Microsoft setzt auf DMARC als Schutz gegen die Tycoon-2FA-Phishing-Welle

Cyberkriminelle nutzen falsch konfigurierte E-Mail-Server aus, um äußerst überzeugende Phishing-E-Mails zu versenden, die scheinbar aus dem Inneren von Organisationen stammen. Diese Angriffe verwenden ausgefeilte Kits wie Tycoon 2FA, um schwache SPF-, DKIM- und DMARC-Implementierungen zu umgehen, wobei insbesondere Office-365-Kunden mit komplexen Routing-Konfigurationen im Visier stehen. Microsoft warnt, dass Kunden mit nicht standardmäßigem Routing – insbesondere solche, deren MX-Einträge nicht direkt auf Microsoft verweisen – dem höchsten Risiko ausgesetzt sind. Red Sift OnDMARC bietet die umfassende E-Mail-Authentifizierung und Überwachung, die zum Schließen dieser Lücken benötigt wird, und stellt sicher, dass Ihre Organisation die DMARC-Reject-Richtlinie erreicht – so wird verhindert, dass Angreifer Ihre Domains fälschen, um Mitarbeiter, Kunden und Lieferanten anzugreifen.

Microsoft hat vor einer Zunahme ausgefeilter Phishing-Kampagnen gewarnt, die schwache E-Mail-Authentifizierungskonfigurationen ausnutzen. Angreifer machen sich falsch konfigurierte Server zunutze, um E-Mails zu versenden, die scheinbar aus dem Inneren der Zielorganisation stammen, wodurch standardmäßige Sicherheitsprüfungen umgangen und Mitarbeiter dazu verleitet werden, Zugangsdaten offenzulegen.

Die Angriffe sind nicht neu, haben aber in der zweiten Hälfte des Jahres 2025 deutlich zugenommen. Laut Microsoft nutzen Kriminelle aus, wie manche Organisationen E-Mails routen und wie sie Authentifizierungsprotokolle implementieren. Wenn E-Mails über Drittanbieterdienste oder On-Premises-Server geleitet werden, sind SPF-, DKIM- und DMARC-Prüfungen manchmal schwach oder werden nicht strikt durchgesetzt.

Angreifer nutzen diese Lücken aus, indem sie E-Mails von außerhalb des Unternehmens versenden, dabei aber die eigene Domain des Unternehmens als Absenderadresse verwenden. Da das System fehlgeschlagene Prüfungen nicht vollständig zurückweist, wird die E-Mail akzeptiert und als intern markiert. Die daraus resultierende Nachricht wirkt legitim und macht es für Mitarbeiter wahrscheinlicher, ihr zu vertrauen und Zugangsdaten preiszugeben.

Microsoft betont, dass Office-365-Kunden mit nicht standardmäßigen und komplexen Routing-Konfigurationen dem höchsten Risiko ausgesetzt sind. Organisationen, deren MX-Einträge nicht direkt auf Microsoft verweisen, werden dringend gebeten, ihre E-Mail-Authentifizierungskonfiguration umgehend zu überprüfen und zu beheben.

Das Problem betrifft Authentifizierungsprotokolle, die E-Mail-Absender verifizieren. SPF prüft, welche Server E-Mails für eine Domain senden dürfen, DKIM fügt Nachrichten eine digitale Signatur hinzu, und DMARC teilt empfangenden Servern mit, was bei fehlgeschlagenen Prüfungen zu tun ist.

Diese Protokolle funktionieren gut, wenn E-Mails direkt zwischen Anbietern fließen. In komplexen Konfigurationen mit Drittanbieter-Filterdiensten, On-Premises-Infrastruktur oder ungewöhnlichem Routing kann die Authentifizierung jedoch versagen. E-Mails können manche Prüfungen bestehen, andere jedoch nicht, und wenn Richtlinien nicht auf Zurückweisung eingestellt sind, schlüpfen Nachrichten durch.

Angreifer haben gelernt, Organisationen mit schwachen Konfigurationen zu identifizieren. Sie erstellen Phishing-Kampagnen mit bekannten Toolkits wie Tycoon 2FA und entwickeln überzeugende Ködermeldungen zu Themen wie Voicemails, geteilten Dokumenten, HR-Kommunikation oder Passwort-Zurücksetzungen. Die E-Mails sehen legitimen internen Nachrichten täuschend ähnlich, komplett mit vertrauten Absenderadressen und Anzeigenamen.

Dies ist kein gezieltes Spear-Phishing. Es handelt sich um breit angelegte, opportunistische Angriffe, die darauf ausgerichtet sind, so viele Zugangsdaten wie möglich abzugreifen. In manchen Fällen ermöglichen gestohlene Passwörter sekundäre Business-Email-Compromise-Angriffe, bei denen Kriminelle legitime Konten nutzen, um Überweisungen oder sensible Daten anzufordern.

Ihre Domain ist ein Vertrauenssignal. Wenn Mitarbeiter eine E-Mail von einem Kollegen erhalten, erwarten sie, dass diese echt ist. Wenn Kunden eine E-Mail von Ihrem Unternehmen erhalten, vertrauen sie darauf, dass sie Ihre Organisation repräsentiert.

Angreifer verstehen diese Psychologie. Indem sie Ihre Domain fälschen und E-Mails intern erscheinen lassen, nutzen sie das Vertrauen aus, das Ihre Marke bei Mitarbeitern und externen Partnern aufgebaut hat. Die Angriffe sind erfolgreich, weil Authentifizierungsfehler nicht konsequent blockiert werden.

