EvilTokens zeigt eine neue Qualität des KI-gestützten Zahlungsbetrugs

Microsoft hat am 22. September 2026 gemeinsam mit Partnern die Infrastruktur der Cybercrime-Plattform EvilTokens gestört. Nach Angaben des Unternehmens waren mit dem Dienst innerhalb weniger Monate mehr als 12.000 E-Mail-Postfächer in über 10.000 Organisationen kompromittiert worden. Betroffen waren unter anderem Großhandel, Bau, Finanzdienstleistungen, Immobilien, Bildung und Gesundheitswesen – also Branchen, in denen auch viele mittelständische Betriebe arbeiten.

Wie EvilTokens KI in den Betrug einbaute

Der Angriff begann mit sogenanntem Device-Code-Phishing. Opfer wurden dazu gebracht, auf einer legitimen Microsoft-Anmeldeseite einen Code einzugeben. Dadurch erhielten Angreifer Zugriff auf das Konto, ohne das Passwort direkt zu stehlen. Ein Passwortwechsel allein konnte deshalb unzureichend sein, wenn aktive Sitzungen und Zugriffstokens bestehen blieben.

Neu war vor allem, was danach geschah. Der integrierte KI-Chatbot analysierte kompromittierte Postfächer, suchte nach vertrauensvollen Beziehungen, Zahlungsfreigaben und sensiblen Zuständigkeiten und schlug passende Betrugsstrategien vor. Er half außerdem, Nachrichten im Namen bekannter Kontakte zu formulieren. The Register bestätigte die beschriebenen Funktionen und die Größenordnung der betroffenen Konten in einer unabhängigen Berichterstattung.

Betrug wird zum fertigen Geschäftsmodell

EvilTokens wurde laut Microsoft als Dienst verkauft: 1.500 US-Dollar Startgebühr und 500 US-Dollar laufende Gebühr. Damit bündelte die Plattform Kontozugriff, Postfachanalyse, Zielauswahl und Vorbereitung des finanziellen Betrugs in einer Oberfläche.

Microsoft und Partner übernahmen 50 Websites und deaktivierten mehr als 150 weitere Domains. Die konkrete Plattform ist damit erheblich beeinträchtigt. Das zugrunde liegende Risiko bleibt jedoch bestehen: KI senkt den Aufwand, gestohlene Kommunikation schnell zu verstehen und täuschend passende Zahlungsanweisungen zu erstellen.

Was Unternehmen sofort ändern sollten

Für KMU reicht es deshalb nicht mehr, nur nach sprachlichen Fehlern in verdächtigen E-Mails zu suchen. Sobald ein echtes Postfach übernommen wurde, kennt der Angreifer Gesprächsverläufe, Namen und übliche Abläufe.

Unternehmen sollten Änderungen von Bankverbindungen, ungewöhnliche Zahlungen und kurzfristige Umleitungen von Geldern immer über einen zweiten, bereits bekannten Kanal bestätigen. Zusätzlich gehören phishing-resistente Mehrfaktor-Authentifizierung, die Überwachung ungewöhnlicher Anmeldungen sowie die zentrale Möglichkeit zum Widerruf aktiver Sitzungen und Tokens in den Notfallplan. Ebenso wichtig ist eine klare Meldekette, damit Beschäftigte verdächtige Vorgänge ohne Zeitverlust eskalieren können.

Fazit: EvilTokens macht aus einem gestohlenen Postfach in kurzer Zeit ein präzises Betrugsinstrument. Der wirksamste Schutz verbindet technische Identitätssicherheit mit verbindlichen Freigabeprozessen im Zahlungsverkehr. Mittelständler sollten daher nicht nur ihre IT härten, sondern noch in dieser Woche prüfen, ob jede sensible Zahlungsänderung tatsächlich über einen unabhängigen zweiten Kanal bestätigt wird.