Die meisten Kontoübernahmen fallen nicht im Defender-Portal auf, sondern am Telefon. Ein Kunde ruft an und fragt, warum ihr die Bankverbindung geändert habt. Erst dann zeigt sich, dass jemand seit Tagen im Postfach sitzt. Wenn du nach «kompromittiertes Konto Microsoft 365 was tun» suchst, stehst du vermutlich genau dort: Etwas ist passiert, und die Frage ist, was zuerst kommt.
Die kurze Antwort: Zugang kappen, aktive Sitzungen beenden, Hintertüren suchen, erst dann aufräumen. Die längere Antwort handelt davon, warum viele Aufräumaktionen nach dem Passwort-Reset aufhören und der Angreifer zwei Wochen später wieder drin ist.
Bei einem kompromittierten Microsoft-365-Konto zählt die Reihenfolge: Konto deaktivieren, Sitzungen widerrufen, dann Posteingangsregeln, Weiterleitungen, MFA-Methoden und App-Freigaben prüfen. Ein Passwort-Reset allein reicht nicht, weil gestohlene Sitzungen gültig bleiben. Die vollständige Anleitung ist bei Microsoft öffentlich dokumentiert. Der Engpass ist selten das Wissen, sondern die Frage, wer den Vorfall bemerkt und die Reaktion zu Ende führt.
Was in der ersten Stunde zählt
Drei Dinge, in dieser Reihenfolge: den Zugang des Angreifers kappen, seine laufenden Sitzungen beenden, und herausfinden, seit wann er drin ist.
Kappen heisst zuerst: das betroffene Konto deaktivieren, nicht nur das Passwort ändern. Microsoft empfiehlt das Deaktivieren ausdrücklich als ersten Schritt und beschreibt die komplette Reaktion in einer öffentlichen Anleitung für kompromittierte E-Mail-Konten auf Microsoft Learn. Der Grund ist unangenehm praktisch: Solange nur das Passwort neu ist, laufen bestehende Sitzungen weiter. Der Angreifer arbeitet mit gültigen Anmeldetoken, nicht mit deinem Passwort. Vom Reset merkt er unter Umständen gar nichts.
Ein Detail aus derselben Anleitung sagt viel über die Lage aus: Das neue Passwort soll nicht per E-Mail an den Benutzer geschickt werden. Der Angreifer liest ja mit.
Nach dem Kappen kommt die Frage nach dem Zeitraum. Die Anmeldeprotokolle in Microsoft Entra ID zeigen, von wo, wann und womit sich das Konto angemeldet hat. Der Zeitraum bestimmt den Umfang von allem, was danach kommt: Welche Mails wurden gelesen oder verschickt, welche Dateien angefasst, welche Zahlungen im betroffenen Zeitraum ausgelöst. Wer den Zeitraum nicht kennt, prüft entweder zu wenig oder alles.
Und ein Punkt, der in der Hektik gerne untergeht: nichts wegputzen. Die verdächtigen Mails, die Regeln, die Protokolle sind Beweismaterial, für die Untersuchung, für die Versicherung, allenfalls für eine Strafanzeige. Der Reflex, das Postfach «sauber» zu machen, ist verständlich und macht die Aufarbeitung schwerer.
Reicht es nicht, das Passwort zurückzusetzen?
Nein. Ein Passwort-Reset beendet weder aktive Sitzungen, noch entfernt er, was der Angreifer im Konto eingerichtet hat. Genau das ist der häufigste Fehler, den wir nach Übernahmen sehen: Das Konto gilt als gerettet, die Hintertüren bleiben drin.
Typische Hintertüren, alle in der Microsoft-Anleitung beschrieben:
- Posteingangsregeln, die Antworten automatisch in Ordner wie «RSS-Abonnemente» oder «Junk-E-Mail» verschieben, damit die Besitzerin des Postfachs sie nie zu Gesicht bekommt
- Externe Weiterleitungen, die eine Kopie jeder eingehenden Mail an eine fremde Adresse schicken
- Zusätzlich registrierte MFA-Geräte oder Telefonnummern, mit denen sich der Angreifer später wieder anmelden kann
- App-Freigaben, also Anwendungen mit dauerhaftem Zugriff auf das Postfach, die auch ein neues Passwort überleben
Das ist keine besondere Raffinesse, das ist Handwerk. Wer ein Konto übernimmt, plant den zweiten Besuch mit ein. Für den Angreifer ist das Konto ein Betriebsmittel, und er will es behalten.
