Identitätsangriffe stoppen mit ITDR, Sophos Session | Go Hack Yourself 2026
Identitätsangriffe stoppen: ITDR gegen legitime Logins
In 56 % der Fälle brechen Angreifer nicht mehr technisch ein, sie loggen sich mit gestohlenen Zugangsdaten legitim ein (Sophos Active Adversary Report), 2025 liefen zwei Drittel aller erfolgreichen Angriffe über Identitäten. Frieder Keppel (Sales Engineering, Sophos) und Christian Kaiser (SOC Lead, SoftwareOne) zeigen, warum MFA an seine Grenzen stößt und wie Sophos ITDR gestohlene Zugangsdaten, Session-Token-Diebstahl und Fehlkonfigurationen in Microsoft Entra ID sichtbar macht.
Angreifer brechen laut Sophos in 56 % der Fälle nicht ein, sondern loggen sich mit gestohlenen Zugangsdaten legitim ein, 2025 über Identitäten in zwei Dritteln aller erfolgreichen Angriffe. An einem realen SharePoint-Phishing-Fall wird gezeigt, wie Session Token und MFA-Abfrage in Echtzeit abgefangen werden, sodass MFA allein nicht mehr schützt. Sophos ITDR bewertet Microsoft Entra ID laufend, überwacht Zugangsdaten im Dark Web im Minutentakt und reagiert, im Co-Managed SOC mit SoftwareOne über XDR, MDR und automatische Fälle.
Angreifer brechen nicht ein, sie loggen sich ein
Laut Sophos Active Adversary Report melden sich Angreifer in 56 % der Fälle legitim an, statt technisch einzubrechen; die Statistik des Sophos Incident Response Teams zeigt für 2025 zwei Drittel aller erfolgreichen Angriffe über Identitäten. Hauptursache sind gestohlene Zugangsdaten, die in Datenleaks auftauchen, per Phishing abgezogen oder mehrfach, etwa für LinkedIn und Xing, wiederverwendet werden. Ein legitimer Login nutzt kein Exploit und keine Malware und löst deshalb in der Regel keinen klassischen Alarm aus.
MFA an seinen Grenzen: Session-Token-Diebstahl
Ein reales Szenario aus der Schweiz beginnt mit einer Phishing-Mail, die eine über Microsoft SharePoint geteilte Datei eines bekannten Kontakts vortäuscht, auf einer echten Microsoft-Seite. Der Nutzer authentisiert sich samt One-Time-Passcode, folgt im Dokument einem zweiten Link auf eine gefälschte Anmeldeseite und übergibt damit auch das gültige Session Token, während die MFA-Abfrage in Echtzeit abgefangen wird. Anschließend meldet sich der Angreifer bei portal.office.com an und erhält Zugriff auf OneDrive, SharePoint und Teams, MFA ist kein Allheilmittel, wenn Angreifer an gültige Sessions kommen.
Fehlkonfigurationen in Microsoft Entra ID
95 % der Unternehmen haben eine kritische Fehlkonfiguration im Identity Access Management, zu weit gefasste Berechtigungen, schwache Richtlinien oder falsch konfigurierte Security-Mechanismen in Microsoft Entra ID oder lokalem AD, oft schleichend durch lange Migrationsprozesse entstanden. 90 % der Unternehmen erlebten im letzten Jahr identitätsbasierte Angriffe, und die Zahl gestohlener Zugangsdaten hat sich verdoppelt. Laut Microsoft Digital Defense Report 2025 verschieben sich Angriffe zunehmend auf nichtmenschliche Entitäten wie Service Accounts, Skripte und Workloads, die privilegierte Rechte tragen, aber kein MFA nutzen können.
ITDR macht Identitätsrisiken sichtbar
Identity Threat Detection & Response (ITDR) bewertet die Microsoft Entra ID Umgebung laufend, macht Fehlkonfigurationen, riskante Nutzer und überprivilegierte Objekte sichtbar und überwacht im Minutentakt, ob Zugangsdaten im Dark Web auftauchen. Es erkennt anomales Verhalten über Verhaltensprofile (Baseline), eine kontextbasierte Identitätsbewertung und den Tactic Graphs Detector, der ganze Angriffsketten über mehrere Schritte modelliert. Ein kompromittierter Session-Cookie in zwei Browsersitzungen oder ein Login „samstagnachts um halb zwei“ aus einem untypischen Land löst Alarm aus, ITDR kann dann Konten sperren und Sessions abmelden.
