Token Theft in Microsoft 365: Die größte Security-Lücke – und wie man sie schließt
Viele Unternehmen haben ihre Microsoft-365-Umgebungen in den letzten Jahren deutlich gehärtet. Multi-Faktor-Authentifizierung, Conditional Access und Device Compliance gehören inzwischen zum Standardrepertoire moderner Sicherheitsstrategien. Dennoch zeigt die Praxis ein anderes Bild: Erfolgreiche Angriffe nehmen weiterhin zu.
Der Grund dafür liegt nicht beim Login selbst, sondern in einer Phase, die oft unterschätzt wird – dem Zugriff nach der Anmeldung.
// Token Theft: Wenn der Angriff nach dem Login beginnt
Moderne Angreifer konzentrieren sich längst nicht mehr auf das Knacken von Passwörtern. Stattdessen nehmen sie gezielt Session Tokens ins Visier. Diese entstehen, sobald sich ein Benutzer erfolgreich – inklusive MFA – authentifiziert hat. Microsoft Entra stellt daraufhin ein Token aus, das alle weiteren Zugriffe auf Dienste wie Outlook, Teams oder SharePoint ermöglicht.
Genau hier liegt das Problem: Wird ein solches Token kompromittiert, kann ein Angreifer darauf zugreifen, ohne erneut ein Passwort eingeben oder eine MFA-Abfrage bestehen zu müssen. Der Zugriff ist zudem nicht an einen festen Standort gebunden. Damit wird eine eigentlich sichere Anmeldung im Nachhinein ausgehebelt.
// Warum bestehende Schutzmechanismen zu kurz greifen
Viele Sicherheitskonzepte setzen stark auf Kontrollen beim Login. Conditional Access prüft Identität, Gerät und teilweise auch Standort – allerdings primär zu Beginn der Sitzung. Ist das Token einmal ausgestellt, bleibt es für seine Laufzeit gültig.
Der Zugriff selbst wird in dieser Zeit nicht durchgehend neu bewertet. Auch der Netzwerkpfad spielt in vielen Szenarien keine Rolle. Das führt dazu, dass ein gestohlenes Token innerhalb seiner Gültigkeit problemlos weiterverwendet werden kann.
// Die oft übersehene Lücke: Der Transportweg
Die meisten Sicherheitskonzepte konzentrieren sich auf zwei Ebenen:
- Identität
- Endgerät
Was häufig fehlt, ist die Absicherung des Weges zwischen Benutzer und Microsoft 365.
Die Folgen:
- Zugriff aus beliebigen Netzwerken
- Keine durchgängige Kontrolle des Datenflusses
- Tokens funktionieren außerhalb ihres ursprünglichen Kontexts
Genau diese fehlende Bindung an einen sicheren Zugriffspfad macht Token Theft so effektiv.
// Warum klassische Einschränkungen nicht ausreichen
Um Risiken zu reduzieren, setzen viele Organisationen auf IP-Filter, Länderrestriktionen oder definierte Standorte. Auf den ersten Blick erscheint dieser Ansatz sinnvoll, stößt jedoch schnell an seine Grenzen.
IP-Adressen sind kein verlässlicher Identitätsfaktor, insbesondere im Kontext von IPv6. Gleichzeitig wechseln mobile Nutzer regelmäßig ihre Netzwerke, was zahlreiche Ausnahmen erforderlich macht. Der administrative Aufwand steigt, die Komplexität nimmt zu – und damit auch die Fehleranfälligkeit.
Vor allem aber bleibt das eigentliche Problem bestehen: Ein gestohlenes Token kann weiterhin genutzt werden, solange die definierten Bedingungen erfüllt oder umgangen werden. Das eigentliche Problem – die fehlende Bindung des Zugriffs an einen sicheren Kontext – bleibt bestehen.
// Die Lösung: Absicherung des Microsoft 365 Traffics
Mit Global Secure Access (Microsoft Traffic Profile) wird diese Lücke geschlossen.
