Fake-IT-Support in Teams: Angreifer nutzen externe Chats für Erstzugriff

Arctic Wolf Labs hat mehr als 400 Vorfälle ausgewertet, in denen Angreifer die externe Chatfunktion von Microsoft Teams für Social Engineering und den Erstzugriff missbraucht haben. Das Muster ist immer ähnlich: Erst flutet eine Mail-Bombe das Postfach mit Hunderten Newsletter-Bestätigungen, Minuten später meldet sich in Teams ein angeblicher „IT Support (Internal)“ aus einem fremden Tenant und bietet Hilfe an. Ziel ist eine Fernwartungssitzung, danach folgen Schadsoftware und in einigen Fällen Ransomware.

Betroffen sind alle Microsoft-365-Organisationen, bei denen der externe Zugriff in Teams offen für beliebige Tenants ist. Das ist die Standardeinstellung. Eine Sicherheitslücke steckt nicht dahinter, missbraucht wird eine legitime Funktion. Wer externen Zugriff bereits auf eine Liste vertrauenswürdiger Domänen beschränkt hat, ist deutlich weniger exponiert. Die Einstellung lässt sich ohne Wartungsfenster prüfen und sollte zeitnah angepasst werden.

Was ist passiert?

Laut dem am 26. Oktober 2026 veröffentlichten Bericht von Arctic Wolf nutzen die Angreifer neu angelegte oder gekaufte Microsoft-365-Tenants. In 30 bis 40 Prozent der untersuchten Fälle kam die automatisch vergebene Standarddomäne *.onmicrosoft.com zum Einsatz, etwa helpdeskteam365.onmicrosoft.com oder itcoreportal.onmicrosoft.com. Solche Tenants sind ohne Domänenprüfung in Minuten eingerichtet. Zuletzt beobachtete Arctic Wolf eine Verschiebung zu gekauften Domänen, rund die Hälfte davon unter der Endung .top.

Die Anzeigenamen lauten etwa „Help Desk“, „IT Service Desk (Liam)“ oder „Enterprise IT & Security (Internal)“. Der Zusatz „(Internal)“ soll den Hinweis „Extern“ in Teams entwerten, neuere Varianten enthalten sogar den Firmennamen des Opfers. Nach dem Chat oder einem Anruf in Teams lassen sich die Täter meist Zugriff über Quick Assist geben, alternativ über AnyDesk, ScreenConnect, TeamViewer, Atera oder andere Fernwartungswerkzeuge. Links schicken sie selten in den Chat, um Safe Links zu umgehen. Stattdessen laden sie die Nutzlast während der Fernsitzung selbst herunter. Laut den Fällen vergehen vom ersten Kontakt bis zur Ausführung oft weniger als 15 Minuten. The Hacker News verweist zudem auf Sophos, das ähnliche Angriffe mit Chaos-Ransomware in Verbindung bringt.

Wer ist betroffen?

Gefährdet sind Organisationen mit Microsoft Teams, deren externer Zugriff für alle Domänen freigegeben ist, sowie Umgebungen, in denen Quick Assist oder nicht freigegebene Fernwartungssoftware für normale Benutzer verfügbar sind. Nicht direkt betroffen sind Tenants, die externen Zugriff auf eine Positivliste begrenzen oder ganz abgeschaltet haben. Gastzugriff auf Teams und Kanäle ist eine eigene Einstellung und nicht der hier missbrauchte Weg.

Wie kritisch ist das?

Hoch, weil die Masche gezielt das Vertrauen in interne Kommunikation ausnutzt und schnell zu Hands-on-Keyboard-Zugriff führt. Arctic Wolf sah in mehreren Fällen bereits Kerberoasting-Erkennungen zeitgleich mit dem ersten Teams-Alarm. Die Technik ist nicht neu, Microsoft beschrieb sie schon 2024 bei Black Basta. Neu ist das Ausmaß und die Professionalisierung. Handlungsbedarf besteht heute, nicht erst im nächsten Wartungsfenster.

Was sollten Admins jetzt tun?

• Im Teams Admin Center unter Benutzer, Externer Zugriff prüfen, ob alle externen Domänen erlaubt sind, und auf „Nur bestimmte externe Domänen zulassen“ mit den tatsächlichen Partnerdomänen umstellen.
• Chats mit nicht verwalteten Teams-Konten blockieren und die Option deaktivieren, mit der solche Konten Unterhaltungen beginnen dürfen.
• Föderation mit reinen Test-Tenants sperren: Set-CsTenantFederationConfiguration -ExternalAccessWithTrialTenants "Blocked". Laut Microsoft ist „Blocked“ der Standard, der aktuelle Wert sollte trotzdem kontrolliert werden.
• Quick Assist auf berechtigte IT-Rollen beschränken oder entfernen und nicht freigegebene Fernwartungstools per Anwendungssteuerung blockieren.
• Im Audit-Log auf ChatCreated-Ereignisse mit externen Tenants achten, besonders nach einer Mail-Flut, und die Indikatoren aus dem Anhang des Arctic-Wolf-Berichts in Sperrlisten übernehmen.
• Mitarbeitende informieren, über welche Kanäle die echte IT Kontakt aufnimmt, und Fernzugriff nur nach Rückruf über eine bekannte Nummer erlauben.

Einordnung für Unternehmen

Für kleine und mittlere Unternehmen ist die Lage unangenehm, weil Teams dort oft mit Standardwerten läuft und eine Positivliste selten gepflegt wird. Die meisten Firmen arbeiten nur mit einer überschaubaren Zahl externer Partner per Teams-Chat. Eine Allowlist kostet daher wenig Aufwand und schließt den Hauptweg dieser Kampagne. Ergänzend hilft die Meldefunktion für verdächtige Nachrichten direkt in Teams. Schulungen allein reichen nicht, wenn eine perfekte Täuschung aus dem eigenen Chatprogramm kommt.

Passende Anleitungen auf S-EDV

• Microsoft Teams im KMU einrichten und absichern
• DragonForce missbraucht Teams-Relays für Backdoor-Kommunikation

Quellen

• Arctic Wolf Labs: Beyond the Inbox: How Threat Actors Abuse Microsoft Teams External Chat for Initial Access (26.10.2026)
• The Hacker News: Attackers Use Microsoft Teams IT Support Scams to Deploy Malware and Ransomware
• Microsoft Learn: Externe Besprechungen und Chats mit Personen und Organisationen verwalten
• Microsoft Learn: Set-CsTenantFederationConfiguration