Das Microsoft-365-Postfach eines Brooklyner Rüstungszulieferers stand offen, nachdem ein Mitarbeiter seine Zugangsdaten auf einer gefälschten Anmeldeseite eingetippt hatte. IEH Corporation meldet der US-Börsenaufsicht keinen Nachweis für abgeflossene Daten. Genau dieser Satz sagt in Microsoft 365 weniger, als er verspricht.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Am 4. August 2026 entdeckte IEH Corporation einen fremden Zugriff auf das Microsoft-365-Postfach eines Mitarbeiters. Zwei Tage später stand der Vorfall in einer Pflichtmitteilung an die US-Börsenaufsicht SEC, samt der Liste dessen, was im Postfach lag: Kundenkorrespondenz, Bestellungen, technische Unterlagen und womöglich exportkontrollierte Angaben.[1]
Das Wichtigste in Kürze
- Ein Mitarbeiter tippte seine Microsoft-365-Zugangsdaten in eine nachgebaute Anmeldemaske, danach legte der Angreifer eigene Postfachregeln an.
- Im Postfach lagen Bestellungen, Kundenkommunikation und technische Unterlagen des Steckverbinder-Herstellers, teils möglicherweise exportkontrolliert.
- IEH sieht keinen Nachweis für einen Datenabfluss, räumt aber ein, dass die Unterlagen zugänglich waren.
- Deutsche Zulieferer melden erhebliche Vorfälle seit Dezember 2025 binnen 24 Stunden an die Meldestelle von BSI und BBK.
Wie kam der Angreifer in das Postfach?
Am Anfang stand eine erfundene Geschäftsanfrage. Ein Angreifer gab sich als möglicher Geschäftspartner aus und verschickte einen Link im Gewand einer Microsoft-Dokumentfreigabe. Der Mitarbeiter öffnete ihn und tippte seine Zugangsdaten in eine nachgebaute Anmeldemaske. Gegen diese Masche hilft eine saubere DMARC-Richtlinie wenig, weil der Angreifer am Ende gültige Zugangsdaten besitzt.
Der nächste Schritt verrät die Absicht: Beim Aufräumen schaltete IEH bösartige Postfachregeln ab. Solche Regeln schieben Antworten in selten geöffnete Ordner oder löschen sie sofort. Ein so umgebauter Posteingang bereitet den Rechnungsbetrug vor, bei dem Kriminelle Zahlungen auf eigene Konten umleiten. Das BSI warnt seit Längerem vor KI-gestütztem Phishing.
Warum belegt kein Protokoll den Datenabfluss?
Exchange Online zeichnet Lesezugriffe über die Aktion MailItemsAccessed auf, doch bei einem Sync-Vorgang entsteht nur ein Eintrag für den ganzen Ordner statt für jede Nachricht. Noch deutlicher wird Microsoft in der eigenen Untersuchungsanleitung: Lädt ein Angreifer das Postfach mit einem Desktop-Client herunter und trennt den Rechner danach vom Netz, protokolliert Exchange Online gar nichts mehr. Die Empfehlung lautet deshalb, den gesamten synchronisierten Ordner als kompromittiert zu behandeln und bei unklarer Lage vom Abfluss auszugehen.[2]
Der Fall reiht sich in eine Serie von Konto-Übernahmen ein. Beim Snowflake-Hack öffneten vier Jahre alte Passwörter 165 Firmenkonten. Das FBI warnte im Mai 2026 vor dem Phishing-Baukasten Kali365, der Microsofts eigene Anmeldedialoge gegen die Kunden wendet.
Kein Nachweis für einen Datenabfluss beschreibt den Stand der Protokolle, nicht den Stand der Daten. Microsoft rät in der eigenen Anleitung, im Zweifel von der Kompromittierung auszugehen; genau danach sollten deutsche Zulieferer ihre Kunden informieren.
— Markus Seyfferth, Chefredakteur Dr. Web
Microsoft rät in der eigenen Untersuchungsanleitung, bei unklarer Beweislage vom kompromittierten Datenbestand auszugehen. Ein Sync-Vorgang erzeugt nur einen Protokolleintrag je Ordner, nicht je Nachricht.
Was gilt für Zulieferer in Deutschland?
IEH meldete den Vorfall unter Item 8.01 und damit als sonstiges Ereignis, nicht unter Item 1.05 für wesentliche Cybervorfälle. Der Zulieferer hält eine wesentliche nachteilige Auswirkung auf den Geschäftsbetrieb derzeit für unwahrscheinlich. Ein deutscher Zulieferer hätte diesen Spielraum nicht, weil die Meldepflicht die Geschäftsführung persönlich in die Pflicht nimmt.
Seit dem 6. Dezember 2025 gilt das NIS2-Umsetzungsgesetz, das die Produktionshalle in die Haftung nimmt. Nach § 32 BSIG geht die frühe Erstmeldung binnen 24 Stunden an die gemeinsame Meldestelle von BSI und BBK, die Folgemeldung mit erster Bewertung binnen 72 Stunden.[3] Dieselbe Frist greift nach Artikel 33 DSGVO, sobald personenbezogene Daten im Postfach lagen.
Vor dem nächsten Quartalsende lohnt der Blick auf zwei Stellschrauben. Ein Passkey lässt sich auf einer nachgebauten Seite nicht abtippen; GMX und Web.de stellen bereits 38 Millionen Konten passwortlos. Die zweite Stellschraube liegt im Betrieb, denn zentral überwachte Postfachregeln zeigen eine frisch angelegte Weiterleitung, bevor die erste Rechnung auf ein fremdes Konto geht.
Quellen
[1] IEH Corporation: „Form 8-K, Item 8.01, eingereicht am 6. August 2026″
[2] Microsoft: „Use MailItemsAccessed to investigate compromised accounts“
[3] Bundesministerium der Justiz: „§ 32 BSIG, Meldepflichten“
Mehr Newshunger?
- Snowflake-Hack: Vier Jahre alte Passwörter öffneten 165 Firmenkonten
- Adform kompromittiert: Ein manipuliertes Tracking-Skript ersetzte Krypto-Adressen
- Atlassian Rovo: Eine versteckte Anweisung genügt für den Datenabfluss aus Jira und Confluence
- Langflow-Lücke: IBMs KI-Baukasten vergibt Superuser-Token an jeden Aufrufer
- Cyberangriffe auf Wasserwerke: 30 Anlagen in Minnesota liefen nur noch von Hand
- Erpresser drohen mit Bosch-Daten: Wie ein Formularfehler bei Synopsys zum Lieferketten-Leck wird
