Microsoft hat eine weitverbreitete russische Hacking-Kampagne bestätigt, die Hotel-WLAN-Netze ausnutzt, um Anmeldedaten für Microsoft 365 zu stehlen und Malware auf Windows-PCs zu schleusen. Die direkt an Windows-Nutzer gerichtete Warnung hebt Gastgewerbenetze als Hotspot für den Diebstahl von Anmeldeinformationen hervor – das bedeutet: Jeder, der sich schon einmal in einer Hotellobby oder einem Konferenzraum per WLAN in seine Arbeits-E-Mail eingeloggt hat, sollte aufmerken.

Wovor Microsoft warnt

Laut Microsoft zielt die Kampagne gezielt auf die WLAN-Infrastruktur von Hotels und ähnlichen Einrichtungen ab, in denen Geschäftsreisende ihre Laptops verbinden. Angreifer sollen den Netzwerkverkehr abfangen oder Anmeldeseiten fälschen, um Zugangsdaten für Microsoft 365 abzugreifen – genau jene Benutzernamen und Passwörter, die für Millionen von Nutzern weltweit Unternehmens-E-Mails, Cloud-Speicher und interne Geschäftstools freischalten.

Die Zuschreibung an russische Akteure stellt diese Kampagne in eine Reihe mit anderen staatlich verknüpften Operationen, die historisch auf Spionage, das Sammeln von Wirtschaftsdaten und den Zugang zu sensibler Kommunikation abzielten – nicht auf schlichten Finanzbetrug. Hotel-WLAN wird seit jeher als grundsätzlich weniger vertrauenswürdig eingestuft als ein Heim- oder Büronetz, aber diese Kampagne zeigt, dass das theoretische Risiko zu einer aktiven, anhaltenden Bedrohung mit einem dokumentierten Ziel geworden ist: Windows-PC-Nutzer, die sich auf Reisen mit Microsoft 365 verbinden.

Warum Hotelnetze ein leichtes Ziel sind

Hotel-WLAN weist eine einzigartige Kombination von Schwachstellen auf, die es für Angreifer attraktiv macht. Gäste sind daran gewöhnt, Anmeldeseiten von Captive Portals ohne genauere Prüfung zu durchlaufen; die Netzwerkverwaltung vieler Hotels wird ausgelagert oder nur unzureichend gewartet, und die schiere Menge flüchtiger Geräte, die sich an- und abmelden, erschwert es, bösartige Aktivitäten in Echtzeit zu erkennen.

Sobald ein Angreifer im Netzwerk Fuß gefasst oder die Anmeldeseite selbst gefälscht hat, kann er Anmeldedaten abfangen, wenn Reisende sich bei Microsoft-365-Diensten authentifizieren. Die gestohlenen Zugangsdaten können dann genutzt werden, um auf E-Mails, Dokumente und Kalender zuzugreifen oder als Sprungbrett zu dienen, um Malware direkt auf das verbundene Gerät zu schleusen. Besonders besorgniserregend ist dies für Windows-PCs, da ein kompromittierter Login in Kombination mit einem nicht aktualisierten System tiefere Eindringversuche ermöglichen kann. Angreifer zeigen ein konsistentes Muster, bei dem sie den Diebstahl von Anmeldedaten mit der Ausnutzung von Windows-Schwachstellen verknüpfen. Die Offenlegung der MiniPlasma-Zero-Day-Schwachstelle verdeutlicht, wie schnell eine anfängliche Präsenz auf einem Gerät zu einem vollständigen Systemzugriff eskalieren kann – selbst auf ansonsten vollständig gepatchten Rechnern.

