Microsoft beendet Legacy-Authentifizierung: Millionen Accounts bedroht
Microsoft stellt veraltete App-spezifische Passwörter ein, die Zwei-Faktor-Authentifizierung umgehen und massive Sicherheitslücken verursachen. Unternehmen müssen auf passwortlose Lösungen umsteigen.
Die Zeit läuft ab: Am 30. September 2025 schaltet Microsoft seine veralteten Zugangssysteme endgültig ab. Was zunächst wie eine technische Routine-Änderung klingt, entpuppt sich als Wendepunkt für die Cybersicherheit. Denn Millionen von Nutzern verwenden noch immer die hochriskanten App-spezifischen Passwörter“ digitale Hintertüren, die Hacker längst ins Visier genommen haben.
Sicherheitsexperten schlagen Alarm: Diese 16-stelligen Codes umgehen systematisch die Zwei-Faktor-Authentifizierung und schaffen damit genau die Schwachstellen, die moderne Sicherheitssysteme eigentlich schließen sollten. Legacy-Authentifizierung ist eine versteckte Hintertür in moderne Cloud-Infrastrukturen“, warnen Cybersecurity-Analysten nach einer Serie von Datenlecks Anfang 2025, die genau diese veralteten Protokolle ausnutzten.
Die tickende Zeitbombe in Ihrem E-Mail-Postfach
App-spezifische Passwörter (ASPs) ermöglichen älteren Anwendungen den Zugriff auf moderne Konten ein Kompromiss, der zur Sicherheitsfalle geworden ist. Das Problem: Diese Codes hebeln die Zwei-Faktor-Authentifizierung komplett aus.
Gelingt es Angreifern, ein ASP zu erbeuten etwa durch Phishing , haben sie direkten Zugang zu E-Mails, Kontakten und Kalendern. Ohne zweiten Authentifizierungsschritt, ohne Warnung, ohne Chance zur Abwehr. Besonders perfide: Cyberkriminelle nutzen ausgeklügelte Social-Engineering-Tricks, um Opfer dazu zu bringen, selbst ein ASP zu erstellen und zu teilen.
Jedes generierte App-Passwort erweitert die Angriffsfläche eines Kontos. Da sie oft jahrelang unbemerkt aktiv bleiben, werden sie zu vergessenen Einfallstoren für Hacker.
Anzeige: Apropos E-Mail-Zugänge: Viele Sicherheitsprobleme entstehen durch veraltete Outlook-Konfigurationen und unsichere Protokolle. Wenn Sie Outlook korrekt und modern einrichten möchten inklusive Kontoeinstellungen für die wichtigsten Provider und Synchronisation hilft eine verständliche Schritt-für-Schritt-Anleitung weiter. Kostenloser Download plus Spezialkurs. Outlook jetzt fehlerfrei und sicher einrichten
Benachrichtigungen als letzte Warnung
Google, Microsoft und andere Anbieter versenden automatisch Sicherheitswarnungen, sobald ein neues App-Passwort erstellt wird. Diese Nachrichten sind jedoch nicht Lösung, sondern Symptom des Problems.
Die Warnung bedeutet: Ihr Konto hat gerade eine neue, weniger sichere Zugangsmöglichkeit erhalten. Unerwartete Benachrichtigungen können das einzige Indiz sein, dass Angreifer bereits Ihre Haupt-Zugangsdaten kompromittiert haben und dauerhaften Zugriff etablieren wollen.
Doch selbst diese Alarmsignale versagen, wenn Nutzer die Warnungen ignorieren oder noch schlimmer die Passwort-Erstellung für legitim halten, obwohl sie Hackern in die Falle gegangen sind.
Passkeys: Die Antwort der Tech-Riesen
Die Industrie setzt auf radikale Lösungen: komplette Abschaffung aller Passwörter. Die FIDO-Allianz treibt gemeinsam mit Apple, Google und Microsoft die Einführung von Passkeys voran kryptografische Schlüssel, die mit biometrischen Daten arbeiten und Phishing-Angriffe unmöglich machen.
Die Zahlen sprechen eine deutliche Sprache: 87 Prozent der Unternehmen in den USA und Großbritannien setzen bereits Passkeys ein, mit 90-prozentig positiven Auswirkungen auf die Sicherheit. Bei Verbrauchern kennen 74 Prozent die Technologie, über die Hälfte hält sie für sicherer und praktischer als herkömmliche Passwörter.
Microsofts Ultimatum verschärft den Druck
Der 30. September markiert mehr als ein Software-Update: Microsoft zwingt die gesamte Branche, ihre Sicherheitsschulden“ zu begleichen. Ab 1. Oktober wird Multi-Faktor-Authentifizierung für alle Anmeldungen bei wichtigen Azure-Diensten Pflicht.
KI-gestützte Phishing-Angriffe und Credential-Stuffing-Attacken haben die Bedrohungslage dramatisch verschärft. Die Bequemlichkeit der Rückwärts-Kompatibilität wiegt die materiellen Risiken nicht mehr auf.
Der Countdown läuft
IT-Administratoren stehen vor klaren Aufgaben: Sofortige Bestandsaufnahme aller Nutzer und Anwendungen, die noch auf Legacy-Authentifizierung setzen. Widerruf aller aktiven App-spezifischen Passwörter. Beschleunigter Umstieg auf passwortlose Lösungen.
Passkeys können KI-generierte Social-Engineering-Angriffe vollständig stoppen und gleichzeitig die Produktivität der Mitarbeiter steigern“, erklärt Andrew Shikiar, CEO der FIDO-Allianz.
Die Botschaft ist eindeutig: Wer die gefährlichen Sicherheitslücken der Passwort-Ära nicht schließt, spielt mit dem digitalen Feuer. Die Zeit für halbe Lösungen ist abgelaufen.
