Ende Dezember 2025 passierte in einem Unternehmen etwas, das erst letzte Woche Schlagzeilen machte. Ein Mitarbeiter wurde mit E-Mails überschwemmt - hunderte, so schnell, dass es offensichtlich unnormal war. Dann kam eine Nachricht über Microsoft Teams von scheinbar der internen IT-Hotline: „Wir haben das Problem erkannt. Klicken Sie auf diesen Link, um einen Patch zu installieren und den Spam zu stoppen."
Sie klickten.
Der Link installierte eine maßgeschneiderte Malware-Suite namens Snow - eine Browsererweiterung, einen Tunneler und eine Hintertür, die es Angreifern schließlich ermöglichte, Active Directory-Zugangsdaten zu stehlen und die gesamte Domain des Unternehmens zu übernehmen. Das Mandiant-Team von Google verfolgte die Kampagne zu einer neu identifizierten Bedrohungsgruppe, UNC6692, und veröffentlichte letzte Woche die vollständige Analyse. Die technischen Details sind beeindruckend. Für alle, die Unternehmens-KI-Governance betreiben, ist jedoch interessanter, was der Angriff nicht nutzte: keine Zero-Day-Schwachstelle, kein geleaktes Passwort, keinen falsch konfigurierten Cloud-Speicher. Er nutzte Vertrauen.
Das ist eigentlich keine Microsoft Teams-Geschichte
The Register titelte die Story als Teams-Sicherheitsvorfall. Das stimmt so nicht ganz. Teams war nur der Kanal. Der eigentliche Exploit war psychologisch - das Opfer glaubte, mit der IT-Hotline auf einer Plattform zu sprechen, die das Unternehmen genehmigt hat, die man nutzen soll und die mit KI-Tools ausgestattet ist, um die Arbeit zu erleichtern.
Das ist wichtig, weil die meisten Unternehmens-Sicherheits- und KI-Governance-Strategien auf einem anderen Bedrohungsmodell basieren. Sie konzentrieren sich darauf, welche Tools Mitarbeiter nutzen: blockieren nicht genehmigte ChatGPT-Tabs, melden, wenn jemand firmeneigene Daten in eine Consumer-KI hochlädt, erkennen Entwickler, die nicht genehmigte LLMs auf Arbeitslaptops ausführen. Alles legitime Anliegen. Aber dieses Bedrohungsmodell geht davon aus, dass das Risiko von Mitarbeitern ausgeht, die schlechte Entscheidungen mit externen Tools treffen.
UNC6692 hat das umgedreht. Der Angreifer musste kein nicht genehmigtes Tool finden. Er fand ein genehmigtes - ein tief vertrautes - und nutzte das Vertrauen aus, das Mitarbeiter darin setzen.
Die Komplikation durch den KI-Copiloten
Hier wird es für KI-Governance besonders interessant.
Teams ist nicht mehr nur eine Chat- und Videoplattform. Für die meisten Microsoft 365-Kunden ist es jetzt die Hauptschnittstelle für Microsoft Copilot - den KI-Assistenten, der Nachrichten entwirft, Meetings zusammenfasst, Fragen beantwortet und Aktionen empfiehlt. Mitarbeiter interagieren mit Copilot über dieselben Nachrichtenstränge, die sie für die Kommunikation mit Kollegen nutzen - und offenbar auch für gelegentliche Angreifer, die sich als Helpdesk ausgeben.
Wenn Sie einen KI-Assistenten in einen Vertrauenskontext einbetten, erhalten Sie einen Vertrauensmultiplikator. Wenn eine legitime Copilot-Nachricht etwa lautet: „Hier ist eine Zusammenfassung Ihres Meetings und drei Aufgaben“, muss die Nachricht eines Angreifers nicht sehr anders aussehen, um denselben kognitiven Rahmen auszunutzen. Menschen haben gelernt, KI-generierten Vorschlägen schnell zu folgen, oft ohne dieselbe kritische Prüfung, die sie bei einer kalten E-Mail anwenden würden.
Wir sagen nicht, dass Copilot selbst kompromittiert oder unsicher ist. Der Punkt ist einfacher: Da KI-Tools immer mehr in die Arbeitsweise der Mitarbeiter integriert werden, wird die psychologische Infrastruktur rund um diese Tools - die Gewohnheit, auf das zu reagieren, was in der Oberfläche erscheint - zu einer Angriffsfläche, die die meisten Governance-Rahmenwerke noch nicht berücksichtigt haben.
Was Governance üblicherweise übersieht
Wenn Sie die meisten CISOs in Unternehmen fragen, ob sie die KI-Nutzung in Teams regeln, lautet die Antwort wahrscheinlich ja. Sie verweisen auf DLP-Richtlinien, bedingten Zugriff, Informationsbarrieren und vielleicht eine Governance-Schicht für Copilot.
Aber KI-Governance in Teams bedeutet meist, zu steuern, was Mitarbeiter Copilot fragen - nicht, was Angreifer durch Teams mit Mitarbeitern anstellen. Das ist ein subtiler Unterschied mit erheblichen Folgen.
