81 Millionen Login-Versuche auf M365: Wie Password Spraying über Azure CLI und ROPC die MFA aushebelt

Zwischen dem 12. und 26. Juni 2026 registrierte das Sicherheitsunternehmen Huntress mehr als 81 Millionen Login-Versuche gegen Microsoft-365-Umgebungen. Mindestens 78 Konten in 64 Organisationen wurden übernommen. Beunruhigend ist dabei nicht allein die Masse, sondern der Weg. Viele der betroffenen Unternehmen hatten Multi-Faktor-Authentifizierung aktiviert und wurden trotzdem kompromittiert. Die Angreifer nutzten gültige, längst geleakte Zugangsdaten und einen veralteten Anmeldeweg über die Azure CLI, an dem die MFA schlicht nicht ausgelöst wurde. Wir erklären, wie der Angriff funktioniert und welche Conditional-Access-Lücken jetzt konkret geprüft gehören.

81 Millionen Login-Versuche gegen Microsoft 365

Password Spraying ist keine neue Technik, doch die Dimension dieser aktuellen Kampagne ist bemerkenswert. Huntress beobachtete den M365-Angriff bei eigenen Kunden und zählte im Zwei-Wochen-Fenster über 81 Millionen Anmeldeversuche. Anfangs blieb die Zahl erfolgreicher Übernahmen niedrig, meist zwei bis vier Konten pro Tag. Am 22. Juni 2026 kippte das Bild, als an einem einzigen Tag 30 Identitäten in 23 Unternehmen kompromittiert wurden.

Opportunistische Ziele statt gezielter Auswahl

Die Zielauswahl der Angreifer folgte keiner Branche und keinem Muster. Sie richtete sich allein danach, wie häufig ein Passwort in geleakten Combolisten auftaucht. Betroffen waren Organisationen quer durch alle Sektoren, von der Fertigung bis zu Kanzleien. Der Datenverkehr stammte überwiegend aus einem IPv6-Bereich des Infrastrukturanbieters LSHIY LLC (AS32167). Die Geolokalisierung war widersprüchlich, mit Adressen, die teils in die USA und teils nach China verwiesen. Eine belastbare Zuordnung zu einem Täter gibt es bislang nicht.

Der Vorfall ist Teil einer größeren Welle. Nach Angaben von Huntress hat sich das Volumen an Credential-Spray-Angriffen im eigenen Kundenstamm binnen sechs Monaten um mehr als das 155-Fache erhöht, mit im Schnitt rund 1.964 fehlgeschlagenen Versuchen pro Tenant und Monat.

Der Angriffsweg über Azure CLI und den ROPC-Flow

Der eigentliche Hebel war nicht das Erraten von Passwörtern, sondern der gewählte Anmeldeweg. Die Angreifer authentifizierten sich über die Azure CLI, das Kommandozeilenwerkzeug zur Verwaltung von Azure- und Microsoft-365-Ressourcen. Dahinter steckt ein veralteter OAuth-Mechanismus namens Resource Owner Password Credentials, kurz ROPC.

ROPC nimmt Benutzername und Passwort direkt am Token-Endpunkt entgegen und stellt bei korrekten Daten ein gültiges Zugriffstoken aus. Der entscheidende Punkt ist, dass dieser Weg nicht über den Autorisierungsendpunkt läuft, an dem Conditional Access seine Regeln durchsetzt. Eine interaktive MFA-Abfrage findet nicht statt. Microsoft rät in der eigenen Dokumentation ausdrücklich von ROPC ab und bezeichnet den Flow als unvereinbar mit moderner Multi-Faktor-Authentifizierung. Mit OAuth 2.1 gilt ROPC offiziell als abgekündigt, funktioniert aber weiterhin.

Nach einer erfolgreichen Anmeldung standen den Angreifern die üblichen Wege offen. Beobachtet wurden das Anlegen von Weiterleitungsregeln im Postfach, ein klassischer Baustein von Angriffen auf die E-Mail-Sicherheit, der Zugriff auf SharePoint und OneDrive sowie das Auslesen von Verzeichnisinformationen. In mehreren Fällen folgte der Versuch von Lateral Movement über die Aufzählung von Azure-Rollen.

Warum die MFA nicht ausgelöst wurde

Am aufschlussreichsten ist der Blick auf die Unternehmen, die sich geschützt wähnten. Von 23 näher untersuchten Betroffenen hatten 15 eine MFA-Pflicht per Conditional Access eingerichtet. Sie griff trotzdem nicht, weil die Regeln den genutzten Anmeldeweg nicht abdeckten. Acht Unternehmen hatten überhaupt keine MFA-Policy.

Fünf typische Conditional-Access-Fehler

Die von der Password-Spraying-Attacke betroffenen MFA-Setups scheiterten fast immer an denselben wenigen Mustern. Die folgende Tabelle ordnet jede Fehlkonfiguration dem Grund zu, aus dem der zweite Faktor ausblieb.