Der Zugriff auf Microsoft 365 wird dabei an einen definierten, kontrollierten Netzwerkpfad gebunden.
Konkret bedeutet das:
- Der gesamte Datenverkehr zu Microsoft 365 wird gezielt geführt
- Zugriff ist an diesen sicheren Kontext gekoppelt
- Conditional Access wird um eine Netzwerkdimension erweitert
Damit zählt nicht mehr nur, wer sich anmeldet – sondern auch, wie und über welchen Pfad der Zugriff erfolgt.
Ein entscheidender Punkt dabei: In vielen Fällen ist genau diese Funktion zur Absicherung des Microsoft 365 Traffics bereits in den meisten bestehenden Microsoft 365 Lizenzen enthalten. Es entstehen also in der Regel keine zusätzlichen Lizenzkosten – das Potenzial wird nur häufig nicht genutzt.
// Was sich dadurch konkret verändert
Durch die Kombination aus Identitätsprüfung und kontrolliertem Netzwerkzugriff entsteht ein deutlich höheres Sicherheitsniveau. Tokens sind nur noch innerhalb des vorgesehenen Kontexts gültig. Versuche, sie außerhalb dieses Rahmens zu nutzen, werden blockiert.
Dadurch verlieren auch typische Replay-Angriffe ihre Wirkung. Selbst wenn ein Token abgegriffen wird, bleibt es für Angreifer praktisch wertlos, sobald es den definierten Zugriffspfad verlässt.
// Relevanz für moderne Arbeitsmodelle
Die größte Angriffsfläche entsteht heute bei:
- mobilen Mitarbeitern
- Reisen und externen Netzwerken
- Homeoffice und unsicheren Umgebungen
Ohne zusätzliche Absicherung bedeutet das:
- Zugriff aus beliebigen Netzen
- Keine Kontrolle über den Transportweg
Durch die Absicherung des Microsoft 365 Traffics bleibt das Sicherheitsniveau hingegen konstant – unabhängig vom Standort.
// Zero Trust endlich vollständig umgesetzt
Global Secure Access bringt zusammen, was bisher getrennt war:
| Bereich | Früher | Mit Global Secure Access |
| Identity | Conditional Access | bleibt |
| Netzwerk | VPN / IP Filtering | ersetzt |
| Security | fragmentiert | integriert |
Damit wird Zero Trust konsequent umgesetzt – nicht nur beim Login, sondern über den gesamten Zugriff hinweg.
// Praxis-Checkliste: Wie gut ist Ihre Umgebung geschützt?
Mit dieser kurzen Checkliste können Sie einschätzen, ob Ihre Umgebung anfällig für Token Theft ist:
// Fazit
Token Theft ist längst kein Randthema mehr, sondern eine reale und effektive Angriffsmethode.
MFA allein reicht nicht aus.
Auch klassische Conditional-Access-Ansätze greifen zu kurz.
Die entscheidende Maßnahme ist die konsequente Absicherung des Microsoft 365 Traffics.
Erst dadurch wird der Zugriff technisch an einen sicheren Kontext gebunden – und genau diese Lücke geschlossen.
// Unser Ansatz
Genau an dieser Stelle setzen wir an.
Wir unterstützen Unternehmen dabei,
- bestehende Sicherheitskonzepte gezielt zu erweitern
- den Microsoft 365 Zugriff ganzheitlich abzusichern
- Global Secure Access sinnvoll in bestehende Architekturen zu integrieren
- und Token-basierte Angriffe nachhaltig zu reduzieren
Lassen Sie uns in einem kurzen, unverbindlichen Gespräch herausfinden, wie angreifbar Ihre Umgebung heute ist – und wie Sie das nachhaltig ändern können.
paul.reinickenoSpam@softline.de
+49 174 1946 020
Vereinbaren Sie gern ein 30 oder 60 minütiges Meeting.
Alternativ können Sie uns auch jederzeit über unser Kontaktformular erreichen.