Was ist ConsentFix?

ConsentFix ist die nächste Evolutionsstufe OAuth-basierter Angriffe und zielt gezielt auf Microsoft-Nutzende, indem legitime Authentifizierungs- und Autorisierungsabläufe missbraucht werden.

Statt Zugangsdaten zu stehlen oder die Multi-Faktor-Authentifizierung (MFA) zu umgehen, nutzt ConsentFix Vertrauen aus: Über die üblichen OAuth-Mechanismen gelangen Angreifende an Authorization Codes und Access Tokens – und damit faktisch an die Schlüssel zu Microsoft Entra ID.

Von ClickFix zu ConsentFix

ConsentFix lässt sich als direkte Weiterentwicklung früherer ClickFix-Angriffe verstehen.

Während ClickFix auf Eigenheiten der Nutzerinteraktion setzte, um sensible Werte abzugreifen, modernisiert ConsentFix den Ansatz und richtet den Angriffsablauf vollständig am legitimen OAuth-Verhalten aus.

Der Sicherheitsforscher John Hammond hat kürzlich eine verbesserte Variante dieser Technik demonstriert. Dabei mussten Nutzende den Authorization Code nicht mehr kopieren und einfügen. Stattdessen ließ sich der Code einfach per Drag-and-drop übertragen – das senkt die Hürde und erhöht die Erfolgsquote.

Ganz ohne Zugangsdaten

Klassisches Phishing zielt darauf ab, Benutzernamen und Passwörter zu stehlen.

ConsentFix dagegen kommt vollständig ohne Zugangsdaten aus.

Angreifende missbrauchen vertrauenswürdige Authentifizierungsabläufe, um Access Tokens direkt zu erhalten. Verbreitet wird das über Phishing-Kampagnen per E-Mail, über Messaging-Plattformen oder Social Media.

Es gibt zudem Fälle, in denen die Auslieferung direkt über Anzeigenlinks in Suchanfragen erfolgte. Die Opfer werden dazu verleitet, mit bösartigen OAuth-Anwendungen zu interagieren oder einen Device Code Flow abzuschließen, den die Angreifenden bereits gestartet haben.

Zu keinem Zeitpunkt benötigen die Angreifenden das Passwort des Opfers. MFA versagt nicht – MFA funktioniert. Das Problem ist: Sie funktioniert im Sinne der Angreifenden.

OAuth-Consent-Missbrauch erklärt

Beim OAuth-Consent-Missbrauch werden Opfer dazu verleitet, betrügerische Anwendungen zu genehmigen, die überzogene, irreführende oder bewusst vage Berechtigungen anfordern.

Ist die Zustimmung einmal erteilt, erhält die Anwendung ein Access Token mit genau diesen Berechtigungen. Der Ablauf sieht typischerweise so aus:

1. Das Opfer klickt auf einen bösartigen Link.
2. Es wird auf die legitime Login-Seite von Microsoft weitergeleitet.
3. Nach der Authentifizierung erscheint eine Zustimmungsabfrage, die Zugriff anfordert.
4. Stimmt die Person zu, leitet Microsoft den Browser an eine von den Angreifenden kontrollierte Redirect-URI weiter.
5. Die Antwort enthält einen Authorization Code oder ein Refresh Token mit den genehmigten Berechtigungen.

Mit diesem Token können Angreifende Access Tokens beziehen und authentifizierte API-Aufrufe durchführen – häufig gegen Microsoft Graph – ohne weitere Nutzerinteraktion, ohne Zugangsdaten und ohne MFA-Abfrage. Dieser Zugriff bleibt bestehen, bis das Token abläuft oder die Zustimmung widerrufen wird.

Was Verteidigende erkennen können

So subtil ConsentFix auch vorgeht – in den Logs hinterlässt es erkennbare Spuren:

• Unbekannte oder neu registrierte OAuth-Anwendungen
• Zustimmungen für Apps mit sehr weitreichenden oder ungewöhnlichen Scopes
• Device-Code-Flow-Authentifizierungen aus unerwarteten Quellen
• Access Tokens, die von IP-Adressen oder aus Regionen genutzt werden, die nicht zur Person passen
• API-Aktivität ohne zugehörige interaktive Anmeldungen

Für sich genommen wirken diese Indikatoren oft harmlos – erst in der Korrelation werden sie aussagekräftig.

Strategien zur Erkennung und Prävention

Um das Risiko von Angriffen im ConsentFix-Stil zu senken, braucht es eine Verschiebung der Abwehrprioritäten.

Da diese Angriffe über eine legitime Autorisierung durch die Nutzenden gelingen, ist die wirksamste Kontrolle nicht allein technische Durchsetzung, sondern fundierte menschliche Entscheidungen, abgesichert durch mehrstufige Schutzmaßnahmen.

Trainings sollten folgende Punkte betonen:

• Zustimmungsabfragen mit derselben Vorsicht behandeln wie Anfragen nach Zugangsdaten oder MFA
• Device-Code-Flow-Anmeldungen als unüblich und besonders riskant erkennen
• Vor der Genehmigung hinterfragen, warum eine Anwendung überhaupt Zugriff benötigt
• Unerwartete oder unklare Zustimmungsanfragen eskalieren

Vor allem gilt: Behandeln Sie OAuth-Tokens als hochwertige Assets. Ein Access Token ist nicht „weniger gefährlich“ als ein Passwort – oft ist es sogar mächtiger.

