⏱ Lesezeit: 12 Minuten
Eine Vertriebsleiterin checkt im Hotel ein und verbindet sich mit dem Gäste-WLAN, wie gewohnt. Die Anmeldeseite sieht aus wie immer: kein Tippfehler, kein komisches Zertifikat, keine Warnung. Anders als bei klassischem Phishing ist diese Seite sogar tatsächlich echt, nur eben nicht mehr unter Kontrolle des Hotels.
Microsoft nennt die dahinterstehende Kampagne CaptiveCrunch, benannt nach genau diesem Trick: Geschäftsreisen mit Hotel- oder Konferenz-WLAN werden zum Einfallstor. Die eingesetzten Werkzeuge heißen CornFlake, ChocoShell und FruitStone. Klingt nach dem Aktionsregal eines Frühstücksflocken-Herstellers, ist aber eine der ambitioniertesten Spionage-Operationen, die Microsoft in diesem Jahr öffentlich gemacht hat. Lustig sind höchstens die Namen.
Kein Fake-WLAN – hier wurde das Original gekapert
Die naheliegende Vorstellung wäre: Kriminelle bauen ein gefälschtes WLAN auf, das täuschend echt aussieht. Das kommt vor, ist aber nicht die Masche von CaptiveCrunch. Hier übernehmen die Angreifer die echte technische Infrastruktur hinter dem WLAN, konkret die sogenannten Captive Portals: jene Anmeldeseiten, die erscheinen, sobald Sie sich in einem Hotel, am Flughafen oder in einem Konferenzzentrum ins Gäste-WLAN einwählen.
Wie schaffen sie das? Vollständig geklärt ist das noch nicht. Microsoft hat aber Auffälligkeiten bei mehreren betroffenen Netzwerken festgestellt, die dafürsprechen, dass nicht jedes Hotel einzeln angegriffen wurde. Wahrscheinlicher ist ein gemeinsam genutzter Dienstleister oder ein zentrales Verwaltungssystem für mehrere Standorte zugleich, quasi ein einzelner Zulieferer, der gleich für viele mitliefert. Als möglichen, ausdrücklich unbestätigten Ausgangspunkt vermutet die Sicherheitsfirma ReliaQuest öffentlich erreichbare Verwaltungszugänge der Geräte in Kombination mit schwachen oder wiederverwendeten Administrator-Passwörtern.
| Kampagne | CaptiveCrunch |
| Aktiv seit (Kampagne) | Anfang Mai 2026 (laut Microsoft) |
| Aktuell betroffene Standorte | U.a. mehrere US-Städte, Indien, Saudi-Arabien (laut ReliaQuest) |
| Betroffene Branchen | Finanzdienstleistungen, Rechtsberatung, Gesundheitswesen, Energie, Handel u.a. |
| Ziel | Zugriff auf Microsoft-365-Konten von Geschäftsreisenden |
Die betroffenen Branchen reichen von Finanzdienstleistungen bis Handel, es gibt also keinen erkennbaren Schwerpunkt, und auch regional zeichnet sich bislang kein enges Muster ab. Für Unternehmen heißt das: Wer glaubt, „das trifft nur andere Branchen“ oder „nur bestimmte Regionen“, liegt vermutlich falsch, im Prinzip ist jedes reisende Team ein mögliches Ziel. Ob und wann es auch WLAN-Netze im DACH-Raum trifft, ist offen: Öffentlich ist bislang kein solcher Fall bekannt, das heißt aber nicht, dass die zugrunde liegende Infrastruktur nicht auch hier existieren könnte, nur eben noch unentdeckt.
So schnappt die Falle zu
Sobald die Angreifer Kontrolle über das Gateway haben, entscheiden sie, wohin Anfragen aus dem Netzwerk geleitet werden. Für Sie als Nutzerin oder Nutzer bedeutet das: Sie müssen selbst nichts anklicken oder öffnen, damit der Angriff beginnt. Das Netzwerk, mit dem Sie sich ganz normal verbinden, wird selbst zum Ausgangspunkt. Von dort verläuft der Angriff auf einem von drei Wegen:
WEG 1
Die Nachbildung
Eine gefälschte Anmeldeseite, die einer echten Microsoft-365-Login-Seite täuschend ähnlich sieht, hier wird tatsächlich ein Passwort abgegriffen, ähnlich wie bei bekannten Phishing-Mails, nur dass der Weg dorthin über das echte, kompromittierte Hotel-WLAN führt statt über einen Link in einer E-Mail.
