Eine neue Phishing-Plattform namens Kali365 hebelt den MFA-Schutz zentraler Cloud-Infrastrukturen aus – ganz ohne Passwortdiebstahl!
⏱ Lesezeit: 10 Minuten
Stellen Sie sich vor: Ihr Unternehmen hat die Multifaktor-Authentifizierung (MFA) vollständig ausgerollt. Ihre IT-Abteilung hat sichergestellt, dass sich niemand mehr nur mit Passwort in Ihre Systeme einloggen kann. Das Sicherheitsgefühl ist gut. Und genau das ist das Problem. In den vergangenen Monaten hat sich eine hochgefährliche Angriffswelle formiert, die gezielt Unternehmen mit aktiver MFA trifft. Nach der ersten offiziellen Warnung des FBI im Mai zeigt sich nun das ganze Ausmaß der Bedrohung.
Die neue Phishing-Welle gegen Cloud-Dienste und der Name der Bedrohung: Kali365
Das Prinzip
Kein Passwortdiebstahl. Kein gefälschtes Login. Und trotzdem drin.
Kali365 ist eine sogenannte Phishing-as-a-Service-Plattform (PhaaS): Ein Cyberkriminalitäts-Werkzeug im Abonnement, das auch technisch unversierte Angreifer in die Lage versetzt, ausgefeilte Attacken auf zentrale Unternehmensnetzwerke zu fahren. Ab 250 US-Dollar pro Monat gibt es KI-generierte Phishing-Vorlagen, automatisierte Kampagnen-Tools und Echtzeit-Dashboards. Kriminelle Professionalität zum Flatrate-Tarif!
Das Tückische: Kali365 stiehlt weder Passwörter noch täuscht es Nutzer mit einer gefälschten Login-Seite. Es missbraucht einen herstellerübergreifenden Mechanismus, den Anbieter wie Microsoft, AWS oder Okta selbst entwickelt haben und der vollkommen legitim ist.
Der Trick: Ein Code, den Sie selbst eingeben
Kennen Sie die Situation, wenn Sie sich bei einem Streamingdienst auf Ihrem Smart-TV anmelden und dafür auf Ihrem Smartphone einen kurzen Code auf einer Website eingeben müssen? Dieses Verfahren nennt sich OAuth Device Code Flow und es existiert aus gutem Grund: Geräte ohne Tastatur oder Browser sollen sich unkompliziert mit einem Konto verbinden können.
Kali365 dreht diesen Mechanismus zur Waffe um. Klassische Phishing-Angriffe zielten darauf ab, Passwörter auf gefälschten Login-Seiten abzufangen. Kali365 geht psychologisch und technisch weitaus raffinierter vor: Die Angreifer stehlen keine Zugangsdaten, sie kapern eine legitime Funktion, um sich regulär in Ihr System einzuloggen.
Der Ablauf in vier Schritten
Der Köder
Ein Mitarbeitender erhält eine E-Mail – gut gestaltet, im Namen eines vertrauenswürdigen Cloud-Dienstes wie SharePoint, DocuSign oder Adobe.
Die Aufforderung
Um das Dokument zu öffnen, wird der Nutzer aufgefordert, eine offizielle Login- oder Verifizierungsseite des jeweiligen Cloud-Anbieters aufzurufen und dort einen angezeigten, mehrstelligen Code einzugeben.
Das Einklinken
Das Opfer tut es und sieht eine echte, legitime Website (z. B. von Microsoft oder Okta), korrektes SSL-Zertifikat, keine Tippfehler in der URL. Kein Warnsignal. Da der Code auf der echten Microsoft-Plattform eingegeben wird, stuft Microsoft den Vorgang als legitim ein. Im Hintergrund fängt das Kali365-Kit jedoch die Sitzung ab.
Die Übernahme
Der Angreifer erhält das finale OAuth-Token, einen digitalen Schlüssel, der dauerhaften Zugang gewährt. Ab diesem Moment ist er eingeloggt, ohne jemals das Passwort oder den MFA-Code des Nutzers gekannt zu haben. Aus Sicht des Cloud-Dienstes hat der Nutzer das selbst genehmigt.
Kali365-Phishing: Ein Angriffs-Netzwerk breitet sich aus
Wie professionell die Angreifer inzwischen vorgehen, zeigt schon die Infrastruktur dahinter. Die IT-Sicherheitsfirma Arctic Wolf hat mittlerweile ein zusammenhängendes Netzwerk aus 126 Angreifer-Servern nachgewiesen, die alle auf dieselbe Kali365-Infrastruktur zurückgehen und über Telegram als vollständig gemanagte Dienstleistung vertrieben werden. Die Angreifer zielen nicht mehr auf Einzelpersonen ab, sondern versuchen, über systematische Angriffswellen in Nordamerika und Europa in Firmennetzwerke einzudringen. Die Kampagne läuft dabei bis heute weiter: Aktuelle Auswertungen von Anfang August 2026 zeigen weiterhin dutzende neue Kali365-Fälle pro Woche.
