Sicherheitsforscher von Proofpoint um Selena Larson, Jake Gionet und Sarah Sabotka warnen vor einer rasant wachsenden Angriffstechnik, die sich in kurzer Zeit zu einer der bedeutendsten Identity-Bedrohungen entwickelt hat: Device Code Phishing. Die Methode missbraucht den legitimen OAuth-2.0-Geräteautorisierungsfluss von Microsoft, der ursprünglich für browserlose Geräte wie Smart-TVs oder IoT-Geräte konzipiert wurde.
Angreifer bringen ihre Opfer dazu, auf der echten Microsoft-Seite microsoft.com/devicelogin einen Gerätecode einzugeben und umgehen damit Multi-Faktor-Authentifizierung vollständig. Da der gesamte Angriff über legitime Microsoft-Infrastruktur abläuft, greifen klassische URL-basierte Sicherheitskontrollen ins Leere. Gibt ein Opfer den Code ein, erhält der Angreifer vollwertige Authentifizierungstoken – ohne Passwort, ohne MFA-Abfrage.
Von Nischentechnik zur kriminellen Massenwaffe
Die Wurzeln des Device Code Phishings reichen bis ins Jahr 2020 zurück, als die Methode vor allem von Cybersecurity-Sicherheitsprüfern und vereinzelt von Spionen genutzt wurde. Den Durchbruch als kriminelle Massenwaffe erlebte Device Code Phishing im Herbst 2025 mit der Veröffentlichung fertiger Toolkits in Kombination mit einer entscheidenden Innovation: der dynamischen Code-Generierung.
Mussten Angreifer früher damit rechnen, dass ihre Codes nach 15 Minuten ablaufen, wird der Code in aktuellen Implementierungen dynamisch im Moment des Klicks auf den Phishing-Link generiert. Kampagnen können damit noch lange nach Versand der initialen E-Mail erfolgreich sein. Proofpoint beobachtete allein in einem Zehntageszeitraum im April 2026 rund sieben einzigartige Device-Code-Phishing-Varianten. Neue Tools tauchen wöchentlich auf.
PhaaS und KI als Wachstumstreiber
Besonders auffällig ist, dass der Großteil der neuen Werkzeuge mit Hilfe von KI erstellt wurde, sogenanntem „Vibe Coding“. Das verkürzt die Entwicklungszeit drastisch und senkt die Einstiegshürde für technisch weniger versierte Kriminelle erheblich. Bekannte Phishing-as-a-Service-Plattformen (PhaaS) treiben das Wachstum weiter an:
- EvilTokens, erstmals im Februar 2026 auf Telegram beworben, bietet fertige Landing-Pages, die Microsoft, Adobe oder DocuSign imitieren, sowie einen „Portal Browser" zur Automatisierung von Business-E-Mail-Compromise-Operationen (BEC).
- Tycoon 2FA, dessen Infrastruktur im Februar 2026 teilweise zerschlagen wurde, schwenkte unmittelbar danach auf Device Code PhaaS um.
- Das populäre AiTM-Kit ODx (auch bekannt als Storm-1167 oder FlowerStorm) integriert Device-Code-Funktionen über Kali365.
Etablierte Akteure schwenken um
Bedrohungsakteure, die bislang auf Adversary-in-the-Middle-Phishing (AiTM) setzten, steigen nun zunehmend auf Device Code Phishing um. Ein besonders anschauliches Beispiel liefert die Gruppe TA4903: Sie nimmt die Identität von Behörden und kleiner Unternehmen an und nutzt die Methode seit März 2026 nahezu ausschließlich.
In einer Kampagne im April 2026 verschickte TA4903 E-Mails mit dem Betreff „Gehaltsbenachrichtigung“ mit PDF-Anhängen, die QR-Codes enthielten. Diese leiteten über eine Cloudflare-Workers-URL zu einer Landing-Page weiter, die Microsoft und DocuSign imitierte.
Bemerkenswert: Viele dieser E-Mails enthielten keinerlei Text, ein Hinweis darauf, dass Teile der Kampagnen automatisiert ablaufen. Device Code Phishing macht zudem vor Sprachgrenzen nicht halt: Proofpoint hat die Technik in mehreren Sprachen beobachtet, darunter Deutsch.
Die ClickFix-Parallele
Es besteht eine Parallele zwischen Device Code Phishing und ClickFix, der Social-Engineering-Methode, die 2024 als Nischentechnik startete und sich binnen eines Jahres zum Standard im Arsenal von Cyberkriminellen und Spionen entwickelte. Beide Techniken setzen auf dieselbe Grundlogik: Der Angreifer überzeugt das Opfer, eine vermeintlich harmlose Handlung vorzunehmen.
Bei ClickFix das Einfügen eines Skripts in ein Terminal, bei Device Code Phishing das Eingeben eines Codes in das legitime Microsoft-Portal. Neue, wirksame Techniken folgen stets demselben Muster: Einige Akteure experimentieren, und sobald sich Erfolg einstellt, wird die Methode zum käuflichen Standard.
Operative Nachlässigkeit trotz großen Schadens
Trotz des enormen Ausmaßes sind viele Kampagnen operativ nachlässig. Proofpoint beobachtet regelmäßig OpSec-Fehler: Angreifer legen durch schlecht abgesicherte KI-generierte Panels und Infrastruktur ungewollt Benutzernamen, E-Mail-Adressen und gestohlene Daten offen. Das zeigt: Nicht die Fähigkeiten der Angreifer treiben das Wachstum, sondern die schiere Leichtigkeit des Zugangs zu fertigen Tools.
Ein erfolgreicher Angriff kann zur vollständigen Kontoübernahme führen. Über das sogenannte „ATO Jumping" – die Nutzung kompromittierter Konten zum Versand weiterer Phishing-Links an interne Kontakte – verbreiten sich Angriffe schnell in ganzen Organisationen. Weitere Konsequenzen sind Datendiebstahl, Betrug und Business E-Mail Compromise (BEC), laterale Bewegung im Netzwerk sowie im schlimmsten Fall der Einsatz von Ransomware.
Empfohlene Schutzmaßnahmen
Da die Angriffe unabhängig vom verwendeten Kit stets denselben Authentifizierungsfluss missbrauchen, sind dieselben Gegenmaßnahmen zu empfehlen:
- Device Code Flow blockieren: Über Conditional-Access-Richtlinien in Microsoft Entra ID den OAuth-Geräteautorisierungsfluss für alle Nutzer oder per Allowlist für bestimmte Nutzer, Betriebssysteme und IP-Ranges sperren.
- Gerätecompliance erzwingen: Anmeldungen auf registrierte Geräte beschränken, als ergänzende Schutzmaßnahme im Rahmen einer Defense-in-Depth-Strategie.
- Gezielte Nutzerschulung: Klassische Hinweise wie „URL prüfen“ greifen nicht, da das Opfer auf der echten Microsoft-Seite agiert. Nutzer müssen explizit darüber informiert werden, keine Gerätecodes aus unbekannten Quellen einzugeben.
Device Code Phishing ist mehr als eine weitere Phishing-Variante. Es ist die konsequente Antwort der Angreifer auf verbesserte Abwehrmechanismen und wachsendes Nutzerbewusstsein. Kriminelle nutzen legitime Authentifizierungsabläufe als Waffe und skalieren diese mit KI-generierten Tools. So hat sich die Technik zu einer der am schnellsten wachsenden Identity-Bedrohungen entwickelt.