CEO-Fraud mit KI: Microsoft warnt vor Phishing-Welle

Eine E-Mail vom Chef, dringend, freundlich im Ton, mit einer plausiblen Zahlungsanweisung. Vor ein paar Jahren verrieten sich solche Mails durch holpriges Deutsch und seltsame Absenderadressen. Heute schreibt sie eine KI, fehlerfrei, im Stil des echten Absenders und in beliebiger Stückzahl. Wie groß das Problem geworden ist, zeigt eine aktuelle Warnung von Microsoft: Mehr als eine Million Phishing-E-Mails mit KI-gestützter Chef-Imitation wurden in nur drei Tagen verschickt (Meldung vom 15.09.2026).

Der klassische CEO-Fraud, auch Chef-Masche oder Business E-Mail Compromise genannt, hat damit eine neue Qualität erreicht. In diesem Beitrag ordnen wir die Warnung ein, zeigen die komplette Angriffskette und erklären, welche Schutzmaßnahmen im Mittelstand wirklich tragen.

Was Microsoft meldet: eine Million Mails in drei Tagen

Nach Angaben von Microsoft verschickten die Täter zwischen dem 3. und 5. August über eine Million betrügerische E-Mails, gezielt an Buchhaltungsabteilungen. Die Nachrichten imitierten mithilfe von KI Führungskräfte des jeweiligen Unternehmens und forderten Überweisungen für angebliche Software-Abonnements, im konkreten Fall vorgeblich für ServiceNow. Microsoft ordnet die Aktivitäten mehreren professionellen Gruppen zu, darunter Storm-3121 (bekannt als ShinyHunters) und Storm-3032.

Die Kampagne richtete sich zwar zunächst vor allem gegen Organisationen in den USA, unter anderem in IT-Dienstleistung, Konsumgüterindustrie, Immobilienwirtschaft und Fertigung. Die Werkzeuge und Vorgehensweisen sind jedoch längst globalisiert: Dieselben Phishing-Kits werden im Untergrund verkauft und tauchen erfahrungsgemäß mit wenigen Wochen Verzögerung auch in deutschsprachigen Postfächern auf. Parallel dokumentierte The Hacker News in seinem Wochenrückblick das Phishing-Kit „Knight Office", das mit gefälschten DocuSign-Aufforderungen gezielt Microsoft-365-Konten übernimmt, neun Kampagnen in nur zwei Wochen (The Hacker News, Weekly Recap).

So läuft die Angriffskette heute ab

Das Gefährliche an der aktuellen Welle ist nicht die einzelne Mail, sondern die Kombination mehrerer Techniken zu einer durchgängigen Kette.

Stufe 1: KI-generierte Ansprache auf allen Kanälen

Die Täter beschränken sich nicht auf E-Mail. Microsoft beschreibt ergänzende Anrufe und SMS, mit denen Opfer unter Druck gesetzt und auf gefälschte Anmeldeportale gelotst werden. KI macht dabei die Massenproduktion persönlich wirkender Nachrichten trivial, inklusive korrekter Namen, Positionen und unternehmensspezifischer Details aus öffentlichen Quellen.

Stufe 2: Adversary-in-the-Middle statt plumper Passwortklau

Die gefälschten Login-Portale arbeiten als Adversary-in-the-Middle (AiTM): Sie schleusen die Anmeldung in Echtzeit an Microsoft durch und fangen dabei das Sitzungs-Token ab. Damit wird auch eine aktivierte Multi-Faktor-Authentifizierung umgangen, denn das Opfer bestätigt den zweiten Faktor ja selbst, nur eben auf der falschen Seite. Microsoft betont ausdrücklich, dass selbst Passkeys allein das Problem nicht lösen, wenn die umgebenden Anmeldeprozesse manipulierbar bleiben.

Stufe 3: Festsetzen und Abfließen

Nach der Kontoübernahme registrieren die Angreifer eigene MFA-Methoden, um den Zugriff dauerhaft zu behalten, und ziehen anschließend Daten aus SharePoint und OneDrive ab. Aus einem einzelnen hereingelegten Mitarbeiter wird so ein vollwertiger Zugang zur Unternehmens-IT, der wahlweise für Zahlungsbetrug, Datendiebstahl oder als Sprungbrett zu Kunden und Geschäftspartnern genutzt wird.

Warum KMU, Kanzleien und Arztpraxen besonders im Visier stehen

Große Konzerne haben Security-Teams, die solche Kampagnen erkennen. Im Mittelstand treffen die Angriffe dagegen auf drei strukturelle Schwächen. Erstens: Zahlungsfreigaben laufen oft informell, eine dringliche Mail „vom Chef" genügt. Zweitens: Microsoft 365 ist die zentrale Arbeitsplattform, wird aber selten aktiv überwacht; eine neu registrierte MFA-Methode oder ein Login aus ungewöhnlicher Region fällt niemandem auf. Drittens: Gerade Kanzleien und Praxen arbeiten täglich mit externen Dokumentenaufforderungen, Mandantenpost und Signaturdiensten. Eine gefälschte DocuSign-Mail wirkt dort nicht verdächtig, sondern nach Alltag. Dazu kommt: Mandanten- und Patientendaten sind besonders sensibel, ein Datenabfluss ist hier fast immer auch ein meldepflichtiger Datenschutzvorfall.