Sophos Central, Data Lake und XDR
Fundament ist die Sophos-Central-Plattform mit dem Data Lake, der Sicherheitsdaten aus E-Mail, ITDR, Microsoft-Umgebung und Netzwerküberwachung normalisiert und in Beziehung setzt. Darüber liegen Threat Intelligence aus eigener Forschung, Angreifer-Tracking und dem MDR-Operation-Team sowie Security-Operations-Werkzeuge wie XDR (Extended Detection & Response), SIEM und ITDR, mit Integration von über 350 Drittanbieter-Tools. Sophos XDR nutzt Identity als Detektionssignal (gestohlene Zugangsdaten, Business Email Compromise) und reagiert sofort: Konten sperren, Nutzer deaktivieren, Sitzungen beenden, verdächtige Posteingangsregeln entfernen.
Co-Managed SOC mit SoftwareOne
Sophos ITDR ist ein Add-on, das die Microsoft Entra ID Umgebung kontinuierlich auf Identitätsrisiken scannt und automatisch MDR-Fälle erzeugt, angereichert mit Open Source Intelligence, um Analysten zu beschleunigen. Im Co-Managed SOC der SoftwareOne-Partnerschaft werden Alarme in monatlichen Review-Meetings mit einem dezidierten Ansprechpartner besprochen, Policies zur Härtung der M365-Umgebung abgeleitet und das Sophos-MDR-Team über Rufbereitschaft eingebunden. Über allem steht Identitätsgovernance: Eintritt, Beschäftigungszeit und Austritt von Mitarbeitern und technischen Identitäten regelt SoftwareOne als Trusted Advisor.
Warum sind Identitäten das wichtigste Angriffsziel geworden?
Laut Sophos Active Adversary Report loggen sich Angreifer in 56 % der Fälle legitim mit gestohlenen Zugangsdaten ein, statt technisch einzubrechen; 2025 liefen zwei Drittel aller erfolgreichen Angriffe über Identitäten. Ein legitimer Login nutzt kein Exploit und keine Malware und löst deshalb in der Regel keinen klassischen Alarm aus.
Schützt MFA zuverlässig vor Identitätsdiebstahl?
Nein. Im SharePoint-Phishing-Szenario fangen Angreifer das gültige Session Token und die MFA-Abfrage in Echtzeit ab und melden sich danach bei portal.office.com, OneDrive, SharePoint und Teams an. MFA ist kein Allheilmittel, wenn Angreifer an gültige Sessions kommen; Phishing-resistentes MFA, Passkeys oder Hardware Keys wie YubiKey erhöhen den Schutz.
Was ist ITDR (Identity Threat Detection & Response)?
ITDR bewertet die Microsoft Entra ID Umgebung laufend, macht Fehlkonfigurationen, riskante Nutzer und überprivilegierte Objekte sichtbar und überwacht im Minutentakt, ob Zugangsdaten im Dark Web auftauchen. Es erkennt anomales Verhalten wie ungewöhnliche Login-Orte, neue Geräte oder kompromittierte Sessions und kann betroffene Konten sperren sowie Sitzungen beenden.
Wie unterscheiden sich XDR und ITDR bei Sophos?
Sophos XDR nutzt Identity als Detektionssignal (gestohlene Zugangsdaten, Business Email Compromise) und reagiert sofort, Konten sperren, Nutzer deaktivieren, Sitzungen beenden, verdächtige Posteingangsregeln entfernen. ITDR ergänzt XDR um kontinuierliche Bewertung, Verhaltensprofile, kontextbasierte Identitätsbewertung und den Tactic Graphs Detector für ganze Angriffsketten.
Was bringt das Co-Managed SOC mit SoftwareOne?
Sophos ITDR erzeugt automatisch MDR-Fälle, angereichert mit Open Source Intelligence. Im Co-Managed SOC mit SoftwareOne werden Alarme in monatlichen Review-Meetings besprochen, Policies zur M365-Härtung abgeleitet, das Sophos-MDR-Team über Rufbereitschaft eingebunden und Identitätsgovernance (Joiner/Mover/Leaver) als Trusted Advisor umgesetzt.