WEG 2
Die Kaperung
Missbrauch der sogenannten Geräte-Code-Authentifizierung: Hier wird kein Passwort gestohlen, sondern eine bereits erfolgreich durchgeführte, echte Anmeldung fremdübernommen.
WEG 3
Die Regieanweisung
Eine gefälschte Systemmeldung, etwa ein angebliches Windows-Update oder eine Netzwerkreparatur, bringt Sie dazu, selbst einen Befehl auszuführen oder eine Datei zu installieren („ClickFix“).
Weg 3 funktioniert psychologisch besonders gut: Wer im Hotel gerade Verbindungsprobleme hat, hält eine Meldung über eine „nötige Reparatur“ für deutlich glaubwürdiger als dieselbe Aufforderung in einer x-beliebigen E-Mail.
Wenn Anmelden zum Freibrief für den Angreifer wird
Weg 2 verdient besondere Aufmerksamkeit, weil er zeigt, dass Mehrfaktor-Authentifizierung (MFA) allein nicht vor jeder Angriffsart schützt. Bei der Geräte-Code-Authentifizierung, eigentlich für Geräte ohne eigene Tastatur gedacht, etwa Smart-TVs oder Konferenzraum-Systeme, startet der Angreifer im Hintergrund eine ganz reguläre Anmeldung bei Microsoft. Sie werden dazu gebracht, den vom Angreifer erzeugten Code auf einer echten, unveränderten Microsoft-Seite einzutippen. Sie melden sich tatsächlich bei Microsoft an, führen die MFA-Prüfung korrekt durch und autorisieren damit unwissentlich die Sitzung des Angreifers statt Ihrer eigenen.
Die Masche
Kein Passwort gestohlen, kein Einmalcode abgefangen, der Angreifer bekommt trotzdem Zugriff, weil Sie ihm die Tür selbst aufhalten.
Diesen Mechanismus kennen Sie vielleicht bereits aus unserem Beitrag zu Kali365: Auch dort missbrauchen Angreifer denselben sogenannten OAuth Device Code Flow, allerdings per E-Mail statt über ein kompromittiertes WLAN. Die Schutzmaßnahme ist in beiden Fällen dieselbe: den Geräte-Code-Login unternehmensweit blockieren oder einschränken. Wie genau der Trick im Detail abläuft und welche fünf Maßnahmen dagegen helfen, lesen Sie hier:
Die Zutatenliste der Angreifer: CornFlake, ChocoShell und FruitStone
Wo der Angriff wirklich Fahrt aufnimmt, ist bei den Schadprogrammen, die Microsoft im Detail beschreibt:
🥣 CornFlake
Ein vollwertiges Fernzugriffs-Werkzeug für Windows, das sich als harmloser Systemdienst tarnt und dauerhaft auf dem Gerät bleibt. Es schneidet Tastatureingaben mit, macht Bildschirmfotos, aktiviert Mikrofon und Kamera, stiehlt Dateien und überlebt sogar einen Neustart oder den Versuch, es zu entfernen.
🍫 ChocoShell
Sucht gezielt nach bereits bestehenden Anmeldedaten, gespeicherten Passwörtern, Browser-Cookies, Microsoft-365-Zugriffs-Tokens, sogar gespeicherten WLAN-Kennwörtern, und schickt diese an die Angreifer.
Was ChocoShell dabei besonders begehrt, sind Zugriffs-Tokens. Ein gestohlener Zugriffs-Token ist im Grunde ein digitaler Ausweis, der zeigt: „Diese Anmeldung wurde bereits erfolgreich durchgeführt.“ Wer ihn besitzt, übernimmt eine bestehende, bereits freigegebene Sitzung, ganz ohne Passwort oder MFA erneut einzugeben.
Die neue Frage
Die Sicherheitsfrage verschiebt sich von „Wie schützen wir Passwörter?“ zu „Wie erkennen wir eine bereits gekaperte Sitzung?“
Und wer bei alldem den Überblick behalten will, braucht eine Schaltzentrale.
🍑 FruitStone
Ein webbasiertes Kontrollzentrum, quasi die Vorratskammer der Angreifer. Liefert eine Übersicht über alle infizierten Geräte, inklusive Standort, Betriebssystem und gesammelten Daten, und lässt sich sogar per Klick neue Schadsoftware-Varianten zusammenstellen. Nach außen tarnt es sich als seriöse Cloud-Verwaltungssoftware eines fiktiven Unternehmens.
Zwei Müsli-Sommeliers uneinig: Wer hat die Packung befüllt?