Datenschutzrisiken für Geschäftsreisende

Für die meisten Menschen ist ein gestohlenes Microsoft-365-Passwort nicht nur eine Unannehmlichkeit, sondern ein Tor zu allem, was mit diesem Konto verknüpft ist. Unternehmensinterne E-Mail-Verläufe, gemeinsam genutzte Laufwerke, Kalendereinladungen mit Besprechungsplänen und Reiseplänen sowie alle in OneDrive oder Outlook gespeicherten persönlichen Daten können potenziell offengelegt werden. Für Geschäftsreisende entsteht dadurch ein sich verstärkendes Datenschutzproblem: Dieselbe Reise, die sie in ein anfälliges Hotelnetz bringt, ist oft die Reise, bei der sie das sensibelste Arbeitsmaterial mit sich führen – von Kundenverträgen bis zu strategischen Planungsdokumenten.

Da Microsoft-365-Konten häufig mit Single-Sign-on-Systemen im gesamten Unternehmen verknüpft sind, kann ein einziger kompromittierter Zugang unter Umständen eine Kettenreaktion auslösen und Zugriff auf andere verbundene Dienste ermöglichen. Dadurch geht es bei dieser Kampagne weniger um ein einzelnes gestohlenes Passwort, sondern vielmehr um die weitreichende Offenlegung des digitalen Fußabdrucks eines Unternehmens durch eine unvorsichtige Anmeldung in einem ungesicherten Netzwerk.

Was das für Sie bedeutet

Wenn Sie geschäftlich reisen und Microsoft 365 auf einem Windows-Laptop nutzen, gilt diese Warnung direkt für Sie. Das Kernrisiko ist nichts Exotisches. Es handelt sich um die alltägliche Handlung, sich mit einem Hotel-WLAN zu verbinden und sich bei E-Mail- oder Cloud-Diensten anzumelden, ohne eine Schutzschicht zwischen Ihrem Gerät und dem Netzwerk zu haben. Angreifer müssen keine Verschlüsselung knacken oder obskure Softwarefehler ausnutzen, wenn sie Anmeldedaten einfach am Anmeldebildschirm abfangen oder Reisende dazu verleiten können, sie auf einem gefälschten Portal einzugeben.

Die pragmatische Lösung ist einfach: Behandeln Sie standardmäßig jedes Hotelnetzwerk als nicht vertrauenswürdig. Nutzen Sie ein VPN, um Ihren Datenverkehr zu verschlüsseln, bevor Sie sich bei einem Microsoft-Konto anmelden. Überprüfen Sie die Seiten des Captive Portals genau, bevor Sie Anmeldedaten eingeben, und aktivieren Sie die Multi-Faktor-Authentifizierung, sodass ein gestohlenes Passwort allein nicht für einen Zugriff ausreicht. Es ist auch wichtig, Ihren Windows-PC stets auf dem neuesten Stand zu halten, denn Angreifer, die gestohlene Anmeldedaten mit nicht gepatchten Schwachstellen kombinieren, können weitaus größeren Schaden anrichten als der reine Zugangsdatendiebstahl.

Konkrete Handlungsempfehlungen

  • Gehen Sie davon aus, dass Hotel- und öffentliche WLAN-Netze nicht vertrauenswürdig sind, und leiten Sie sensible Anmeldungen wann immer möglich über ein VPN.
  • Aktivieren Sie die Multi-Faktor-Authentifizierung für Microsoft 365 und andere Geschäftskonten, damit ein gestohlenes Passwort allein nicht ausreicht.
  • Überprüfen Sie die WLAN-Anmeldeseiten von Hotels sorgfältig auf Anzeichen von Spoofing, bevor Sie Anmeldedaten eingeben.
  • Halten Sie Windows vollständig auf dem neuesten Stand, da Angreifer gestohlene Anmeldungen häufig mit Exploits auf Geräteebene kombinieren, um tieferen Zugriff zu erlangen.

Diese Kampagne erinnert daran, dass grundlegende Reisegewohnheiten – und nicht nur ausgefeilte Angriffe – nach wie vor eines der größten Datenschutzrisiken für Geschäftsanwender darstellen. Ein paar Minuten Vorsicht vor dem Verbinden können später viel größere Kopfschmerzen verhindern.