Auf den Punkt: Device-Code-Phishing und Vishing umgehen 2026 gezielt etablierte Sicherheitskontrollen wie MFA und E-Mail-Filter und hinterlassen dabei deutlich weniger forensische Spuren.
Neuere Social-Engineering-Techniken erlauben es Angreifern, etablierte Sicherheitskontrollen zu umgehen und dabei deutlich weniger forensische Spuren zu hinterlassen. Für CISOs bedeutet das, dass klassische Phishing-Abwehrmaßnahmen zunehmend ins Leere laufen.
Aktuelle Auswertungen zeigen einen Anstieg von Device-Code-Phishing um 1.500 Prozent im Jahr 2026. Bei dieser Technik missbrauchen Angreifer den OAuth-Device-Authorization-Flow, der eigentlich für Geräte ohne Browser oder Tastatur gedacht ist, etwa Smart-TVs oder IoT-Geräte. Nutzer werden dazu gebracht, einen legitimen Anmeldecode auf einer echten Microsoft- oder Google-Login-Seite einzugeben, wodurch Angreifer ein gültiges Zugriffstoken erhalten, ohne dass klassische Anmeldedaten wie Passwörter abgegriffen werden müssen. Parallel dazu hat sich Vishing, also Phishing per Telefonanruf, im selben Zeitraum verdoppelt.
Beide Techniken haben gemeinsam, dass sie etablierte technische Kontrollen wie Multi-Faktor-Authentifizierung, E-Mail-Filter oder URL-Reputationsprüfungen gezielt umgehen. Da bei Device-Code-Phishing die Anmeldung über eine legitime Seite des jeweiligen Identitätsanbieters erfolgt, greifen viele klassische Phishing-Detektionsmechanismen nicht, die auf gefälschte Login-Seiten oder verdächtige URLs abzielen. Vishing wiederum nutzt die menschliche Interaktion am Telefon, wo Social-Engineering-Elemente wie Dringlichkeit oder vorgetäuschte IT-Support-Anfragen schwerer automatisiert zu erkennen sind als in schriftlicher Kommunikation.
Für Sicherheitsverantwortliche resultiert daraus eine doppelte Herausforderung: Zum einen hinterlassen diese Angriffsformen weniger verwertbare forensische Spuren als klassisches Credential-Phishing, was Incident Response und Attribution erschwert. Zum anderen erfordert die Abwehr eine Kombination aus technischen Maßnahmen, etwa der Einschränkung oder Überwachung von Device-Code-Flows in der eigenen Identity-Infrastruktur, und organisatorischen Maßnahmen wie gezielten Awareness-Schulungen zu Vishing-Szenarien und verifizierten Rückrufprozessen für vermeintliche IT-Support-Anfragen.
CISOs sollten prüfen, ob ihre Identity-Provider-Konfiguration den Device-Code-Flow überhaupt benötigt und diesen andernfalls deaktivieren oder durch Conditional-Access-Richtlinien einschränken. Zusätzlich empfiehlt sich eine Überprüfung bestehender Detection-Use-Cases im SIEM oder SOC, ob ungewöhnliche Device-Code-Anmeldungen sowie Anrufmuster im Zusammenhang mit Helpdesk-Impersonation überhaupt erfasst werden.
Quelle: www.darkreading.com · Erschienen 4. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.