Neue Erkenntnisse von Barracuda Research zeigen, wie schnell moderne E-Mail-Angriffe zu vollständigen Sicherheitsvorfällen eskalieren. In einer kontrollierten Red-Team-Simulation führte bereits eine einzige Phishing-E-Mail innerhalb von fünf Minuten zu Identitätsdiebstahl, zur Umgehung der Multi-Faktor-Authentifizierung (MFA), zu Persistenz und zur Kompromittierung von Endgeräten.
Die Ergebnisse des Barracuda Red Team Reports fallen mit der Einführung von Barracudas KI-gestützter Integrated Email Protection zusammen, einer fortschrittlichen Lösung, die hochwirksamen Schutz vor sich weiterentwickelnden, KI-gestützten Bedrohungen bietet.
„KI macht E-Mail-Angriffe überzeugender und skalierbarer. Die Simulation des Barracuda Red Teams zeigt, dass Angreifer heute innerhalb weniger Minuten von einer einzelnen Phishing-E-Mail zu kompromittierten Zugangsdaten, übernommenen Sessions und persistentem Zugriff gelangen können. Besonders kritisch ist, dass MFA allein nicht mehr ausreicht, wenn Angreifer auch authentifizierte Sessions und Browser-Tokens ins Visier nehmen“, sagt Jesus Cordero-Guzman, Director Solution Architects AppSec, NetSec & XDR EMEA, Office of the CTO bei Barracuda. „Unternehmen müssen deshalb davon ausgehen, dass einzelne Phishing-Mails ihre Nutzer erreichen. Entscheidend ist, sich auf mehrschichtige Schutzmaßnahmen zu konzentrieren, um verdächtiges Verhalten sofort zu erkennen, kompromittierte Konten schnell einzudämmen und Angriffe zu stoppen, bevor sie eskalieren.“
Wie die Angriffssimulation ablief
- Das Red Team nutzte generative KI, um eine überzeugende Phishing-E-Mail mit einer dringenden Dokumentenanfrage zu erstellen.
- Die E-Mail wurde erfolgreich an den Empfänger zugestellt, der sie 21 Minuten später öffnete und auf den eingebetteten Link klickte, der zu einer gefälschten Microsoft-Anmeldeseite führte.
- Innerhalb von 60 Sekunden gab der Empfänger seine Anmeldedaten ein. Die Angreifer hatten den legitimen Anmeldeprozess umgeleitet, sodass sie die zwischen dem Opfer und Microsoft geteilten Daten abfangen und erfassen konnten.
- Microsoft reagierte mit einer MFA-Anfrage. Das Opfer benötigte eine weitere Minute, um die erforderlichen Daten einzugeben und ein Authentifizierungs-Cookie zu erhalten, das die Angreifer ebenfalls abgriffen.
- Kurz gesagt: Innerhalb von zwei Minuten nach dem Klick des Opfers auf den Phishing-Link hatten die Angreifer Benutzername und Passwort, das Cookie und die Sitzungsdetails erfasst. Doch dabei blieb es nicht.
- Die Angreifer nutzten das gestohlene Session-Cookie, um auf das Postfach des Opfers zuzugreifen. Sie konnten nun E-Mails lesen, E-Mails im Namen des Opfers versenden, auf SharePoint und OneDrive zugreifen, Posteingangsregeln erstellen, um ihre Aktivitäten zu verbergen, und schädlichen OAuth-Apps zustimmen, um auch nach Ablauf der Sitzung persistenten Zugriff zu behalten.
- Der ClickFix-Betrug: Die Angreifer forderten das Opfer auf, einen zusätzlichen Verifizierungsschritt durchzuführen. Das Opfer fügte einen Verifizierungscode in die Zwischenablage ein und löste damit ein schädliches Skript aus, das den Angreifern einen ersten Zugriff in das System des Opfers verschaffte.
- Innerhalb von fünf Minuten nach dem ersten Klick hatten die Angreifer einen persistenten Zugriff erreicht. So können sie jederzeit zurückkehren, ihren Zugriff ausweiten und weitere Payloads einschleusen.
- Ab diesem Punkt könnte der Angriff bei weiterer Fortsetzung schnell zu einer Rechteausweitung, Datenexfiltration, Verschlüsselung oder Zerstörung eskalieren. Möglich wird all das durch den Erfolg der ursprünglichen Phishing-E-Mail für den Erstzugriff.
So bleiben Sie geschützt
Keine einzelne Sicherheitsmaßnahme kann moderne, mehrstufige, KI-gestützte E-Mail-Angriffe stoppen. Unternehmen brauchen einen mehrschichtigen, kontinuierlichen Schutz über den gesamten Angriffslebenszyklus hinweg.
Wichtige Schutzmaßnahmen sind:
- Phishing-resistente MFA (zum Beispiel Security Keys)
- Fortschrittlicher E-Mail-Schutz mit Echtzeit-Erkennung
- Starke E-Mail-Authentifizierung (zum Beispiel DMARC)
- Sensibilisierung der Nutzer für sich weiterentwickelnde Social-Engineering-Taktiken
- Einschränkung des Zugriffs auf risikoreiche Tools, die Angreifer gezielt ausnutzen
Sicherheitsteams sollten außerdem auf ungewöhnliche Anmeldemerkmale achten, etwa in Bezug auf Standort, Gerät oder Zeitpunkt, ebenso wie auf verdächtige Verhaltensweisen nach der Anmeldung und auf Anzeichen für Persistenz wie neue Posteingangsregeln oder geplante Aufgaben.
Weitere Informationen mit allen technischen Details und einer schrittweisen Analyse finden Sie im ausführlichen Blogbeitrag: https://blog.barracuda.com/2026/06/17/red-team-report-ai-powered-email-attacks
