Angreifer ändern derzeit ihre Taktik in unternehmensweiten Identitätssystemen. Anstatt Passwörter zu stehlen, missbrauchen sie den OAuth-basierten E-Mail-Zugriff in Microsoft Entra, um unbemerkt und dauerhaft Kontrolle über Unternehmenspostfächer zu erlangen. Diese Methode ermöglicht es Bedrohungsakteuren, traditionelle Zugangsschutzmechanismen zu umgehen und gleichzeitig langfristigen Zugriff über legitime Autorisierungstoken aufrechtzuerhalten.
Sicherheitsforscher warnen, dass sich diese Methode nahtlos in normale Cloud-Aktivitäten einfügt. Da OAuth auf Benutzerzustimmung statt auf Passworteingabe basiert, zeigen kompromittierte Konten häufig keine offensichtlichen Anzeichen eines Einbruchs. Dadurch wird die Erkennung für Sicherheitsteams erheblich erschwert.
Wie OAuth-Zustimmung zum Angriffsvektor wird
OAuth ermöglicht Anwendungen den Zugriff auf Benutzerdaten, sobald eine Berechtigung erteilt wurde. Wenn ein Nutzer eine App-Anfrage genehmigt, stellt das System ein Zugriffstoken aus. Dieses Token kann – abhängig vom gewährten Berechtigungsumfang – das Lesen von E-Mails, das Versenden von Nachrichten oder den Zugriff auf Profildaten erlauben.
Angreifer nutzen diesen Ablauf, indem sie schädliche oder täuschend echt wirkende Anwendungen erstellen. Sie bringen Nutzer dazu, risikoreiche Berechtigungen zu genehmigen. Sobald die Zustimmung erteilt wurde, benötigt der Angreifer das Passwort des Nutzers nicht mehr. Das Zugriffstoken bleibt gültig, bis ein Administrator es widerruft.
Diese Persistenz stellt ein erhebliches Risiko dar. Eine Passwortänderung macht OAuth-Token nicht automatisch ungültig. Auch eine Multifaktor-Authentifizierung stoppt eine bereits genehmigte Anwendung nicht. Dadurch können Organisationen davon ausgehen, dass Konten sicher sind, während Angreifer im Hintergrund die Kommunikation überwachen.
Warum E-Mail-Zugriff besonders gefährlich ist
E-Mail zählt zu den wertvollsten Ressourcen jeder Organisation. Postfächer enthalten Verträge, interne Diskussionen, Zugangsdaten und Links zur Passwortzurücksetzung. Mit OAuth-basiertem Zugriff können Angreifer sensible Korrespondenz lesen und sich als vertrauenswürdige Mitarbeitende ausgeben.
Dieser Zugriff ermöglicht überzeugende interne Phishing-Kampagnen. Bedrohungsakteure können scheinbar legitime Nachrichten von kompromittierten Konten versenden. Kolleginnen und Kollegen vertrauen diesen E-Mails häufig, da sie von echten internen Adressen stammen. Dieses Vertrauen erhöht die Wahrscheinlichkeit weiterer Kompromittierungen.
Darüber hinaus können Angreifer vertrauliche Dokumente und strategische Informationen abgreifen. In regulierten Branchen kann eine solche Offenlegung zu Compliance-Verstößen und finanziellen Sanktionen führen.
Geringe Transparenz und Überwachungslücken
Traditionelle Sicherheitsüberwachung konzentriert sich auf fehlgeschlagene Anmeldeversuche und verdächtige Authentifizierungsereignisse. Der Missbrauch von OAuth löst diese Warnungen nicht aus, da der Zugriff auf genehmigten Token basiert. Die Aktivitäten können wie normaler API-Verkehr einer autorisierten Anwendung wirken.
Viele Organisationen überprüfen erteilte Zustimmungen nicht regelmäßig. Ohne geeignete Audits können schädliche Anwendungen über längere Zeit Zugriff behalten. Diese Lücke ermöglicht es Angreifern, eine unauffällige und dauerhafte Präsenz in Microsoft-Entra-Umgebungen aufzubauen.
So stärken Organisationen ihre Microsoft-Entra-Sicherheit
Organisationen sollten Benutzerzustimmungen für risikoreiche Berechtigungen einschränken. Administratoren sollten eine Genehmigungspflicht für Anwendungen einführen, die Zugriff auf Postfächer oder Offline-Zugriff anfordern. Eine Begrenzung der Personen, die OAuth-Berechtigungen erteilen dürfen, reduziert die Angriffsfläche erheblich.
Sicherheitsteams sollten außerdem bestehende App-Registrierungen überprüfen und unnötige Berechtigungen widerrufen. Die kontinuierliche Überwachung neuer Zustimmungen hilft dabei, verdächtige Aktivitäten frühzeitig zu erkennen. Klare interne Richtlinien können Mitarbeitende über die Risiken der Genehmigung unbekannter Anwendungen aufklären.
Eine proaktive Kontrolle von OAuth-Workflows stärkt die Identitätssicherheit. Ohne strenge Governance kann der OAuth-basierte E-Mail-Zugriff in Microsoft Entra zu einem wirkungsvollen Einstiegspunkt für Angreifer werden.
Fazit
Der Missbrauch des OAuth-basierten E-Mail-Zugriffs in Microsoft Entra verdeutlicht den Wandel moderner Cyberangriffe. Bedrohungsakteure zielen zunehmend auf Autorisierungsmechanismen statt ausschließlich auf Zugangsdaten ab. Durch die Ausnutzung von Zustimmungsprozessen erhalten sie dauerhaften und unauffälligen Zugriff auf Postfächer. Organisationen müssen daher Zustimmungsrichtlinien verschärfen, App-Berechtigungen überwachen und Token-Lebenszyklen aktiv verwalten, um eine stille Kompromittierung zu verhindern.
0 Kommentare zu „Sicherheitsrisiken durch OAuth-basierten E-Mail-Zugriff in Microsoft Entra“