CaptiveCrunch ist eine von Microsoft beobachtete Angriffskampagne, bei der kompromittierte oder manipulierte Gastnetzwerke und Captive Portals genutzt werden, um Reisende auf schädliche Inhalte umzuleiten. Besonders im Fokus stehen Geschäftsreisende, die sich in Hotels, Konferenzzentren oder anderen öffentlichen WLANs anmelden. Die Angreifer können gefälschte Update-Seiten ausspielen, Schadsoftware verteilen und den legitimen Microsoft-Device-Code-Flow für Phishing missbrauchen.

Das Gefährliche daran: Der Nutzer muss nicht auf eine verdächtige E-Mail klicken. Schon der normale Ablauf „WLAN auswählen, Anmeldeseite öffnen, Internet nutzen“ kann manipuliert werden. Genau deshalb sollten Unternehmen öffentliche und Hotel-WLANs grundsätzlich als nicht vertrauenswürdig behandeln.

Kurz erklärt: Bei CaptiveCrunch wird nicht zwingend das Notebook selbst zuerst angegriffen. Stattdessen manipulieren die Täter Netzwerkverkehr hinter Gastzugängen. Dadurch können legitime Webseitenaufrufe auf gefälschte Seiten oder schädliche Inhalte umgeleitet werden.

Was ist CaptiveCrunch?

CaptiveCrunch ist die Bezeichnung, die Microsoft Threat Intelligence für eine seit Anfang Mai 2026 beobachtete Kampagne verwendet. Microsoft ordnet die Aktivität Storm-2945 zu, einem operativen Teilbereich von Midnight Blizzard. Diese Gruppe wird von Microsoft als russischer staatlich unterstützter Bedrohungsakteur beschrieben.

Im Unterschied zu klassischem E-Mail-Phishing greift CaptiveCrunch den Internetzugang selbst an. Microsoft beobachtete Manipulationen von DNS- und HTTP-Verkehr in Netzwerken, die über Captive Portals bereitgestellt werden. Solche Portale sind die Anmeldeseiten, die beispielsweise in Hotels oder Konferenzzentren erscheinen, bevor der eigentliche Internetzugang freigeschaltet wird.

Microsoft betont, dass die Untersuchung des ursprünglichen Einbruchswegs in die betroffenen Gastnetz-Infrastrukturen noch läuft. Auffällige Gemeinsamkeiten bei verwendeten Systemen und Management-Plattformen deuten laut Microsoft darauf hin, dass nicht nur einzelne Hotels isoliert betroffen sein könnten.

Warum ist Hotel-WLAN für Geschäftsreisende ein attraktives Ziel?

Geschäftsreisende arbeiten häufig unterwegs mit Cloud-Diensten wie Microsoft 365, Teams, SharePoint oder Outlook. Das macht sie für Angreifer interessant. Wer einen gültigen Cloud-Zugang oder ein aktives Sitzungstoken erbeutet, muss nicht unbedingt zuerst das Firmennetzwerk direkt angreifen.

Hinzu kommt ein psychologischer Vorteil für die Täter: Nutzer erwarten bei einem Hotel-WLAN ohnehin zusätzliche Webseiten, Anmeldeformulare und Hinweise. Eine angebliche Sicherheitsprüfung, ein Browser-Update oder eine erneute Microsoft-Anmeldung wirkt in dieser Situation oft weniger verdächtig als dieselbe Aufforderung während der Arbeit im Büro.

Genau diese Erwartungshaltung macht Captive Portals zu einer wirkungsvollen Angriffsfläche.

So läuft ein CaptiveCrunch-Angriff ab

Der genaue Ablauf kann variieren. Microsoft hat jedoch mehrere wiederkehrende Techniken beschrieben.

1. Der Nutzer verbindet sich mit einem Gastnetz

Der Reisende verbindet sich beispielsweise mit dem WLAN eines Hotels oder Konferenzzentrums. Für ihn sieht der Zugang zunächst normal aus. Das WLAN kann sogar tatsächlich zum jeweiligen Veranstaltungsort gehören.

2. Netzwerkverkehr wird manipuliert

Microsoft hat beobachtet, dass Storm-2945 DNS- und HTTP-Verkehr aus Netzwerken hinter Captive Portals manipuliert. Dadurch lassen sich Nutzer über Infrastruktur der Angreifer umleiten.

3. Gefälschte Updates oder Sicherheitsmeldungen erscheinen

Eine Variante zeigt angebliche Browser-, Windows- oder Sicherheitsupdates. Solche Meldungen wirken plausibel, weil Nutzer gerade erst ein fremdes Netzwerk betreten haben und möglicherweise ohnehin mit einer Sicherheitsprüfung rechnen.