126
nachgewiesene Angreifer-Server einer einzigen Infrastruktur
ab 250 $
pro Monat kostet der Zugang zur Plattform
Hunderte
dokumentierte Angriffe in Nordamerika und Europa
Das Sicherheitsunternehmen Arctic Wolf, das die Kampagne seit Anfang April 2026 intensiv verfolgt, hat in wenigen Wochen bereits Hunderte Angriffe in Nordamerika und ganz Europa dokumentiert. Betroffen waren Organisationen aus dem Gesundheitswesen, Behörden, dem Bildungssektor, der Fertigungsindustrie sowie Finanz- und Versicherungsunternehmen.
Das verbindende Merkmal aller Opfer: Sie hatten MFA aktiviert.
Eine detaillierte technische Analyse und Ablaufdiagramme, wie dieser Device-Code-Angriff im Kern funktioniert, bietet der ursprüngliche Arctic-Wolf-Forschungsbericht „Token Bingo: Don’t Let Your Code be the Winner“, welcher sich im April noch exklusiv auf den Missbrauch von Microsoft-Umgebungen konzentrierte. Doch die Bedrohung ist rasant weitergewachsen: Im offiziellen Update-Bericht „From Token Bingo to MAX Takeover“ dokumentieren die Analysten von Arctic Wolf Labs die massive Expansion der Angreifer.
Kali365 nutzt exakt dieselbe Methode mittlerweile herstellerübergreifend und bricht mit diesem Trick nun auch gezielt in Amazon Web Services (AWS), Okta Single Sign-On (SSO), Xerox DocuShare sowie europäische Mail-Infrastrukturen wie GMX ein. Wie breit sich das Geschäftsmodell dabei bereits auffächert, zeigt ein Detail aus demselben Bericht: Dieselbe Infrastruktur kapert parallel auch private Konten des russischen Messengers MAX über eine gefälschte Gewinnspiel-Seite. Die erbeuteten Daten landen dabei nicht auf der Zielplattform selbst, sondern werden in Echtzeit an einen eigens eingerichteten Telegram-Bot der Angreifer weitergeleitet.
Warum MFA hier versagt und das kein technischer Fehler ist
MFA schützt davor, dass sich jemand als Sie anmeldet. Es schützt nicht davor, dass Sie einem Angreifer – bewusst, aber unwissentlich – Zutritt erteilen. Genau das passiert hier: Der Angreifer durchläuft kein einziges MFA-Hindernis, weil das Opfer diesen Schritt bereits für ihn erledigt hat, und zwar auf den echten Servern der Cloud-Anbieter.
Das ist kein Versagen von MFA als Konzept. Es ist ein fundamentaler Paradigmenwechsel in der Angriffsmethodik.
Der Paradigmenwechsel
Cyberkriminelle brechen nicht mehr ein. Sie werden eingelassen.
Die Compliance-Perspektive: Dauerhafter Zugriff und Haftungsrisiken
Das eigentliche Kernproblem für Compliance und Datenschutz ist die Langlebigkeit dieses Angriffs. Neben dem Zugangs-Token aus dem Übernahme-Schritt erlangen die Angreifer zusätzlich sogenannte Refresh-Tokens, eine Art Nachschlüssel, mit dem sie sich auch dann noch Zugang verschaffen können, wenn der ursprüngliche Zugang abläuft. Damit greifen sie über Wochen oder Monate hinweg passwortlos und völlig unbemerkt auf E-Mails, Kundendaten, interne Chats und heikle Geschäftsgeheimnisse zu.
⚠️ Ab diesem Moment liegt aus Datenschutzsicht eine meldepflichtige Datenpanne vor.
Unternehmen drohen …
Das strukturelle Problem: Sicherheitsrichtlinien, die niemand mehr überblickt
Das Internet Crime Complaint Center (IC3) des FBI empfiehlt, den Device Code Flow über sogenannte Conditional-Access-Richtlinien (automatisierte Wenn-Dann-Regeln) plattformübergreifend zu blockieren.
Die Empfehlung klingt einfach. Die Umsetzung ist es oft nicht.
In den meisten Unternehmen ist das Regelwerk rund um den bedingten Zugriff über Jahre gewachsen – von verschiedenen Administratoren, zu verschiedenen Zeitpunkten. Eine vollständige Dokumentation gibt es dabei selten. Niemand weiß mehr mit Sicherheit, welche Abhängigkeiten bestehen, was eine einzelne Änderung auslösen könnte.
Die Konsequenz: Aus Angst vor unbeabsichtigten Ausfällen bleibt die verwundbare Einstellung aktiv. Die Angreifer haben freie Bahn.
Das ist kein Einzelfall, es ist ein strukturelles Problem, das wir in der Praxis regelmäßig beobachten. Sicherheit ist kein Produkt, das man einmal installiert. Sie ist ein kontinuierlicher Prozess: Richtlinien prüfen, Abhängigkeiten verstehen, Transparenz herstellen.