1. Warum Identitäten heute das wichtigste Angriffsziel sind
Der Vortrag beginnt mit einer Analyse aktueller Angriffsmuster. Cyberkriminelle müssen häufig keine Schwachstellen mehr ausnutzen oder Firewalls umgehen. Stattdessen verwenden sie legitime Zugangsdaten und melden sich mit gültigen Benutzerkonten in Unternehmenssystemen an.
Dadurch verschiebt sich der Fokus der Informationssicherheit zunehmend vom klassischen Perimeter-Schutz hin zur Absicherung von Identitäten, Berechtigungen und Anmeldeprozessen.
2. Legitime Logins als neuer Standardangriff
Ein wesentliches Ergebnis aktueller Angriffsanalysen besteht darin, dass Angreifer immer häufiger gültige Zugangsdaten verwenden. Sobald Benutzername, Kennwort oder Session Tokens kompromittiert wurden, können sich Angreifer scheinbar legitim im Unternehmensnetzwerk bewegen.
Da dabei keine klassische Malware oder offensichtliche technische Ausnutzung erfolgt, bleiben viele dieser Aktivitäten zunächst unentdeckt. Die Anmeldungen wirken auf den ersten Blick wie gewöhnliche Benutzeraktivitäten.
3. Gestohlene Zugangsdaten als Hauptursache erfolgreicher Angriffe
Die Session beschreibt Datenlecks, Phishing und Credential Theft als wichtigste Quellen kompromittierter Zugangsdaten. Viele Nutzende verwenden Passwörter mehrfach oder nutzen dieselben Anmeldedaten für verschiedene Plattformen.
Werden solche Zugangsdaten in Datenlecks veröffentlicht oder im Darknet gehandelt, können Angreifer sie nutzen, um auf Unternehmensdienste wie Microsoft 365, VPN-Zugänge oder Cloud-Plattformen zuzugreifen.
4. Warum MFA allein nicht mehr genügt
Multifaktor-Authentifizierung bleibt ein wichtiger Schutzmechanismus, bietet jedoch keinen vollständigen Schutz gegen moderne Identitätsangriffe. Angreifer konzentrieren sich zunehmend auf Session Tokens und bestehende Authentifizierungssitzungen.
Werden gültige Sessions übernommen, können Angreifer vorhandene MFA-Prüfungen umgehen und auf Anwendungen zugreifen, ohne einen erneuten Anmeldeprozess auslösen zu müssen.
5. Praxisbeispiel: SharePoint, Phishing und Session Hijacking
Die Session beschreibt ein reales Angriffsszenario. Ein Benutzer erhält eine scheinbar legitime SharePoint-Einladung und authentifiziert sich auf einer echten Microsoft-Seite. Anschließend führt ein weiterer Link innerhalb des Dokuments auf eine gefälschte Microsoft-Anmeldeseite.
Dadurch können Zugangsdaten und Session Tokens übernommen werden. Angreifer erhalten anschließend Zugriff auf Microsoft 365, SharePoint, OneDrive oder Teams und bewegen sich mit einer gültigen Sitzung innerhalb der Umgebung.
6. Fehlkonfigurationen im Identity Access Management
Ein weiterer Schwerpunkt sind Fehlkonfigurationen in Identitätsplattformen. Der Vortrag verweist darauf, dass viele Unternehmen Schwächen in Microsoft Entra ID, Rollenmodellen oder Sicherheitsrichtlinien aufweisen.
Häufig entstehen diese Probleme durch Migrationen, organisatorische Veränderungen, neue Anwendungen oder fehlende Dokumentation. Dadurch entstehen Risiken, die über lange Zeit unentdeckt bleiben können.
7. Menschliche und nichtmenschliche Identitäten
Die Session betrachtet sowohl Benutzerkonten als auch nichtmenschliche Identitäten. Dazu gehören Service Accounts, Anwendungen, Automatisierungen, Skripte und technische Workloads.
Diese Identitäten besitzen häufig erhöhte Berechtigungen und nutzen oftmals keine klassischen Schutzmechanismen wie Multifaktor-Authentifizierung. Dadurch werden sie zu attraktiven Angriffszielen.
