Was ist Consent Phishing?
Beim normalen Phishing soll dein Passwort raus. Beim Consent Phishing wollen die Betrüger es gar nicht. Sie bringen dich dazu, einer App die Erlaubnis zu geben, in deinem Namen zu handeln.
Microsoft beschreibt das so: Die Angriffe bringen Nutzer dazu, bösartigen Cloud-Apps Berechtigungen zu erteilen. Weil die Zustimmung auf einer echten Anmeldeseite stattfindet, klicken ahnungslose Nutzer auf „Akzeptieren“. Technisch nutzt das den Standard OAuth aus, der eigentlich dafür gemacht ist, Tools sicher zu verbinden.
Der Ablauf ist schnell erzählt. Eine Mail lockt dich auf eine Zustimmungsseite. Dort bittet eine App mit harmlosem Namen um Zugriff, zum Beispiel auf Mails. Du stimmst zu, und die App bekommt Zugriffs-Token — quasi einen Hausschlüssel, der mit deinem Passwort nichts zu tun hat.
Warum das Marketing-Teams trifft
Kaum eine Abteilung verbindet so viele Tools: CRM, Newsletter, Social-Planer, Chat-Widgets, KI-Assistenten mit Postfach-Zugriff. Jede Verbindung ist eine erteilte Erlaubnis. Da fällt eine weitere Anfrage nicht auf.
Dazu kommt: Microsofts Incident-Response-Team berichtet, dass eine Kombination aus nur sechs Berechtigungsgruppen in 99 % der Angriffe auftaucht. Das sind Mail, Kontakte, Postfach-Einstellungen, Personen, Dateien und Notizen. Eine Herstellerbeobachtung ohne genannte Stichprobe, aber die Richtung ist klar: Es geht um deinen Alltag. Die Angriffe zielen breit auf normale Nutzer, nicht auf Admins.
Eine Zahl, wie viele Firmen betroffen sind, haben wir nicht gefunden.
So unterscheidet es sich von normalem Phishing
Phishing
Consent Phishing
Ziel
Passwort
Berechtigung
Seite
Meist gefälscht
Echt
Passwort ändern
Hilft
Reicht nicht
Der letzte Punkt ist der tückischste: Die Erlaubnis hängt an der App. Sie bleibt bestehen, bis jemand sie widerruft.
Abgrenzen solltest du auch Einbrüche bei einem Anbieter. Im August 2025 stahlen Angreifer laut Google Threat Intelligence OAuth-Token der Salesforce-Integration des Sales-Tools Drift. Das war kein Consent Phishing, denn getäuscht wurde niemand. Es zeigt aber dasselbe Risiko: Jede Verbindung ist ein Zugang.
Selbst das Häkchen schützt nicht
Microsoft kennzeichnet geprüfte App-Herausgeber als „verifiziert“. Im Dezember 2022 fiel dem Konzern auf, dass Betrüger sich mit fremder Identität ins Partnerprogramm geschlichen hatten. So bekamen ihre Apps das Verifiziert-Siegel und griffen E-Mails ab, vor allem bei Kunden in Großbritannien und Irland.
Microsoft deaktivierte die Apps, informierte Betroffene und verschärfte die Prüfung. Die Lehre: Ein Siegel ist ein Hinweis, keine Garantie.
Häufige Fehler
Fehler 1 · Auf MFA verlassen
Zwei-Faktor-Anmeldung prüft, ob du wirklich du bist. Bist du ja. Du erteilst die Erlaubnis selbst, deshalb greift sie hier nicht. Abschalten solltest du sie natürlich trotzdem nicht.
Fehler 2 · Nur das Passwort ändern
Der Zugriff muss widerrufen werden. Microsoft schreibt auch: Neue Einstellungen gelten nur für künftige Zustimmungen, bestehende Freigaben bleiben.
Fehler 3 · Nur Admins für gefährdet halten
Schon normale Nutzer dürfen standardmäßig vielen Apps Rechte auf eigene Daten geben. Mail lesen und Dateien lesen reichen für viel Schaden.
Fehler 4 · Die App einfach löschen
Microsoft rät, verdächtige Apps zu deaktivieren. Eine gelöschte App kann mit einer neuen Zustimmung zurückkommen, und du verlierst Spuren für die Untersuchung.
So schützt du dich und dein Team
Das meiste geht ohne Spezialwissen:
- Lesen, bevor du klickst: Wer fragt, und welche Rechte will die App? Mail, Dateien und dauerhafter Zugriff sind Warnsignale.
- Verbundene Apps prüfen: Einmal im Quartal im Konto nachsehen und entfernen, was niemand mehr nutzt.
- Freigaben begrenzen: In Microsoft Entra lässt sich die Nutzerzustimmung auf verifizierte Herausgeber und geringe Rechte beschränken.
- Antragsweg einrichten: Mit dem Admin-Zustimmungs-Workflow beantragen Nutzer Freigaben, statt sie selbst zu erteilen.
- Protokolle aktivieren: Ohne Audit-Log lässt sich ein Vorfall kaum untersuchen.
Häufige Fragen
Hilft Zwei-Faktor-Anmeldung gegen Consent Phishing?
Kaum. Die Anmeldung ist echt, du erteilst die Erlaubnis selbst. Die App braucht danach weder dein Passwort noch deinen zweiten Faktor. Schutz bieten Zustimmungsregeln und ein wacher Blick auf die Rechteliste.
Woran erkenne ich eine bösartige App?
An unpassenden Rechten für den Zweck, einem unbekannten Herausgeber und Rechtschreibfehlern. Auch ein vertrauter Name beweist nichts. Hast du die App nicht selbst gesucht, sondern kam der Link per Mail, sei besonders vorsichtig.
Was tue ich, wenn ich versehentlich zugestimmt habe?
Entzieh der App sofort den Zugriff in deinen Kontoeinstellungen, und sag deiner IT Bescheid. Melde die App beim Anbieter. Prüf danach, ob persönliche Daten betroffen sind, dann kann eine Meldepflicht nach DSGVO bestehen.
Reicht das Verifiziert-Siegel als Vertrauenszeichen?
Nein. 2022 und 2023 nutzten Betrüger bei Microsoft genau dieses Siegel aus. Schau auch bei verifizierten Herausgebern auf die Rechte, die die App verlangt.
