- Home
- Lösungen
Alles OKBDT – Sicher zum Wachstum.Ihr Managed Service Provider aus Düsseldorf: Wir betreuen IT, Cloud, Microsoft 365 und Cyber Security – verständlich, verlässlich und rund um die Uhr.
Managed ServicesCloud & M365NIS2-readyMehr erfahren - Branchen
Alles OKBDT – Sicher zum Wachstum.Ihr Managed Service Provider aus Düsseldorf: Wir betreuen IT, Cloud, Microsoft 365 und Cyber Security – verständlich, verlässlich und rund um die Uhr.
Managed ServicesCloud & M365NIS2-readyMehr erfahren - Unternehmen
Alles OKBDT – Sicher zum Wachstum.Ihr Managed Service Provider aus Düsseldorf: Wir betreuen IT, Cloud, Microsoft 365 und Cyber Security – verständlich, verlässlich und rund um die Uhr.
Managed ServicesCloud & M365NIS2-readyMehr erfahren - Wissen
Alles OKBDT – Sicher zum Wachstum.
Ihr Managed Service Provider aus Düsseldorf: Wir betreuen IT, Cloud, Microsoft 365 und Cyber Security – verständlich, verlässlich und rund um die Uhr.
Managed ServicesCloud & M365NIS2-readyMehr erfahren
Security Alert · Social Engineering
Microsoft Teams: Angreifer geben sich als IT-Support aus und missbrauchen Zertifikatsdienste (AD CS)
- Risikostufe
- Hoch
- Kategorie
- Social Engineering
- Betroffene Systeme
- Unternehmen mit Microsoft Teams, die Chats und Anrufe externer Organisationen zulassen
besonders Umgebungen mit eigener Zertifizierungsstelle (AD CS) - Abhilfe verfügbar
- Externe Teams-Kommunikation einschränken, Quick Assist sperren, AD-CS-Vorlagen (ESC1, ESC8) prüfen und absichern
- Quelle
- Microsoft Security Blog
Was ist passiert?
Microsoft hat zwei Einbrüche untersucht, bei denen Angreifer Mitarbeitende über Microsoft Teams anschrieben und anriefen und sich dabei als firmeneigener IT-Support ausgaben. Sie überredeten die Nutzer, das Windows-Fernwartungstool Quick Assist zu öffnen und den Verbindungscode durchzugeben. Danach hatten sie direkte Kontrolle über den PC. Über unsicher eingerichtete Zertifikatsvorlagen in den Active Directory Certificate Services (AD CS) besorgten sie sich Anmeldezertifikate für hochprivilegierte Konten, in einem Fall sogar für einen Domain Controller. In einem der Fälle wurden Firmendaten auf einen externen Server kopiert.
Teams selbst hatte keine Sicherheitslücke. Die Angreifer schrieben aus fremden Microsoft-365-Mandanten mit Support-ähnlichen Namen, sodass der Kontakt vertraut wirkte. Entscheidend waren dann falsch konfigurierte AD-CS-Vorlagen (bekannt als ESC1 und ESC8): Damit kann ein normaler Nutzer ein Zertifikat für ein Admin-Konto anfordern. Ein solches Zertifikat funktioniert auch nach einem Passwort-Reset oder dem Neuaufsetzen des ersten PCs weiter.
Wer ist betroffen?
Alle Unternehmen mit Microsoft Teams, die Chats und Anrufe von externen Organisationen zulassen, besonders wenn im eigenen Active Directory eine Zertifizierungsstelle (AD CS) betrieben wird.
Wie hoch ist das Risiko?
Hoch. Die Angriffe laufen, in einem Fall ist ein Datenabfluss bestätigt. Ein einziger überredeter Mitarbeitender kann reichen, damit Angreifer dauerhaften Zugriff auf Admin-Konten erhalten.
So schützen Sie sich
- Externe Teams-Kommunikation einschränken: nur freigegebene Partner-Domains zulassen statt allen externen Mandanten.
- Klare Regel an alle Mitarbeitenden: Der echte IT-Support fragt nie spontan per Teams nach einem Quick-Assist-Code. Im Zweifel über eine bekannte Nummer zurückrufen.
- Quick Assist sperren oder deinstallieren, wenn er nicht gebraucht wird, und nur ein zentral verwaltetes Fernwartungstool nutzen.
- AD-CS-Zertifikatsvorlagen prüfen und unsichere Einstellungen (ESC1, ESC8) beheben; Web-Enrollment absichern.