Password Spraying, Brute Force und Credential Stuffing

Password Spraying wird oft mit anderen Angriffsarten wie Brute Force oder Credential Stuffing verwechselt, unterscheidet sich aber deutlich von diesen. Die folgende Tabelle zeigt, wie sich die drei Angriffsarten im Vorgehen unterscheiden.

Die aktuelle M365-Kampagne mischt einige dieser Merkmale. Vom Ausgangspunkt her ähnelt sie Credential Stuffing, weil geleakte Zugangsdaten wiederverwendet werden, in der automatisierten Ausführung erinnert sie an einen Brute-Force-Angriff, bleibt technisch aber Password Spraying.

Sofortmaßnahmen für Ihren Microsoft-365-Tenant

Der wichtigste Grundsatz lautet, MFA und Conditional Access über alle Anmeldewege hinweg zu erzwingen, nicht nur im Browser. Huntress, Microsoft und unser Professional Service Team empfehlen folgende Schritte:

1. MFA oder eine Blockregel für alle Nutzer, alle Cloud-Apps und alle Client-App-Typen bedingungslos erzwingen.
2. Starke Client-Authentifizierung aktivieren (Einstellung userStrongAuthClientAuthNRequired), um ROPC-basierte Token-Ausstellung zu unterbinden.
3. Legacy-Authentifizierung und den ROPC-Flow deaktivieren, wo sie nicht zwingend gebraucht werden.
4. Die Azure CLI auf die Nutzer beschränken, die sie wirklich benötigen, idealerweise nur Administratoren mit zusätzlichem Schutz.
5. Die Sign-in-Logs in Microsoft Entra gezielt auf Azure-CLI- und ROPC-Anmeldungen sowie auf gehäufte fehlgeschlagene Logins prüfen.
6. Kompromittierte Konten sofort zurücksetzen, aktive Sessions und Tokens widerrufen und geleakte Passwörter unternehmensweit rotieren.
7. Die Reaktion an der Gültigkeit von Zugangsdaten ausrichten, nicht am reinen Spray-Volumen, da die am häufigsten angegriffenen Tenants nicht die am stärksten kompromittierten sind.

Technischer Schutz vor Password Spraying

Technische Härtung kann die konkrete Lücke schließen, doch der Kern des Problems sind Identitäten. Angreifer melden sich mit gültigen Zugangsdaten an, statt eine Schwachstelle auszunutzen. Genau hier setzt identitätsbasierte Bedrohungserkennung an.

Sophos ITDR (Identity Threat Detection and Response) überwacht Anmeldeaktivitäten und schlägt bei kompromittierten Konten, ungewöhnlichen Sign-ins und verdächtigem Verhalten an, auch dann, wenn ein Angreifer ein gültiges Passwort besitzt. Ergänzt wird das durch Sophos XDR, das Telemetrie aus Endpoints, Microsoft 365 und Netzwerk zusammenführt.

Wer diese Überwachung nicht rund um die Uhr selbst leisten kann, findet in Sophos MDR ein Angebot mit einem 24/7-SOC, das genau solche Spray-Wellen und die daran anschließende Ausbreitung erkennt und stoppt. Einen Überblick über die Optionen bietet unsere Seite zu Managed Security.

Aus unserer Sicht gehört zu belastbarem Identitätsschutz mehr als ein einzelnes Werkzeug. Weil schwache, mehrfach genutzte und bereits geleakte Passwörter der eigentliche Zündstoff sind, bleibt eine Security Awareness Schulung mit Fokus auf Passworthygiene ein wirksamer Baustein. Welche Dienste und Zugänge nach außen überhaupt exponiert sind, machen Sophos Managed Risk und eine externe Schwachstellenanalyse sichtbar. Für regulierte Organisationen liefert ein Compliance Assessment den Abgleich mit Vorgaben wie NIS-2.

Sophos ITDR kennenlernen →

Fazit: Password Spraying entlarvt falsch konfigurierte MFA

Die 81 Millionen Anmeldeversuche sind vor allem ein Beleg dafür, dass MFA nur so gut ist wie ihre Konfiguration. Wo ein veralteter Anmeldeweg wie ROPC an den Regeln vorbeiführt, nützt der zweite Faktor nichts. Der wirksamste Schutz ist eine Conditional-Access-Policy, die alle Nutzer, alle Cloud-Apps und alle Client-Typen erfasst, kombiniert mit dem Rotieren geleakter Passwörter und einer Überwachung, die kompromittierte Identitäten erkennt, statt nur fehlgeschlagene Logins zu zählen. Wer diese drei Ebenen zusammenbringt, macht aus einer gefährlichen Lücke eine beherrschbare Aufgabe.