8. Warum klassische Sicherheitsansätze an Grenzen stoßen
Traditionelle Sicherheitslösungen konzentrieren sich häufig auf Malware, Netzwerkangriffe oder bekannte technische Bedrohungen. Identitätsbasierte Angriffe verlaufen dagegen oft unauffällig.
Unternehmen benötigen deshalb zusätzliche Mechanismen, die Anomalien erkennen, Anmeldeverhalten analysieren und ungewöhnliche Aktivitäten frühzeitig sichtbar machen.
9. Identity Threat Detection and Response (ITDR)
ITDR wird als Antwort auf diese Entwicklung vorgestellt. Die Technologie überwacht Identitäten, analysiert Konfigurationen, erkennt Risiken und unterstützt bei der Reaktion auf Sicherheitsvorfälle.
Im Mittelpunkt stehen Transparenz, Risikobewertung und die kontinuierliche Überwachung identitätsbezogener Aktivitäten über verschiedene Plattformen hinweg.
10. Sichtbarkeit statt isolierter Einzellösungen
Viele Unternehmen betreiben unterschiedliche Werkzeuge für Identity Management, Security Monitoring und Zugriffsverwaltung. Die Session beschreibt die daraus entstehenden Informationssilos als Herausforderung.
ITDR soll diese Informationen zusammenführen und eine zentrale Sicht auf Risiken, Benutzer, Zugriffe und potenzielle Bedrohungen schaffen.
11. Sophos Central, Data Lake und Threat Intelligence
Sophos nutzt einen zentralen Data Lake, um sicherheitsrelevante Informationen aus unterschiedlichen Quellen zu sammeln und miteinander zu korrelieren. Dazu gehören Identitätsdaten, E-Mail-Sicherheit, Netzwerkereignisse und Endpoint-Informationen.
Zusätzlich fließen Erkenntnisse aus Threat Intelligence, Sicherheitsforschung, Malware-Analysen und Managed Detection and Response in die Plattform ein.
12. ITDR als Bestandteil moderner XDR-Plattformen
Identity Threat Detection and Response ist eng mit XDR integriert. Während XDR Sicherheitsereignisse korreliert und analysiert, erweitert ITDR die Sicht gezielt um Identitätsrisiken.
Dadurch lassen sich kompromittierte Konten, ungewöhnliche Logins, riskante Benutzeraktivitäten oder Problemkonfigurationen frühzeitig identifizieren.
13. Verhaltensprofile und Anomalieerkennung
Ein wichtiger Baustein von ITDR ist die Erstellung individueller Verhaltensprofile. Die Plattform analysiert typische Login-Zeiten, Geräte, Standorte und Nutzungsmuster von Benutzenden.
Abweichungen von diesem Normalverhalten können anschließend automatisch erkannt und bewertet werden. Dadurch werden potenzielle Kontoübernahmen deutlich schneller sichtbar.
14. Credential Leaks und Dark-Web Monitoring
Die Session beschreibt die kontinuierliche Überwachung veröffentlichter Zugangsdaten als weiteren Kernbestandteil von ITDR. Kompromittierte Kennwörter oder Anmeldedaten können frühzeitig erkannt werden, bevor sie für Angriffe eingesetzt werden.
Unternehmen erhalten dadurch die Möglichkeit, Konten zurückzusetzen und Risiken zu reduzieren, bevor ein Sicherheitsvorfall entsteht.
15. Automatisierte Reaktion auf Identitätsangriffe
Neben der Erkennung spielt die Reaktion eine zentrale Rolle. ITDR ermöglicht Maßnahmen wie das Sperren von Benutzerkonten, das Beenden aktiver Sitzungen oder die Isolation kompromittierter Identitäten.
Dadurch können Sicherheitsverantwortliche unmittelbar reagieren, statt auf die nächste manuelle Untersuchung zu warten.
16. ITDR, MDR und Co-Managed SOC
Die Session schließt mit dem Zusammenspiel aus ITDR, MDR und Co-Managed Security Operations Center. Erkenntnisse aus ITDR werden automatisch an Analysten weitergegeben und mit Bedrohungsinformationen angereichert.Gemeinsam mit regelmäßigen Security Reviews, Governance-Prozessen und Richtlinien können Unternehmen ihre Identitätssicherheit langfristig verbessern und Risiken nachhaltig reduzieren.