Passkey-Vishing: Forensik gegen die Kaperung der Enrollment-Zeremonie
22.07.2026 passkeyentra idvishingidentity forensicsphishing-resistant mfa
Wenn der stärkste Faktor zur Falle wird
Passkeys galten bislang als der Königsweg gegen Phishing: kryptografische Schlüsselpaare, origin-gebunden über WebAuthn, private Schlüssel, die das Gerät nie verlassen. Genau deshalb ist die seit April 2026 aktive Kampagne der Gruppe O-UNC-066 – von Okta Threat Intelligence so benannt, von Palo Alto Networks Unit 42 als „Pink“ bzw. CL-CRI-1147 getrackt und dem lose organisierten Netzwerk „The Com“ zugerechnet, aus dem auch Scattered Spider und ShinyHunters hervorgingen – so bemerkenswert. Okta Threat Intelligence veröffentlichte am 6. Juli 2026 eine vollständige technische Analyse der Kampagne. Sie bricht keine Kryptografie – sie kapert den Moment, in dem ein starker Credential überhaupt erst entsteht.
Der zentrale Trick der Kampagne ist verblüffend simpel: Statt ein Passwort zu stehlen, einen Einmalcode abzugreifen oder eine ganze Login-Sitzung zu proxen, überzeugen die Angreifer Mitarbeitende, einen neuen Authentifikator in ihrem eigenen Microsoft-365-Konto zu registrieren – kontrolliert vom Angreifer. Zielpersonen werden per Telefon unter dem Vorwand kontaktiert, aus Sicherheitsgründen einen neuen Microsoft-Entra-Passkey registrieren zu müssen, und auf Phishing-URLs mit dem Wort „passkey“ geleitet, die mit dem Branding des Opferunternehmens versehen sind und das echte Entra-Enrollment-Portal imitieren. Betroffen sind Organisationen aus Lebensmittelindustrie, Technologie, Gesundheitswesen, Automotive, Bau und Luftfahrt.
Das Timing ist kein Zufall: Seit Mai 2026 können Microsoft-Administratoren Passkey-Registrierungskampagnen einrichten, die Nutzer beim Anmelden zur Passkey-Registrierung „anstupsen“ – teils standardmäßig aktiviert. Die gefälschte Aufforderung wirkt dadurch routinemäßig statt verdächtig.
Anatomie des Angriffs: PHP-Panel statt AiTM-Proxy
Technisch unterscheidet sich die Kampagne von klassischem Adversary-in-the-Middle-Phishing. Statt eines üblichen AiTM-Proxys handelt es sich um ein bedienergesteuertes PHP-Panel, in dem der Angreifer das Opfer in Echtzeit durch den Phishing-Prozess führt und den Ablauf an die verwendete MFA-Methode anpasst. Ein menschlicher Operator sitzt live am Steuer, reagiert auf Push-Benachrichtigungen, TOTP-Codes oder SMS und passt die Fassade entsprechend an.
Besonders perfide: Eine gefälschte „Recovery-Key“-Seite zeigt eine BIP-39-Seed-Phrase – ein aus Krypto-Wallets entlehnter Trick. Diese Seiten registrieren nichts. Sie halten den Nutzer lediglich beschäftigt, während der Angreifer im Hintergrund einen eigenen Passkey registriert. Der Nutzer glaubt, einen Wiederherstellungsschlüssel zu sichern – tatsächlich läuft parallel die feindliche Enrollment-Zeremonie. Die primäre Motivation der Akteure ist Datenerpressung; seit dem 31. Mai 2026 betreibt die Gruppe eine eigene Leak-Site.
Forensische Spurensuche in Entra-Protokollen
Für die Incident-Response-Praxis verschiebt dieser Angriffstyp den Fokus: weg von Token-Diebstahl, hin zu Credential-Registrierungsereignissen. Der entscheidende forensische Marker ist der Audit-Log-Eintrag „Add Passkey“, der sich gezielt abfragen lässt, etwa über eine KQL-Query mit AuditLogs | where Category == "UserManagement" | where OperationName == "Add Passkey (device-bound)", ergänzt um Benutzer- und FIDO-Key-ID.
Problematisch ist die Aufbewahrungsfrist: Entra ID speichert Sign-in- und Audit-Logs standardmäßig nur 7 Tage (Free-Tier) beziehungsweise 30 Tage (P1/P2) – für forensische Analysen oft zu kurz, da viele Kompromittierungen erst nach mehr als 30 Tagen entdeckt werden. Wer diese Kampagne nachträglich rekonstruieren will, braucht bereits vorher exportierte Logs, idealerweise via Diagnostic Settings in Log Analytics, Sentinel, Event Hub oder ein Storage-Konto als Kaltarchiv.
Für die Untersuchung selbst empfiehlt sich ein dreistufiges Vorgehen: Erstens Korrelation neuer „Add Passkey“-Events mit ungewöhnlichen Sign-ins oder auffälligen Helpdesk-Meldungen – eine explizite Empfehlung aus der Forumsberichterstattung zur Kampagne. Zweitens Abgleich der registrierten FIDO-Key-ID und Geräteattribute mit bekannten Unternehmensgeräten – ein unbekannter Authenticator-Typ oder eine untypische IP/Geolokation zum Registrierungszeitpunkt ist ein starker Indikator. Drittens organisatorische Forensik: Wer hat wann angerufen, unter welchem Namen, mit welcher Rückrufnummer? Da der Angriff auf Social Engineering statt technischem Bypass basiert, gehört die Rekonstruktion der Telefon- und Helpdesk-Interaktion zwingend zum Beweisbild.
Die Lehre für DFIR-Teams: Passkeys bleiben kryptografisch phishing-resistent. Doch die Registrierungszeremonie selbst wird zum neuen Perimeter – und muss ebenso überwacht, protokolliert und forensisch aufbereitet werden wie jede andere privilegierte Aktion im Identity-Stack.
← Zurück zur Übersicht