Microsoft Threat Intelligence, das eigene Sicherheitsforschungsteam von Microsoft, das regelmäßig große Hacker-Kampagnen aufdeckt, ordnet CaptiveCrunch der Gruppe Storm-2945 zu, einer Untereinheit von Midnight Blizzard (APT29, Cozy Bear), die dem russischen Auslandsgeheimdienst SVR zugerechnet wird.
ReliaQuest, ein amerikanischer Anbieter für Security-Operations-Plattformen, dessen Threat-Research-Team dieselbe Angriffsinfrastruktur (identische Domains und IP-Adressen!) unabhängig untersucht hat, sieht darin aber technische Ähnlichkeiten zu einer ganz anderen, ebenfalls russischen Gruppe: Forest Blizzard (APT28, Fancy Bear), zugeordnet zum russischen Militärgeheimdienst GRU. Den vollständigen Bericht finden Sie hier. ReliaQuest betont ausdrücklich, dass das kein Beweis für dieselbe Urheberschaft ist, sondern nur eine auffällige Ähnlichkeit im Vorgehen.
Auch Zscaler, ein großer Anbieter für Cloud-Security (Zero-Trust-Lösungen), hat die Kampagne mit eigenem Forschungsteam untersucht und bestätigt in seiner Analyse im Wesentlichen Microsofts Einschätzung. Damit stehen sich am Ende zwei Sichtweisen gegenüber: Microsoft und Zscaler sehen dieselbe Urheberschaft, ReliaQuest eine andere. Ein Beispiel dafür, dass Attribution bei Cyberangriffen selten hundertprozentig eindeutig ist.
Verschiedene Dienstausweise, gleicher Keller
Bei so vielen lustigen Namen auf einmal in diesem Beitrag fällt es fast schwer, sich nicht gleich eine kleine Geschichte dazu auszudenken:
Zwei Bären-Nachbarn, einer in Apartment 28, der andere in Apartment 29, gehen tagsüber demselben Müsliberuf nach: Spionage, nur eben für zwei verschiedene Geheimdienste. Abends sind sie einfach nur zwei Bären, die den tobenden Schneesturm beobachten. Der eine ist cozy gekleidet, der andere fancy, und offenbar schmecken ihre Cornflakes mit Schokoüberzug verdächtig gleich. Kein Wunder, beide holen ihre Zutaten offenbar aus derselben Vorratskammer im Keller, die auffällig nach Steinobst duftet. Wer für diesen Keller wirklich zuständig ist, darüber sind sich selbst die Hausverwaltungen bis heute nicht einig.
Warum CaptiveCrunch auch Chefsache ist
Für ein Unternehmen ist die spannende Frage nicht in erster Linie „Wer war es?“, sondern:
Welche technischen und organisatorischen Maßnahmen bestehen für Geschäftsreisen und mobiles Arbeiten?
Art. 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau, und CaptiveCrunch verändert dieses Risiko sichtbar. Eine Regel wie „öffentliches WLAN ist okay, solange MFA aktiv ist“ reicht für bestimmte Risikoprofile schlicht nicht mehr aus.
Für NIS2-betroffene Unternehmen kommt Art. 21 der EU-NIS2-Richtlinie hinzu, in Österreich ab 1. Oktober 2026 über das NISG 2026 national umgesetzt: Er nennt unter anderem Risikomanagement, Zugriffskontrollen und Multi-Faktor- bzw. kontinuierliche Authentifizierung ausdrücklich als Pflichtthemen.
Und noch etwas kommt hinzu: Wenn tatsächlich ein gemeinsamer Captive-Portal-Dienstleister betroffen ist statt einzelner Hotels, ist das im Kern genau das Risiko, das wir in einem eigenen Beitrag beschrieben haben: Die eigene Sicherheit hängt von einem Glied in der Kette ab, das man selbst gar nicht kontrolliert. Mehr dazu lesen Sie hier:
Der Soforttest fürs Unternehmen
Sechs Fragen, die Ihre IT-Abteilung zeitnah beantworten sollte:
- VPN-Konfiguration: Läuft der gesamte Datenverkehr auf Reise-Notebooks, inklusive DNS-Anfragen (das digitale Telefonbuch des Internets, das Namen wie microsoft.com in die richtige Adresse übersetzt), durch einen „Full-Tunnel“-VPN? Ein VPN, das nur einen Teil schützt („Split-Tunnel“), lässt genau die Lücke offen, die dieser Angriff ausnutzt.
- DNS-Absicherung: Ist verschlüsseltes DNS im strikten Modus aktiv (DNS over HTTPS/TLS, die „Telefonbuch-Abfrage“ selbst wird verschlüsselt, ohne unverschlüsselten Ausweichweg)? Ein öffentlicher DNS-Server allein (z.B. der bekannte 8.8.8.8 von Google) schützt nicht, wenn die Anfrage weiterhin unverschlüsselt über das kompromittierte Gateway läuft.