Microsoft weist ausdrücklich darauf hin, keine Softwareupdates, Zertifikate, Browserupdates, Netzwerk-Tools oder Sicherheitsprogramme zu installieren, die unerwartet über ein Captive Portal angeboten werden.

4. Malware wird installiert

Bei erfolgreicher Täuschung kann unter anderem die von Microsoft beschriebene Schadsoftware CornFlake auf Windows-Systemen installiert werden. CornFlake ist ein Remote-Access-Trojaner mit umfangreichen Überwachungs- und Datendiebstahl-Funktionen.

Microsoft dokumentiert unter anderem Keylogging, Clipboard-Überwachung, Screenshots, Mikrofon- und Webcam-Zugriff, Browser-Credential-Diebstahl, Dateiexfiltration und Remote-Shell-Funktionen.

5. Cloud-Zugänge werden angegriffen

Neben Malware spielt auch Device-Code-Phishing eine wichtige Rolle. Seit Mitte Juli 2026 beobachtete Microsoft CaptiveCrunch-Landingpages, die Nutzer in solche Anmeldeabläufe leiten.

Warum Device-Code-Phishing so gefährlich ist

Der Device-Code-Flow ist ursprünglich eine legitime OAuth-Anmeldefunktion. Er wird beispielsweise für Geräte verwendet, die keine komfortable Tastatur oder keinen vollständigen Browser besitzen.

Bei einem normalen Ablauf zeigt ein Gerät einen Code an. Der Nutzer öffnet anschließend auf einem anderen Gerät eine legitime Microsoft-Anmeldeseite und bestätigt diesen Code.

Beim Phishing starten die Angreifer den Vorgang jedoch selbst. Anschließend bringen sie das Opfer dazu, den von ihnen erzeugten Code auf der echten Microsoft-Seite einzugeben. Dadurch kann der Nutzer unbemerkt die Sitzung des Angreifers autorisieren.

Wichtig: Die echte Microsoft-Anmeldeseite ist kein Beweis dafür, dass die Anmeldung legitim ist. Entscheidend ist, ob Sie den Device-Code-Vorgang selbst bewusst auf einem eigenen Gerät gestartet haben.

Microsoft stuft den Device-Code-Flow als besonders risikoreich ein und empfiehlt, ihn überall dort zu blockieren, wo er nicht erforderlich ist.

Kann CaptiveCrunch MFA umgehen?

Mehrfaktor-Authentifizierung bleibt wichtig, schützt aber nicht automatisch vor jeder Form von Device-Code-Phishing. Wird ein Nutzer dazu gebracht, einen fremd gestarteten Device-Code-Vorgang selbst zu bestätigen, kann er trotz erfolgreicher MFA den Zugriff des Angreifers autorisieren.

Deshalb sollten Unternehmen nicht nur irgendeine MFA einsetzen. Microsoft empfiehlt den breiten Einsatz phishing-resistenter passwortloser Authentifizierung, etwa mit Passkeys, Windows Hello for Business oder FIDO2-Sicherheitsschlüsseln, und deren Durchsetzung über Conditional Access.

Weitere Informationen zu diesem Thema finden Sie auch in unserem Beitrag zur Multi-Faktor-Authentifizierung für Unternehmen.

Welche Schadsoftware setzt CaptiveCrunch ein?

Microsoft beschreibt mehrere Werkzeuge. Besonders relevant ist CornFlake, ein in Go geschriebener Windows-Remote-Access-Trojaner. Nach der Installation kann sich die Schadsoftware dauerhaft im System verankern und unterschiedliche Datensammlungsfunktionen aktivieren.

Dazu gehören unter anderem:

  • Tastatureingaben mitschneiden, auch in Passwortfeldern
  • Zwischenablage überwachen
  • Screenshots aufnehmen
  • Mikrofon und Webcam verwenden
  • Browser-Cookies und gespeicherte Zugangsdaten auslesen
  • Dateien gezielt sammeln und übertragen
  • USB-Laufwerke erkennen und untersuchen
  • Befehle über cmd.exe oder PowerShell ausführen

Zusätzlich beschreibt Microsoft ChocoShell, einen PowerShell-basierten Infostealer. Dieses Werkzeug zielt unter anderem auf Browser-Sitzungscookies, gespeicherte Passwörter, Microsoft-365-SSO-Tokens und WLAN-Zugangsdaten.

So schützen sich Geschäftsreisende im Hotel-WLAN

Microsoft empfiehlt, Hotel-, Flughafen-, Konferenz- und andere Gastnetzwerke grundsätzlich als nicht vertrauenswürdig zu behandeln. Daraus lassen sich einige klare Regeln für den Alltag ableiten.

Mobile Daten bevorzugen

Wenn möglich, sollte eine private Mobilfunkverbindung einem öffentlichen WLAN vorgezogen werden. Das kann über den persönlichen Hotspot, eine eSIM oder ein dafür vorgesehenes mobiles Firmengerät erfolgen.