Woran merkst du überhaupt, dass ein Konto übernommen wurde?
Meistens an den Nebenwirkungen, selten am Angreifer selbst. Typische Zeichen: Das Postfach darf plötzlich keine Mails mehr senden, weil Microsoft es wegen Spam-Versands eingeschränkt hat. Mails fehlen oder liegen gelöscht im Papierkorb, obwohl sie niemand gelöscht hat. Im Ordner «Gesendete Elemente» stehen Nachrichten, die niemand geschrieben hat. Empfänger melden sich wegen seltsamer Mails.
Das Bundesamt für Cybersicherheit verzeichnet in seinem Halbjahresbericht 2026/1 mehr Meldungen zu Microsoft-365-Phishing, bei dem Angreifer Geschäftskonten übernehmen und für weiteres Phishing oder Betrug einsetzen. Das Muster dahinter ist simpel: Ein echtes Konto einer echten Firma ist glaubwürdiger als jede gefälschte Absenderadresse. Nach der Übernahme sind deine Kontakte die nächsten Ziele.
Der unbequeme Teil: In unserer Erfahrung kommt die Entdeckung in KMU oft von aussen. Ein Kunde, eine Bank, ein Lieferant. Die Signale wären vorher da gewesen, als riskante Anmeldung im Defender-Portal, als neue Posteingangsregel im Protokoll. Es hat nur niemand hingeschaut. Warum das in vielen Firmen der Normalzustand ist, haben wir im Artikel über Defender-Warnungen, die niemand liest beschrieben.
Ein Beispiel, wie das in der Praxis aussieht
Ein Handelsunternehmen mit rund 40 Mitarbeitenden, vollständig auf Microsoft 365. Nach einem Phishing-Mail war das Konto einer Person aus der Buchhaltung übernommen. Der Angreifer legte eine Posteingangsregel an, beantwortete laufende Rechnungs-Threads mit einer geänderten IBAN und verhielt sich sonst still. Aufgefallen ist der Vorfall, als ein Kunde anrief, um die neue Bankverbindung zu bestätigen.
Der IT-Partner setzte noch am selben Tag das Passwort zurück. Die Posteingangsregel und eine externe Weiterleitung blieben unentdeckt. Zwei Wochen später gingen aus demselben Konto Phishing-Mails an Lieferanten raus. Erst die zweite Aufräumrunde, diesmal der Microsoft-Anleitung entlang, mit Widerruf der Sitzungen und Prüfung der App-Freigaben, beendete den Vorfall.
Die Details sind verfremdet, das Muster ist es nicht. Am teuersten waren die zwei Wochen zwischen halber und ganzer Reaktion, dazu das Erklären gegenüber Kunden und Lieferanten, die inzwischen Post von diesem Konto bekommen hatten.
Was die Microsoft-Anleitung nicht abdeckt
Die technische Reaktion ist die halbe Arbeit. Die andere Hälfte findet ausserhalb des Tenants statt, und sie steht in keiner Anleitung. Sie gehört auch nicht der IT allein: Ob Zahlungen gestoppt, Kunden informiert oder die Versicherung beigezogen wird, sind Geschäftsentscheide. Eine IT-Fachperson kann sie vorbereiten. Treffen sollte sie jemand, der die Verantwortung fürs Ganze trägt.
Zuerst das Geld: Wenn das übernommene Konto mit Rechnungen zu tun hatte, gehören alle Zahlungen aus dem betroffenen Zeitraum auf den Tisch. Geänderte Bankverbindungen, neue Zahlungsempfänger, umgeleitete Rechnungen. Das ist Arbeit für die Buchhaltung und die Geschäftsleitung, nicht für die IT, und sie duldet keinen Aufschub: Eine Zahlung auf ein falsches Konto lässt sich in den ersten Stunden manchmal noch stoppen, nach Tagen kaum mehr.
Dann die Empfänger: Wer in der Zwischenzeit Post aus dem übernommenen Konto bekommen hat, verdient eine ehrliche Information. Das Gespräch ist unangenehm, aber deutlich weniger unangenehm als die Variante, in der ein Lieferant auf eine gefälschte Rechnung hereinfällt und erst dann erfährt, dass die Mail aus deinem Haus kam. In unserer Erfahrung wird Offenheit an dieser Stelle fast immer honoriert. Die Firmen im Umfeld wissen, dass es jeden treffen kann.