- Geräte-Code-Zugang: Ist die Geräte-Code-Authentifizierung deaktiviert oder per Conditional-Access-Richtlinie (automatisierte Wenn-Dann-Regel in Microsoft Entra ID) eingeschränkt? Wie im Kali365-Beitrag beschrieben, blockiert Microsoft dies standardmäßig nur bei neu angelegten Tenants, bestehende Umgebungen müssen selbst aktiv werden.
- WPAD-Einstellung: WPAD lässt Windows-Geräte automatisch einen Proxy-Server aus dem Netzwerk übernehmen – bequem, aber auch von Angreifern missbrauchbar, um Datenverkehr umzuleiten. Ist WPAD deaktiviert, wo es niemand aktiv braucht?
- Reiserichtlinie: Steht in Ihrer Geschäftsreise- oder Remote-Work-Richtlinie noch der Satz „öffentliches WLAN ist okay, wenn MFA aktiv ist“? Genau diese Formel reicht angesichts von CaptiveCrunch nicht mehr aus und sollte überarbeitet werden.
- Anmelde-Überwachung: Sind Conditional Access und risikobasierte Anmelderichtlinien im Einsatz, also Regeln, die eine Anmeldung automatisch als verdächtig einstufen und zusätzliche Prüfung verlangen, wenn z.B. Standort, Gerät oder Uhrzeit ungewöhnlich wirken?
Ihre Packliste für sichere Geschäftsreisen
Diese fünf Punkte gehören für Mitarbeitende genauso ins Reisegepäck wie das Ladekabel:
| 1 | Nutzen Sie, wo möglich, das vom Unternehmen bereitgestellte mobile Internet für Dienstreisen (z.B. Firmen-SIM oder mobiler Router) statt des Hotel- oder Flughafen-WLANs. |
| 2 | Firmen-VPN durchgehend aktiv lassen, auch für kurze Verbindungen. |
| 3 | Niemals Updates, Zertifikate oder Programme installieren, die über eine WLAN-Anmeldeseite angeboten werden. |
| 4 | Fügen Sie keine Befehle in ein Terminal- oder PowerShell-Fenster ein (Eingabefenster, über die man dem Computer direkt Text-Befehle geben kann), zu dem eine Webseite auffordert. |
| 5 | Taucht eine Anmeldeaufforderung oder ein Geräte-Code auf, den Sie nicht selbst durch eine eigene Anmeldung ausgelöst haben: sofort abbrechen und die IT informieren. |
MeineBerater-Fazit
CaptiveCrunch zeigt eindrücklich, dass sich Informationssicherheit auf Geschäftsreisen nicht mehr an der Frage entscheiden darf, ob ein WLAN vertrauenswürdig aussieht. Ein Netzwerk wird nicht dadurch sicher, dass ein bekanntes Hotel es betreibt. Selbst eine Mitarbeiterin, die jede Warnung kennt und alles richtig macht, kann betroffen sein, weil der Angriffspunkt nicht ihr Verhalten ist, sondern die Netzwerk-Infrastruktur selbst, in die sie sich einwählt.
Das entbindet Mitarbeitende nicht von der eigenen Sorgfalt (siehe Packliste oben), aber es zeigt: Awareness allein reicht nicht. Es braucht eine Richtlinie, an die sich alle halten, und eine technische Durchsetzung, die das auch im Alltag sicherstellt.
So unterstützt Sie MeineBerater
Als Beratungsboutique für Datenschutz, Compliance und Informationssicherheit prüfen wir mit Ihnen, ob Ihre Geschäftsreise- und Remote-Work-Richtlinien dem aktuellen Risiko standhalten, von der technischen Konfiguration über die rechtssichere Dokumentation bis zu passenden Mitarbeitenden-Schulungen.
Cybersecurity zum Nachhören
Noch nie etwas von Zero-Day-Exploits oder Ransomware-as-a-Service gehört? Haben Sie keinen genauen Plan, wie ein Passwort-Manager eigentlich funktioniert? Dann haben wir die passende Serie für Sie: launig, locker und garantiert verständlich erklärt im Podcast DSGVOMG – Mein Datenschutztheater. Hören Sie gleich mal rein und verstehen Sie endlich, worüber Ihr IT-Team beim Mittagessen redet.
Überall verfügbar, wo gute Podcasts zuhause sind. Produziert von DAS POD.
MeineBerater – die Beratungsboutique für Datenschutz, Compliance & Informationssicherheit.