Die Funktionsweise von EvilTokens offenbart eine Sicherheitslücke in der Architektur moderner Authentifizierungssysteme. Nutzer erhalten eine Nachricht mit der Aufforderung, einen Code auf microsoft.com/devicelogin einzugeben und ihre MFA-Challenge zu bestätigen. Nachdem sie diesen Schritt abschließen, glauben sie, einen routinemäßigen Anmeldeprozess verifiziert zu haben. In Wahrheit haben sie dem Angreifer einen Refresh Token übermittelt – einen langlebigen Zugangsschlüssel, der Zugriff auf Mailbox, OneDrive, Kalender und Kontakte gewährt und mehrere Wochen oder sogar Monate gültig bleibt.
Das Kernproblem liegt in der sogenannten Consent-Phishing oder OAuth-Grant-Missbrauch. Während MFA-Systeme klassisches Passwort-Phishing effektiv blockieren, wurde die OAuth-Ebene in den meisten Sicherheitsarchitekturen nicht mit gleicher Rigorosität behandelt. Der Angreifer benötigt weder das Passwort noch löst er einen MFA-Prompt aus – und produziert keinen verdächtigen Anmeldeeintrag, der ein Eindringen signalisieren würde.
Die Situation wird durch ein Phänomen verschärft, das Security-Experten als “Consent Fatigue” bezeichnen: Wissensarbeiter sehen täglich eine Flut von Genehmigungsbildschirmen – von KI-Assistenten, Produktivitätstools, Browser-Erweiterungen und Cloud-Integrationen. Diese Normalisierung führt dazu, dass Genehmigungen quasi automatisch akzeptiert werden, ähnlich wie bei Cookie-Bannern.
Ein besonders kritisches Risiko entsteht durch “Toxic Combinations” – schädliche Kombinationen von Berechtigungen. Ein Finanzangestellter genehmigt einer KI-Anwendung Zugriff auf Kalender und Mailbox, einer anderen auf die gemeinsamen Laufwerke und einer dritten auf die CRM-Datenbank. Zusammen bilden diese Genehmigungen eine Sicherheitslücke, die keine einzelne Anwendung bewusst autorisiert hat. Diese Brücken sind in keinem einzelnen Audit-Log sichtbar.
Eine neue Klasse von Sicherheitsplattformen adressiert dieses Problem durch kontinuierliche Überwachung der Identity-Governance. Sie kartieren jede OAuth-Genehmigung und KI-Agent-Integration in Echtzeit, überwachen Verhaltensabweichungen und können Tokens auf Systemebene widerrufen – ohne dass der Nutzer sein Passwort ändern muss. Für deutsche Organisationen wird es zunehmend kritisch, solche Lösungen zu implementieren, um DSGVO-Compliance und Datenschutz zu gewährleisten.