- Bei einem Vorfall nicht nur Passwörter zurücksetzen, sondern ausgestellte Zertifikate widerrufen.
- Admin-Konten getrennt halten, mit MFA und Conditional Access absichern und Anmeldungen per SOC/MDR überwachen.
Quellen
Akuter Verdacht oder Fragen zu Ihren Systemen?
Bestandskunden und technische Fälle: Unser Support prüft mit Ihnen.
Absicherung neu planen? beratung@blured.de
Stand: 03.11.2026
© 2026 BDT Group GmbH · blured.de
Cookie-Einstellungen
Wählen Sie, welchen Kategorien Sie zustimmen. Ihre Auswahl gilt 12 Monate und lässt sich jederzeit ändern.
Für den Betrieb der Website erforderlich, z. B. das Speichern dieser Auswahl. Immer aktiv.
Google Analytics 4 (Google Ireland Limited, Irland): Reichweitenmessung, z. B. aufgerufene Seiten, Interaktionen (Scrollen, Klicks, Downloads, Suche, Videos, Formularinteraktionen ohne Inhalte), Herkunft, Gerät, Browser und ungefährer Standort. Cookies: _ga und _ga_5ZQM1G1ZGX (je 2 Jahre). Google-Signale deaktiviert, Werbesignale nur mit Einwilligung „Marketing“. Übermittlung in die USA möglich (EU-U.S. Data Privacy Framework). Wir haben die Datenfreigabe an Google aktiviert (u. a. „Google-Produkte und -Dienste“); insoweit ist Google eigener Verantwortlicher. Metricool (Metricool Software S.L., Spanien): Reichweitenmessung über einen Zählpixel von tracker.metricool.com, z. B. aufgerufene Seiten, Herkunft (Referrer), Fenstergröße und Ihre IP-Adresse; keine Cookies (Metricool). Außerdem speichern wir für die Dauer der Browsersitzung, über welche Seite und welchen Link (Kampagnenparameter) Sie zu uns gekommen sind, und übermitteln dies mit einer Anfrage an HubSpot (unser CRM).
Google Ads (Google Ireland Limited): Conversion-Messung und Remarketing (personalisierte Werbung); Werbesignale ad_storage, ad_user_data und ad_personalization werden nur hier erteilt. Unser Analytics-Konto ist mit Google Ads verknüpft; Google ist insoweit eigener Verantwortlicher (Datenschutzerklärung, Abschnitt 6.3). Cookies: _gcl_au, _gcl_aw (je 90 Tage). Meta Pixel (Meta Platforms Ireland Ltd.) und LinkedIn Insight Tag (LinkedIn Ireland Unlimited Company): Messung des Anzeigenerfolgs und Zielgruppen für Werbung auf Facebook, Instagram und LinkedIn; Cookies z. B. _fbp, _fbc (90 Tage), li_fat_id (1 Monat). HubSpot-Tracking (HubSpot Ireland Ltd., Region EU): Wir ordnen Ihre Besuche auf unserer Website (aufgerufene Seiten, Herkunft) Ihrem Kontakt in unserem CRM zu, wenn Sie eine Anfrage senden, und bewerten Anfragen (Lead-Bewertung). HubSpot nutzt die Besuchsdaten außerdem als eigener Verantwortlicher für eine eigene Unternehmensdatenbank, aus der HubSpot auch anderen Unternehmen Informationen bereitstellt (Breeze Intelligence). Cookies: hubspotutk und __hstc (je 6 Monate), __hssc (30 Minuten), __hssrc (Sitzung). Apollo.io Website-Tracker (Apollo.io Inc., USA): Erkennung, aus welchem Unternehmen ein Besuch kommt (Firmenerkennung anhand der IP-Adresse), mit aufgerufenen Seiten und Herkunft; Speichereinträge apolloAnonId und Ereignis-Zwischenspeicher im Local Storage. Kommen Sie über eine Google-Anzeige, speichern wir die Google-Klick-ID (gclid) für die Sitzung und übermitteln sie mit einer Anfrage an HubSpot, um die Anfrage der Anzeige zuzuordnen. Übermittlung in die USA möglich (EU-U.S. Data Privacy Framework).
Online-Terminbuchung mit HubSpot Meetings auf der Seite „Termin“ (HubSpot Ireland Ltd., Region EU). Beim Laden können Cookies von HubSpot gesetzt und Ihre IP-Adresse übermittelt werden; Übermittlung in die USA möglich (EU-U.S. Data Privacy Framework).