Keine Updates über WLAN-Anmeldeseiten installieren

Ein Browser-, Windows- oder Sicherheitsupdate sollte nicht über ein Captive Portal heruntergeladen werden. Starten Sie Updates ausschließlich über die bekannten Funktionen des Betriebssystems oder der jeweiligen Anwendung.

Keine Zertifikate aus unbekannten Quellen installieren

Fordert eine WLAN-Anmeldeseite dazu auf, ein Zertifikat, eine Sicherheitssoftware oder ein Netzwerk-Tool zu installieren, sollte der Vorgang abgebrochen und intern geprüft werden.

Device Codes nur bei selbst gestarteten Vorgängen verwenden

Ein Microsoft-Code sollte niemals eingegeben werden, nur weil eine Webseite oder ein angeblicher Support-Mitarbeiter dazu auffordert. Prüfen Sie zuerst, ob Sie selbst unmittelbar zuvor einen Device-Code-Login gestartet haben.

Firmen-VPN und Unternehmensrichtlinien nutzen

Wenn Ihr Unternehmen für Reisen einen verwalteten VPN-, Secure-Access- oder Travel-Router-Zugang vorgibt, sollte dieser konsequent verwendet werden. Wichtig ist jedoch: Ein VPN schützt nicht vor jeder Social-Engineering-Methode. Wer eine Schadsoftware installiert oder einen fremden Device-Code bestätigt, kann auch mit aktivem VPN kompromittiert werden.

Was Unternehmen gegen CaptiveCrunch tun sollten

Device-Code-Flow nur dort erlauben, wo er wirklich benötigt wird

Microsoft empfiehlt ausdrücklich, den Device-Code-Flow möglichst zu blockieren. In Microsoft Entra ID lässt sich dies über Conditional Access steuern. Vor einer vollständigen Sperre sollte geprüft werden, ob bestimmte Konferenzraumgeräte, Shared Devices oder andere Systeme diesen Flow tatsächlich benötigen.

Phishing-resistente Anmeldung ausrollen

Passkeys, FIDO2-Sicherheitsschlüssel und Windows Hello for Business reduzieren das Risiko klassischer Phishing-Szenarien erheblich. Microsoft empfiehlt, phishing-resistente passwortlose Anmeldeverfahren möglichst breit einzuführen.

Conditional Access einsetzen

Conditional Access kann zusätzliche Signale wie Gerätestatus, Risiko, Standort und Authentifizierungsstärke auswerten. Unternehmen können damit beispielsweise den Zugriff auf sensible Ressourcen auf verwaltete Geräte beschränken oder riskante Anmeldungen blockieren.

Reiserichtlinien definieren

Geschäftsreisende sollten eine kurze, klare IT-Sicherheitsregel erhalten: öffentliche WLANs nur wenn nötig, keine Software aus Captive Portals, keine unerwarteten Device Codes bestätigen und verdächtige Anmeldeaufforderungen sofort melden.

MDM und verwaltete Geräte nutzen

Microsoft nennt als weitere Möglichkeit, auf verwalteten Endgeräten nicht freigegebene WLAN-Verbindungen einzuschränken. Ob dies praktikabel ist, hängt von der Geräteverwaltung und den Reiseanforderungen des Unternehmens ab.

Woran erkenne ich einen möglichen CaptiveCrunch-Angriff?

Einzelne Anzeichen beweisen keinen Angriff. Mehrere Auffälligkeiten zusammen sollten aber ernst genommen werden:

  • Die Hotel-WLAN-Seite fordert plötzlich ein Browser- oder Windows-Update.
  • Sie sollen PowerShell, cmd.exe oder andere Befehle ausführen.
  • Ein Zertifikat oder angebliches Sicherheitsprogramm soll installiert werden.
  • Sie werden unerwartet zu einer Microsoft-Anmeldung weitergeleitet.
  • Sie sollen einen Device Code eingeben, obwohl Sie keinen Login gestartet haben.
  • Nach der WLAN-Anmeldung erscheinen ungewöhnliche Sicherheits- oder Reparaturmeldungen.

Gerade sogenannte ClickFix-Anweisungen, bei denen Nutzer Befehle kopieren und selbst ausführen sollen, bewertet Microsoft als klares Warnsignal.

Was tun bei Verdacht auf eine Kompromittierung?

Wer in einem Hotel-WLAN eine verdächtige Datei installiert, einen unerwarteten Device Code bestätigt oder einen anderen ungewöhnlichen Vorgang durchgeführt hat, sollte nicht einfach weiterarbeiten.

