meist schlägt er vor, einen Fernwartungslink zu teilen oder Quick Assist zu verwenden. Viele halten das für glaubwürdig, besonders wenn sie den Chat nicht als externen Teams-Chat erkennen.

Das folgende Diagramm zeigt, wie ein solcher Angriff typischerweise abläuft:

flowchart TD
  A["Angreifer sendet viele E-Mails"] --> B["Opfer erhält externe Teams-Chat-Anfrage"]
  B --> C["Angreifer gibt sich als IT aus"]
  C --> D["Opfer akzeptiert Quick Assist Sitzung"]
  D --> E["Angreifer übernimmt Rechner"]
  E --> F["Ransomware oder Datenklau"]

Abbildung: Typischer Ablauf eines Teams-Phishing-Angriffs über die externe Federation

Sind Quick Assist oder ein anderes Fernwartungstool erst einmal im Spiel, fehlt bis zur Kompromittierung nur noch ein Klick. Microsoft beschreibt das Vorgehen ausführlich im Beitrag Threat actors misusing Quick Assist in social engineering attacks.

Eine gezielt eingeschränkte Federation schließt die wichtigste Lücke

Wer die Standardeinstellungen in Microsoft Teams nie angepasst hat, erlaubt in der Regel Chats mit beliebigen externen Tenants. Diese Voreinstellung stammt noch aus den Anfangstagen von Teams, als offene Zusammenarbeit als Vorteil galt. Heute bietet sie Angreifern oft einen bequemen Einstieg. In vielen Tenants sehe ich, dass die Federation noch immer offen ist oder nur halbherzig eingeschränkt wurde. Dabei lässt sich der externe Zugriff im Teams Admin Center ziemlich fein steuern. Unter Benutzer → Externer Zugriff legt man gezielt erlaubte Domänen fest, statt „alle außer blockierten“ zuzulassen. In kritischen Umgebungen empfehle ich, die Federation auf bekannte, vertrauenswürdige Partner zu beschränken und alle übrigen Domänen ebenso zu blockieren wie Chats mit nicht verwalteten Teams-Konten (Externen Zugriff in Microsoft Teams steuern).

Praxistipp: Nach einer Änderung der Federation-Einstellungen in Teams kann es bis zu 24 Stunden dauern, bis die neuen Regeln überall greifen. Die Anwender sollten deshalb vorher Bescheid wissen.

So sieht eine typische Konfiguration für einen restriktiven externen Zugriff aus:

  • Zulassen: nur bestimmte, bekannte Partnerdomänen
  • Blockieren: alle anderen Domänen
  • Keine Chats mit nicht verwalteten Teams-Konten
  • Kein Gastzugriff für unbekannte Organisationen
  • Die Belegschaft klar über das neue Verhalten informieren

Weitere Details zur Einrichtung beschreibt Microsoft im Artikel Trusted organizations, external meetings, and chat.

Quick Assist und andere Remote-Tools brauchen klare Grenzen

Die zweite Schwachstelle ist Microsoft Quick Assist. Weil das Tool so weit verbreitet ist, greifen Angreifer gern darauf zurück, und in den meisten Windows-Umgebungen ist es ohnehin vorinstalliert. Wer im Unternehmen standardmäßig eine andere Remote-Support-Lösung einsetzt, sollte Quick Assist per Intune deaktivieren oder zumindest stark einschränken. Dafür genügt eine Geräteeinschränkungsrichtlinie in Intune. Unter Intune Admin Center → Geräte → Konfiguration → Gerätebeschränkungen setzt man die Option „Quick Assist zulassen“ auf „Nein“, damit ist das Tool blockiert. Unternehmen, die Quick Assist weiter nutzen wollen, brauchen eine gezielte Awareness-Kampagne mit einer einfachen Kernbotschaft: Die IT schickt niemals ungefragt per Teams-Chat einen Quick-Assist-Link. Eine klare Richtlinie dazu gehört in jede Security-Schulung.

Den „Extern“-Hinweis in Teams übersehen viele Nutzer

Bei Chats mit externen Personen blendet Teams im Chatkopf deutlich den Vermerk „Extern“ ein. Trotzdem erlebe ich in Schulungen, dass viele Nutzer ihn übersehen oder falsch deuten. Das liegt auch daran, dass die Partner aus dem Arbeitsalltag ja ebenfalls „extern“ sind. Den Hinweis technisch einzublenden, reicht deshalb nicht aus, viel wichtiger ist die Sensibilisierung. Ein echter IT-Helpdesk meldet sich nie ungefragt aus einer fremden Organisation, er nutzt interne Kanäle oder offizielle Wege. Spätestens wenn im Chat ein Fernwartungstool angeboten wird, sollte jeder stutzig werden.

In Security-Awareness-Kampagnen setze ich inzwischen verstärkt auf kleine, praxisnahe Rollenspiele. Danach ignorieren die Anwender den „Extern“-Hinweis nicht mehr und sind für das Thema sensibilisiert. Mit Technik allein ist das Problem eben nicht gelöst.

Die offene Federation in Teams hat inzwischen ihren Preis

Für viele Unternehmen hat die offene Federation in Teams die Zusammenarbeit jahrelang vorangebracht, gerade im internationalen Umfeld. Social-Engineering-Methoden wie Teams-Phishing über externen Zugriff machen aus dieser Offenheit jedoch ein Risiko. In meinen Projekten rate ich deshalb spätestens jetzt dazu, die externe Federation restriktiv zu konfigurieren und die Belegschaft gezielt zu schulen. Angreifer finden ohnehin immer wieder neue Wege in die Kommunikation. Wer darüber hinaus technische Maßnahmen sucht, sollte sich Conditional-Access-Richtlinien und Sensitivity Labels ansehen, um besonders gefährdete Gruppen zusätzlich abzusichern (siehe meinen Beitrag zu Conditional Access in Entra ID). Nach meiner Erfahrung hat Teams-Phishing über externen Zugriff erst dann keine Chance mehr, wenn technische Absicherung und Awareness zusammenspielen.