Die Snow-Kampagne nutzte eine bösartige Chrome-Erweiterung (SnowBelt), die in einer kopflosen Edge-Instanz ausgeführt wurde, völlig unsichtbar für den Nutzer, während die eigentliche Hintertür stille Befehle über einen verschlüsselten WebSocket-Tunnel ausführte. Nichts davon sah nach KI aus. Nichts hätte eine Standardregel der Copilot-Governance ausgelöst. Der Angriff erfolgte eine Ebene unterhalb dessen, wo die meisten Governance-Tools suchen.
Wirklich effektive KI-Governance muss mehr tun, als nur zu kontrollieren, welche KI-Tools Mitarbeiter verwenden. Sie muss Folgendes berücksichtigen:
Ausnutzung vertrauenswürdiger Kanäle - Angreifer nutzen genehmigte Plattformen (Teams, Slack, E-Mail), um bösartige Payloads zu verbreiten, die traditionelle Perimeterschutzmaßnahmen umgehen. Wenn etwas in einer genehmigten App erscheint, schenken Mitarbeiter ihm ein Vertrauen, das sie einer unerbetenen E-Mail nicht geben würden.
KI-unterstützte Social Engineering-Angriffe - Bedrohungsakteure verwenden zunehmend große Sprachmodelle, um überzeugendere Helpdesk-Imitationen, Phishing und Vishing in großem Maßstab zu erstellen. Die Hürde für eine glaubwürdige Fälschung ist dramatisch gesunken. Ein Angreifer im Jahr 2026 braucht keinen talentierten Schreiber mehr - er braucht nur eine gute Eingabeaufforderung.
KI-Datenexposition nach Kompromittierung - Sobald Angreifer im System sind, werden von Mitarbeitern genutzte KI-Tools zu Schatzkarten. Meeting-Transkripte, Dokumentzusammenfassungen, Workflow-Daten - alles zugänglich über kompromittierte Sitzungen. Wenn ein Angreifer ein Gerät mit Copilot und gültiger Sitzung übernimmt, ist er nicht nur in einem Computer drin. Er ist in einer KI-gestützten Zusammenfassung von allem, was der Nutzer in den letzten Monaten getan, gesagt und geschrieben hat.
Über diesen dritten Punkt wird zu wenig gesprochen. Copilot für Microsoft 365 hat Zugriff auf E-Mails, Kalender, Teams-Nachrichten, SharePoint-Dokumente und Meeting-Aufzeichnungen. Eine kompromittierte Sitzung ist kein Bruch eines einzelnen Kontos - es ist ein Bruch der gesamten operativen Historie dieses Kontos, vorverdaut und durchsuchbar.
Wie gute Governance aussieht
Das bedeutet nicht, dass Sie Teams entfernen oder die Einführung von Copilot stoppen sollten. Das Schiff ist längst abgefahren, und diese Tools verbessern tatsächlich die Produktivität. Es bedeutet, dass die Governance-Schicht über reine Tool-Blacklists hinausgehen muss.
Sichtbarkeit muss den gesamten KI-Stack abdecken. Nicht nur die Tools, die Mitarbeiter selbst installiert haben, sondern die KI, die in jeder Plattform steckt, die sie täglich nutzen. Copilot in Teams, Gemini in Google Workspace, Claude per API in Drittanbieter-Apps. Sie können nur steuern, was Sie sehen, und Anomalien im KI-Tool-Einsatz nur erkennen, wenn Sie eine Vergleichsbasis haben.
Verhaltensmuster sind wichtiger als Tool-Listen. Die UNC6692-Kampagne begann mit einer E-Mail-Flut - ein anomales Verhalten, das erkennbar gewesen wäre. Das Verständnis normaler KI-Nutzungsmuster in Teams und das Markieren von Abweichungen ist der Weg, um legitime, aber schädliche Aktivitäten zu erkennen. Die E-Mail-Flut war ein Signal. Ebenso, wenn ein Mitarbeiter plötzlich mit einem unbekannten externen Teams-Konto interagiert.
KI-Kompetenz der Mitarbeiter muss Social-Engineering-Bewusstsein einschließen. Nicht nur saubere Eingaben - das, was solche Angriffe tatsächlich stoppt. Zu wissen, dass der Helpdesk niemals per Teams-Link zur Installation eines Patches auffordert. Zu wissen, dass Dringlichkeit kombiniert mit ungewöhnlichen Anfragen ein Warnsignal ist, egal über welchen Kanal. Das ist schwerer umzusetzen als eine DLP-Richtlinie, aber die wichtigste Schutzschicht, wenn der Angreifer bereits in Ihrem genehmigten Toolset ist.
Die Snow-Kampagne erinnert daran, dass die Bedrohungslandschaft nicht darauf wartet, dass Organisationen ihre KI-Richtlinien fertigstellen. Angreifer warten nicht darauf, dass Ihr Governance-Rahmenwerk verabschiedet wird. Sie nutzen jetzt das Vertrauen Ihrer Mitarbeiter in KI-nahe Plattformen - dieselben Plattformen, von denen Ihre Governance-Tools wahrscheinlich abraten.
Die Frage ist nicht, ob KI geregelt werden soll. Die Frage ist, ob Ihre Governance in die richtige Richtung schaut.
---
Aona entdeckt jedes KI-Tool und jeden KI-Agenten in Ihrem Unternehmen - einschließlich derjenigen, die in Plattformen eingebettet sind, denen Ihre Mitarbeiter bereits vertrauen. [Buchen Sie eine Demo](/book-demo), um zu sehen, was sich in Ihrer Umgebung befindet.