Technische Kontrollen sollten die Angriffsfläche verkleinern und die Folgen von Fehlern begrenzen:

• Nutzerzustimmung auf freigegebene oder verifizierte Anwendungen beschränken
• Für neue oder hoch privilegierte OAuth-Apps eine Admin-Freigabe verlangen
• Device Code Flow deaktivieren oder streng kontrollieren, wo er nicht benötigt wird
• Neue OAuth-App-Registrierungen und Zustimmungsereignisse überwachen
• Ungenutzte Drittanbieter-Berechtigungen regelmäßig prüfen und entziehen
• Conditional Access einsetzen, um die Token-Nutzung wo möglich einzuschränken

{{quote}}

Fazit

ConsentFix macht einen grundlegenden Wandel im Vorgehen der Angreifenden sichtbar.

Sie brechen die Authentifizierung nicht mehr auf – sie missbrauchen die Autorisierung.

Weil sie sich vollständig innerhalb legitimer Abläufe von Microsoft Entra ID bewegen, erreichen sie eine Unauffälligkeit, Beständigkeit und Skalierung, mit der klassisches Phishing kaum mithalten kann. Die Abwehr dieser Angriffsklasse erfordert Sichtbarkeit über OAuth-Aktivitäten, Disziplin beim Umgang mit Zustimmungen und das klare Verständnis, dass „legitim“ nicht immer „sicher“ bedeutet.

Technische Kontrollen sind unverzichtbar, doch ConsentFix zeigt: geschulte Mitarbeitende sind Ihre stärkste Verteidigung. revel8 bietet kontinuierliche Security-Awareness-Trainings, die sich an neue Bedrohungen wie OAuth-Missbrauch, Deepfakes und fortgeschrittenes Social Engineering anpassen. Machen Sie aus dem vermeintlich schwächsten Glied Ihre wirksamste Sicherheitsebene.

FAQ

Was ist ConsentFix und wie funktioniert es?

‍ConsentFix ist ein OAuth-basierter Angriff, der die legitimen Authentifizierungsabläufe von Microsoft ausnutzt, um unbefugten Zugriff zu erlangen. Angreifende verleiten Nutzende dazu, bösartige OAuth-Anwendungen zu genehmigen oder einen Device Code Flow abzuschließen, und erhalten so Access Tokens, ohne jemals ein Passwort zu stehlen. Der Angriff gelingt, weil er die Autorisierung missbraucht, statt die Authentifizierung zu brechen.

Schützt die Multi-Faktor-Authentifizierung (MFA) vor ConsentFix-Angriffen?

‍Nein. ConsentFix umgeht den klassischen Diebstahl von Zugangsdaten – MFA versagt also nicht, sondern funktioniert im Sinne der Angreifenden. Da sich der Angriff innerhalb legitimer OAuth-Abläufe bewegt, kann MFA ihn nicht verhindern. Die Person authentifiziert sich erfolgreich, gewährt dabei aber unwissentlich einer von Angreifenden kontrollierten Anwendung Zugriff.

Wie erkenne ich, ob mein Unternehmen ins Visier von ConsentFix geraten ist?

‍Achten Sie in Ihren Logs auf diese Warnsignale: unbekannte OAuth-Anwendungen, die eine Zustimmung anfordern, neu registrierte Apps mit weitreichenden Berechtigungen, Device-Code-Flow-Authentifizierungen aus unerwarteten Quellen, Access Tokens, die von ungewöhnlichen IP-Adressen oder Standorten genutzt werden, sowie API-Aktivität ohne zugehörige interaktive Anmeldungen. Aussagekräftig werden diese Indikatoren vor allem in der Zusammenschau.

Worin unterscheidet sich ConsentFix von klassischem Phishing?

‍Klassisches Phishing stiehlt Benutzernamen und Passwörter. ConsentFix benötigt überhaupt keine Zugangsdaten, sondern nutzt das Vertrauen in OAuth-Abläufe, um Access Tokens direkt zu erhalten. Das macht den Angriff unauffälliger und beständiger: Angreifende erhalten einen legitim wirkenden Zugriff, der die meisten Sicherheitsmechanismen zur Erkennung von Zugangsdaten-Diebstahl umgeht.

Wie kann mein Unternehmen ConsentFix-Angriffe verhindern?

‍Prävention erfordert technische Kontrollen und Schulungen gleichermaßen. Verlangen Sie eine Admin-Freigabe für neue OAuth-Apps, beschränken Sie die Nutzerzustimmung auf verifizierte Anwendungen, überwachen Sie OAuth-Aktivitäten engmaschig und prüfen Sie Drittanbieter-Berechtigungen regelmäßig. Am wichtigsten: Schulen Sie Ihre Mitarbeitenden darin, Zustimmungsabfragen mit derselben Vorsicht zu behandeln wie Passwortabfragen und unerwartete Autorisierungsanfragen zu eskalieren.