Und schliesslich der Einstiegsweg: Irgendwo hat das Phishing-Mail funktioniert. Das aufzuarbeiten ist keine Schuldfrage. Die gleiche Masche greift sonst beim nächsten Konto wieder. Wenn eine Anmeldeseite täuschend echt aussieht und die Abfrage zur gewohnten Arbeitszeit kommt, klickt irgendwann jemand. Mit diesem Normalfall planst du besser, als auf den Ausrutscher zu zeigen.
Die Anleitung war nie der Engpass. Microsoft dokumentiert jeden Schritt öffentlich und ausführlich. Was am Dienstagmorgen fehlt, ist jemand, der den Vorfall früh bemerkt, die Berechtigungen im Tenant hat und das nicht zum ersten Mal macht. Kontoübernahmen sind ein Betriebsproblem, kein Wissensproblem.
Wer sollte sich darum kümmern?
Für den akuten Vorfall: wer immer die Administratorrechte im Tenant hat und die Anleitung sauber durcharbeiten kann. Das kann dein IT-Partner sein, ein beigezogener Spezialist oder eine interne Person mit genug Tiefe. Dafür brauchst du kein SOC, und wer dir mitten im Vorfall ein Abo verkaufen will, hat seltsame Prioritäten.
Die Frage, die nach dem Aufräumen übrig bleibt: Wer merkt es beim nächsten Mal, bevor ein Kunde anruft? Support und Security-Monitoring sind zwei verschiedene Berufe, und die meisten IT-Partner machen aus gutem Grund den ersten. Warum das normal ist und woran du die Lücke erkennst, steht im Artikel über IT-Partner ohne Security-Monitoring. Die Signale einer Übernahme stehen im Defender-Portal: riskante Anmeldungen, neue Posteingangsregeln, ungewöhnliche Weiterleitungen. Jemand muss sie lesen, bewerten und handeln, bevor aus einer Anmeldung aus dem falschen Land ein Rechnungsbetrug wird.
Ob das eine interne Person, dein IT-Partner mit erweitertem Auftrag oder ein extern betriebenes SOC ist, hängt von deiner Grösse und deinem Risiko ab, nicht von der Angst in der Woche nach dem Vorfall. Eine nüchterne Einordnung, für wen sich welche SOC-Dimension lohnt, findest du auf unserer Startseite. Wichtig ist am Ende nur, dass die Antwort auf die Frage «Wer schaut hin?» nicht mehr «niemand» lautet.
Häufige Fragen
Hilft MFA nicht gegen Kontoübernahmen?
Gegen viele, ja, und sie gehört auf jedes Konto. Eine Garantie ist sie nicht: Es gibt Phishing-Seiten, die nicht das Passwort stehlen, sondern die bereits bestätigte Sitzung. Die Benutzerin meldet sich an, bestätigt die MFA-Abfrage, und der Angreifer übernimmt das gültige Anmeldetoken. Deshalb gehören nach einem Vorfall auch die registrierten MFA-Methoden geprüft: Angreifer fügen gerne eigene hinzu.
Muss der Vorfall gemeldet werden?
Das hängt davon ab, was betroffen ist. Wenn Personendaten in falsche Hände geraten sind, kann nach Datenschutzgesetz eine Meldung an den EDÖB nötig sein; das klärst du am besten mit deiner Rechtsberatung. Deine Cyberversicherung verlangt in der Regel eine rasche Meldung, sonst riskierst du die Deckung. Beim BACS kannst du den Vorfall freiwillig melden. Das hilft dem Schweizer Lagebild und kostet dich nichts.
Wann ist der Vorfall vorbei?
Nicht, wenn das Passwort neu ist. Vorbei ist er, wenn du weisst, wie der Angreifer hereingekommen ist, was er im betroffenen Zeitraum gesehen und verschickt hat, und wenn Regeln, Weiterleitungen, MFA-Methoden und App-Freigaben geprüft sind. Wer den Einstiegsweg nicht kennt, hat gute Chancen, denselben Vorfall ein zweites Mal zu erleben.