Was das Management jetzt gegen Kali365-Phishing tun muss
Fälle wie diese massive Phishing-Kampagne von Kali365 zeigen, warum wir unsere Kunden konsequent in Richtung Zero-Trust-Sicherheitsarchitekturen beraten: Wer keinem Gerät und keiner Identität blind vertraut, entzieht solchen Angriffen systematisch den Boden.
Wenn Ihr Unternehmen Microsoft 365, AWS, Okta oder Xerox DocuShare betreibt, empfehlen wir diese Maßnahmen:
Welche Policies existieren? Wer hat sie wann erstellt? Welche Abhängigkeiten bestehen? Ohne diese Übersicht ist eine sichere Konfigurationsänderung kaum möglich.
Ein wichtiger Zwischenstand: Microsoft hat reagiert, aber nur halb.
Seit 1. Juli 2026 ist der Device Code Flow in allen neu angelegten Entra-Mandanten standardmäßig blockiert. Für bestehende Umgebungen, also praktisch jedes etablierte Unternehmen, ändert sich dadurch nichts. Prüfen Sie deshalb zuerst unter Entra ID > Conditional Access > Policies > Microsoft-managed, ob in Ihrem Tenant bereits eine entsprechende Richtlinie greift und erstellen Sie andernfalls eine eigene.
Erstellen Sie eine Richtlinie, die den Device Code Flow für alle Nutzer blockiert. Dies gilt für Microsofts Identitätsverwaltung Entra ID ebenso wie für die Administrations-Schnittstellen von AWS und Okta. Nutzen Sie eng definierte Ausnahmen für Geräte, die diese Funktion tatsächlich benötigen (z. B. Konferenzraumsysteme). Notfallzugangskonten sollten ausgenommen werden, um Aussperrungen zu verhindern.
Sicherheitsrichtlinien müssen regelmäßig überprüft und an neue Bedrohungslagen angepasst werden. Ein gelebtes Informationssicherheits-Managementsystem (ISMS) schützt vor Haftungsrisiken und ist die Grundlage für echte Resilienz.
Ungewöhnliche Anmeldeaktivitäten, neue Geräteregistrierungen oder auffällige Posteingangsregeln, die Angreifer nach erfolgreicher Kompromittierung zur Unterdrückung von Sicherheitswarnungen anlegen, müssen sichtbar und alarmierbar sein.
Schulen Sie Ihr Team: Weder Microsoft-Dokumentenfreigaben noch Okta-Logins oder AWS-Verifizierungen erfordern im regulären Büroalltag jemals die Eingabe eines separaten Gerätecodes auf einer externen Website. Wer das weiß, erkennt den Angriff, bevor er Schaden anrichtet.
(Mehr zur Sensibilisierung Ihrer Mitarbeitenden gegen Phishing-Angriffe)
MeineBerater-Fazit
Rein technische Standardlösungen wie MFA ohne begleitende, strategische Cloud-Governance können fehlschlagen. Sicherheit und Compliance müssen als fortlaufender Managementprozess verstanden werden. Angreifer nutzen keine Schwachstellen mehr, sie nutzen legitime Prozesse und die Komplexität moderner IT-Umgebungen. Sie nutzen unsere eigenen Komfortfunktionen gegen uns.
Und Kali365 ist längst nicht mehr allein: Device-Code-Phishing hat sich 2026 zur regelrechten Welle entwickelt. Die Sicherheitsforscher von Push Security zählen inzwischen über ein Dutzend Kits mit dieser Funktion, die Angriffe haben sich im Jahresverlauf um das 37-Fache vervielfacht. Neben Kali365 tauchten zuletzt etwa Venom auf, das es gezielt auf die Zugänge von Führungskräften abgesehen hat, sowie der erst im Mai dokumentierte Newcomer CYB3R. Selbst etablierte Plattformen rüsten nach: Tycoon2FA, jahrelang der Marktführer unter den Phishing-Baukästen, wurde im März 2026 von Europol und Microsoft abgeschaltet und war wenige Wochen später zurück, nun ebenfalls mit Device-Code-Funktion. Wer also nur einen Namen blockiert, hat das Problem nicht gelöst.
Es geht um die Methode, nicht um das Produkt.
Der beste Schutz ist kein neues Tool, sondern ein klares Bild des eigenen Sicherheitsstatus:
Wer seine gesamte Cloud-Infrastruktur nicht konsequent gegen Missbrauch schützt, riskiert den unbemerkt fortlaufenden Totalverlust der Datenkontrolle.
Ist Ihre Cloud-Umgebung anfällig?
Wenn Sie wissen möchten, ob Ihre Microsoft-, AWS- oder Okta-Umgebungen für diese raffinierte Methode anfällig sind oder Sie Unterstützung bei der Überprüfung Ihrer Sicherheitsrichtlinien benötigen, sprechen Sie uns an. Ihr Schutz ist unsere Arbeit!
Machen Sie unsere Stärken zu Ihren Kompetenzen. 🙌
Stand: August 2026. Die Bedrohungslage rund um Device-Code-Phishing entwickelt sich laufend weiter.
MeineBerater – die Beratungsboutique für Datenschutz, Compliance & Informationssicherheit.