Organisationen mit komplexem Routing implementieren Authentifizierung oft als sekundäre Ebene und nicht als grundlegende Sicherheitskontrolle. E-Mails werden möglicherweise auf Malware gescannt und auf Spam gefiltert, aber wenn Authentifizierungsprüfungen fehlschlagen, ohne eine Zurückweisung auszulösen, bleibt die Tür für Spoofing offen.

Red Sift OnDMARC begegnet diesem Problem, indem es vollständige Transparenz über Ihre E-Mail-Authentifizierungslage bietet. Die Plattform überwacht alle E-Mail-Quellen, die vorgeben, im Namen Ihres Unternehmens zu senden, identifiziert Fehlkonfigurationen in Echtzeit und führt Sie durch die Implementierung der korrekten Richtlinien in Ihrer gesamten E-Mail-Infrastruktur.

Das Erreichen der DMARC-Reject-Richtlinie ist die wirksamste einzelne Maßnahme zur Verhinderung von Domain-Spoofing. Eine Reject-Richtlinie weist empfangende Server an, E-Mails, die die Authentifizierungsprüfungen nicht bestehen, vollständig zu blockieren. Keine Grauzone, kein Vielleicht, kein Durchschlüpfen.

Um sicher zur Zurückweisung zu gelangen, sind jedoch Transparenz und Tests erforderlich. Sie müssen jede legitime Quelle kennen, die E-Mails für Ihre Domain sendet. Sie müssen validieren, dass Ihre SPF-, DKIM- und DMARC-Einträge über alle Dienste hinweg korrekt konfiguriert sind. Sie müssen auf Fehler achten, die auf Probleme mit legitimem E-Mail-Verkehr oder Anzeichen von Spoofing-Versuchen hinweisen.

Red Sift OnDMARC bietet diese Transparenz durch umfassende DMARC-Berichterstattung und -Analyse. Die Plattform aggregiert Berichte von empfangenden Servern weltweit und zeigt genau, welche Quellen E-Mails unter Verwendung Ihrer Domain versenden und ob diese die Authentifizierungsprüfungen bestehen oder nicht.

Diese Informationen ermöglichen es Ihnen, falsch konfigurierte Dienste zu identifizieren, bevor sie E-Mail-Zustellprobleme verursachen. Sie zeigen nicht autorisierte Quellen auf, die versuchen, Ihre Domain zu fälschen. Sie führen Sie durch den Prozess vom Monitoring über Quarantäne bis hin zur Reject-Richtlinie, ohne legitime Geschäftskommunikation zu beeinträchtigen.

Für Office-365-Kunden mit komplexem Routing integriert sich OnDMARC direkt in Ihre Infrastruktur, um sicherzustellen, dass die Authentifizierung in hybriden Umgebungen korrekt funktioniert. Die Plattform identifiziert Lücken in Ihrer Konfiguration und liefert konkrete Schritte zur Behebung, die auf Ihre Konfiguration zugeschnitten sind.

Das Verständnis Ihres aktuellen Authentifizierungsstatus ist der erste Schritt zum Schutz. Red Sift bietet kostenlose Tools an, um Organisationen bei der Bewertung ihres Risikos zu unterstützen:

Red Sift Investigate ermöglicht es Ihnen zu testen, ob Ihr E-Mail-Verkehr den Authentifizierungsstandards entspricht. Senden Sie eine Test-E-Mail und erhalten Sie eine detaillierte Analyse, wie Ihre Nachrichten authentifiziert werden und was empfangende Server sehen, wenn sie Ihre Domain bewerten.

Radar Lite überprüft die allgemeine Sicherheitslage Ihrer Domain und identifiziert Schwachstellen in der DNS-Konfiguration, im Zertifikatsmanagement und in der E-Mail-Authentifizierung, die Angreifer ausnutzen könnten.

Diese Tools bieten sofortige Einblicke in Schwachstellen, die ausgefeilte Kampagnen wie Tycoon 2FA ins Visier nehmen. Wenn Ihre Organisation die DMARC-Reject-Richtlinie noch nicht erreicht hat oder Sie sich nicht sicher sind, ob Ihre Authentifizierung korrekt konfiguriert ist, ist jetzt der richtige Zeitpunkt für eine Überprüfung.

Microsofts Warnung vor Tycoon 2FA und ähnlichen Kampagnen zeigt, wie schnell sich Angreifer anpassen, um schwache Authentifizierung auszunutzen. Office-365-Kunden mit komplexen Routing-Konfigurationen sind besonders gefährdet, aber jede Organisation ohne ordnungsgemäße DMARC-Implementierung bleibt angreifbar.

Das Erreichen der Reject-Richtlinie schützt Ihre Organisation vor Phishing-Angriffen, die Ihre Domains imitieren. Es schützt Ihre Kunden und Lieferanten davor, betrügerische E-Mails zu erhalten, die scheinbar von Ihnen stammen. Es verhindert den Diebstahl von Zugangsdaten, der sekundäre Angriffe wie Business Email Compromise ermöglicht.

Red Sift OnDMARC bietet die Transparenz, Anleitung und Überwachung, die für die korrekte Implementierung der Authentifizierung in Ihrer gesamten E-Mail-Infrastruktur benötigt werden, und hält den Schutz aufrecht, während sich Ihre Umgebung weiterentwickelt.

Wenn Ihre Organisation die DMARC-Reject-Richtlinie noch nicht erreicht hat oder Sie ein komplexes E-Mail-Routing betreiben, das Authentifizierungslücken aufweisen könnte, ist jetzt der Zeitpunkt, dies anzugehen.