  1. Verbindung trennen. Öffentliches WLAN deaktivieren und das Gerät nicht erneut mit dem Firmennetz verbinden.
  2. IT oder Sicherheitsverantwortliche informieren. Möglichst genau beschreiben, welche Seite, Datei oder Anmeldeaufforderung angezeigt wurde.
  3. Aktive Cloud-Sitzungen prüfen und gegebenenfalls widerrufen.
  4. Anmeldeprotokolle in Microsoft Entra ID untersuchen. Besonders auf unbekannte Geräte, IP-Adressen und Device-Code-Anmeldungen achten.
  5. Endgerät untersuchen lassen. Bei möglicher Malware-Installation reicht ein Passwortwechsel allein nicht.
  6. Anmeldemethoden und Postfachregeln prüfen. Unbekannte MFA-Methoden oder Weiterleitungsregeln können auf eine Kontoübernahme hinweisen.

Häufige Fragen zu CaptiveCrunch und Hotel-WLAN

Ist jedes Hotel-WLAN unsicher?

Nein. CaptiveCrunch bedeutet nicht, dass jedes Hotel-WLAN kompromittiert ist. Microsoft empfiehlt Unternehmen und Reisenden dennoch, öffentliche und Hospitality-Netzwerke grundsätzlich als nicht vertrauenswürdig zu behandeln.

Reicht ein VPN als Schutz?

Ein verwalteter VPN- oder Secure-Access-Tunnel kann Netzwerkverkehr schützen, verhindert aber nicht automatisch Social Engineering. Wer selbst Schadsoftware installiert oder einen fremden Device-Code-Vorgang autorisiert, kann trotz VPN kompromittiert werden.

Ist MFA bei CaptiveCrunch nutzlos?

Nein. MFA bleibt eine wichtige Schutzschicht. Allerdings kann Device-Code-Phishing Nutzer dazu bringen, eine fremde Anmeldung selbst zu autorisieren. Deshalb empfiehlt sich phishing-resistente MFA beziehungsweise passwortlose Authentifizierung.

Was ist ein Captive Portal?

Ein Captive Portal ist eine vorgeschaltete Webseite, die vor der Nutzung eines Gastnetzwerks angezeigt wird. Dort müssen Nutzer häufig Nutzungsbedingungen akzeptieren, Zimmerdaten eingeben oder andere Zugangsschritte durchführen.

Was ist Device-Code-Phishing?

Beim Device-Code-Phishing startet ein Angreifer einen legitimen Geräte-Anmeldevorgang und bringt das Opfer dazu, den dazugehörigen Code auf einer echten Microsoft-Seite zu bestätigen. Dadurch kann die Sitzung des Angreifers autorisiert werden.

Was ist CornFlake?

CornFlake ist ein von Microsoft im Zusammenhang mit CaptiveCrunch beschriebenes Windows-Remote-Access-Trojaner. Er kann unter anderem Eingaben, Browserdaten, Dateien, Screenshots sowie Kamera- und Mikrofoninformationen erfassen.

Wie können Unternehmen den Device-Code-Flow blockieren?

Microsoft Entra ID bietet dafür Conditional-Access-Richtlinien. Microsoft empfiehlt, Device Code Flow nur dort zuzulassen, wo er geschäftlich notwendig ist, und ihn ansonsten zu blockieren.

Sind nur Windows-Geräte betroffen?

Microsoft hat vor allem Windows-Malware detailliert beschrieben, weist aber auch auf Hinweise hin, dass Android-Geräte mit ähnlichen Techniken angesprochen werden könnten. Unternehmen sollten deshalb nicht nur Windows-Systeme berücksichtigen.

Fazit: Hotel-WLAN nicht als vertrauenswürdiges Firmennetz behandeln

CaptiveCrunch zeigt, warum ein bekanntes WLAN und eine echte Microsoft-Anmeldeseite allein keine ausreichenden Vertrauenssignale mehr sind. Die Kampagne kombiniert manipulierte Gastnetzwerke, Social Engineering, Malware und Device-Code-Phishing zu einem Angriff, der besonders auf Reisende zugeschnitten ist.

Für Anwender gilt: mobile Daten bevorzugen, keine Software oder Zertifikate aus Captive Portals installieren und Device Codes nur bei selbst gestarteten Anmeldevorgängen bestätigen. Für Unternehmen gehören Conditional Access, phishing-resistente Anmeldung, verwaltete Endgeräte und klare Reiserichtlinien zu den wichtigsten Schutzmaßnahmen.

Wenn Sie prüfen möchten, wie Ihr Microsoft-365-Tenant gegen solche Angriffe aufgestellt ist, unterstützen wir Sie bei IT-Sicherheit, Microsoft 365 und sicheren Zugriffsrichtlinien. Eine kurze Überprüfung zeigt oft bereits, wo unnötige Risiken bestehen.

Quellen

Haben Sie Fragen zu Ihrer IT-Sicherheit?

Kostenloses Erstgespräch