Schutzmaßnahmen, die im Mittelstand wirklich tragen

Gegen KI-Phishing hilft kein einzelnes Produkt, sondern ein Zusammenspiel aus Prozessen, Technik und Erkennung.

Feste Freigabeprozesse für Zahlungen. Kein Mitarbeiter sollte allein auf Basis einer E-Mail Überweisungen auslösen können, egal von wem sie zu kommen scheint. Ein Vier-Augen-Prinzip mit Rückruf über eine bekannte Nummer stoppt CEO-Fraud zuverlässiger als jeder Spamfilter. Solche Regeln zu definieren und im Team zu verankern ist eine klassische Aufgabe der Sicherheitsorganisation. Externer ISB: Richtlinien und Awareness im Unternehmen verankern

Phishing-resistente Anmeldung und harte Mandantenregeln. Wo möglich, sollten phishing-resistente Verfahren (FIDO2-Hardware-Keys) für Administratoren und Finanzrollen Pflicht sein. Ergänzend begrenzen Conditional-Access-Regeln in Microsoft 365, von welchen Geräten und Regionen aus Anmeldungen überhaupt möglich sind, und die Selbstregistrierung neuer MFA-Methoden sollte überwacht werden.

Überwachung der M365-Umgebung. Die Angriffskette hinterlässt Spuren: ungewöhnliche Anmeldeorte, Token-Anomalien, neue MFA-Registrierungen, massenhafte Downloads aus SharePoint und OneDrive. Wer diese Signale rund um die Uhr auswertet, kann eine Kontoübernahme in Minuten statt Wochen stoppen. Genau dafür ist ein Managed-Detection-&-Response-Dienst gebaut, der auch die Cloud-Umgebung einbezieht. MDR mit 24/7-Monitoring für Microsoft 365

Vorbereitet sein, wenn es doch passiert. Wird ein Konto übernommen, zählt jede Stunde: Sitzungen beenden, fremde MFA-Methoden entfernen, Weiterleitungsregeln prüfen, betroffene Daten identifizieren, Meldepflichten klären. Ein eingespielter Reaktionsplan, idealerweise mit externem Partner, verhindert, dass aus einem Vorfall eine Krise wird. Incident Response: Hilfe bei Kontoübernahme und Datenabfluss

Fazit

CEO-Fraud ist mit KI zur Massenware geworden: eine Million Mails in drei Tagen, professionelle Phishing-Kits im Abo, MFA-Umgehung inklusive. Die gute Nachricht: Mit klaren Freigabeprozessen, robuster Anmeldung und wachsamer Überwachung der Microsoft-365-Umgebung lässt sich die Kette an mehreren Stellen durchtrennen. Wenn Sie wissen möchten, wie gut Ihre Organisation gegen diese Angriffskette aufgestellt ist, melden Sie sich gerne für ein unverbindliches Gespräch. Oft zeigen schon 30 Minuten, wo die zwei oder drei wichtigsten Hebel liegen.

Häufige Fragen

Woran erkenne ich KI-generierte Phishing-Mails überhaupt noch?

Sprachliche Fehler taugen als Erkennungsmerkmal nicht mehr. Verlässlicher sind Kontextsignale: ungewöhnliche Dringlichkeit, Abweichung von normalen Prozessen, Zahlungs- oder Datenanfragen per Mail, Druck zur Geheimhaltung. Die wichtigste Regel lautet: Nicht die Mail prüfen, sondern den Vorgang, und zwar über einen zweiten, unabhängigen Kanal wie einen Rückruf.

Schützt uns Multi-Faktor-Authentifizierung nicht ausreichend?

MFA bleibt Pflicht, ist aber gegen Adversary-in-the-Middle-Angriffe nicht immun, weil das Opfer den zweiten Faktor auf der gefälschten Seite selbst bestätigt. Deutlich robuster sind FIDO2-Hardware-Keys, ergänzt um Conditional-Access-Regeln und die Überwachung neu registrierter MFA-Methoden.

Wir sind eine kleine Kanzlei ohne IT-Abteilung. Wo fangen wir an?

Mit drei Maßnahmen, die wenig kosten: ein verbindliches Vier-Augen-Prinzip mit Rückruf für alle Zahlungen und Kontodatenänderungen, MFA für alle Microsoft-365-Konten mit möglichst phishing-resistenten Verfahren und eine kurze Team-Schulung zu den aktuellen Maschen. Die Überwachung der M365-Umgebung lässt sich anschließend als Managed Service zubuchen, ohne eigenes Personal.

Was tun, wenn eine Überweisung schon ausgeführt wurde?

Sofort die eigene Bank kontaktieren und einen Rückruf der Zahlung veranlassen; in den ersten Stunden bestehen die besten Chancen. Parallel Anzeige bei der Polizei erstatten und prüfen, ob zusätzlich ein E-Mail-Konto kompromittiert wurde, denn oft ist die Überweisung nur der sichtbare Teil des Angriffs.

Quellen

• Microsoft warnt: 1 Million Phishing-E-Mails mit KI-CEO-Impersonation (15.09.2026): https://www.boerse-express.com/news/articles/microsoft-warnt-1-million-phishing-e-mails-mit-ki-ceo-impersonation-947215
• The Hacker News: Weekly Recap mit Knight-Office-Phishing-Kit und QR-Text-Phishing: https://thehackernews.com/2026/09/weekly-recap-chrome-0-day-router.html