Microsofts Kontowiederherstellung ist Sicherheitstheater

Vor ein paar Wochen wurde das Microsoft-Konto meines Sohnes gekapert, und seither habe ich unvernünftig viel Zeit damit verbracht, Microsoft dazu zu bewegen, es uns zurückzugeben.

Ich kenne die Microsoft-Konto-ID. Ich kontrolliere die E-Mail-Adresse, die als diese ID dient. Mein Sohn ist ein Kind in meinem Microsoft-Family-Safety-Konto, in dem ich der Organisator bin. Ich habe den Computer, den er benutzt hat, sein früheres Passwort, seine Geräte-IDs, seine bisherigen Family-Safety-Berichte, Screenshots des Kontos vor und nach der Übernahme sowie die IP-Adresse, von der aus er es normalerweise nutzte.

Microsoft stellt das Konto trotzdem nicht wieder her.

Das Problem ist nicht, dass Microsoft Belege fehlen. Das Problem ist, dass Microsofts Wiederherstellungssystem offenbar nicht in der Lage ist, über Belege nachzudenken, die außerhalb seines Skripts liegen. Genau dort hört Sicherheit auf, Sicherheit zu sein, und wird zum Theater.

Wie das Konto gekapert wurde

Aus Datenschutzgründen sagen wir, das Microsoft-Konto meines Sohnes sei [e-mail].

Wir wissen nicht sicher, wie genau die Übernahme geschah, vermuten aber, dass sie von einem Betrug auf Discord ausging, wo mein Sohn im frühen Teenageralter mit Freunden über Minecraft und andere Spiele redet.

Irgendwann verschaffte sich ein Angreifer Zugang zu seinem Microsoft-Konto und tauschte dessen Wiederherstellungsinformationen aus. Wenn wir nun versuchen, das Konto wiederherzustellen, will Microsoft den Bestätigungscode an br***@securitylock24hrs.net senden.

Das ist nicht unsere E-Mail-Adresse. Sie gehört dem Angreifer. Besonders merkwürdig ist, dass [e-mail] weiterhin die Anmeldeidentität des Microsoft-Kontos ist. Wir kontrollieren dieses iCloud-Konto. Der Angreifer nicht. Trotzdem schickt Microsoft nicht einfach eine Bestätigungsnachricht dorthin.

Stattdessen besteht Microsofts Wiederherstellungssystem darauf, über die Sicherheitsinformationen zu kommunizieren, die der Angreifer geändert hat. Der Angreifer übernimmt das Konto, ändert die Wiederherstellungsadresse, und Microsoft behandelt daraufhin die Adresse des Angreifers als maßgeblicher als die ursprüngliche, immer noch mit dem Konto verknüpfte E-Mail-Adresse.

Für den Angreifer ist das eine recht angenehme Regelung.

Das sieht nach einem bekannten Angriffsmuster aus

Nachdem ich securitylock24hrs.net gesehen hatte, suchte ich nach der Domain und fand sofort andere Leute, die von übernommenen Microsoft-Konten mit Wiederherstellungsadressen bei genau derselben Domain berichteten. Mehrere Microsoft-Q&A-Threads aus dem Jahr 2026 beschreiben Nutzer, die nach einer Kontoübernahme plötzlich unbekannte @securitylock24hrs.net-Adressen sehen. Ein Opfer beschrieb ausdrücklich, dass die Übernahme nach einem Verifizierungsvorgang im Zusammenhang mit einem Minecraft-Discord-Server geschah.

Siehe: Microsoft Q&A: securitylock24hrs.net

Es gibt ein wiedererkennbares Muster:

• Die ursprüngliche Kontoinhaberin verliert den Zugang.
• Die Sicherheitsinformationen werden geändert.
• Eine Wiederherstellungsadresse bei securitylock24hrs.net taucht auf.
• Die rechtmäßigen Inhaber können die normalen Wiederherstellungswege nicht nutzen.

Das sollte ein Signal sein. Stattdessen behandelt Microsofts Wiederherstellungssystem die vom Angreifer neu hinzugefügte Adresse als maßgeblich.

Willkommen im Labyrinth der Wiederherstellung

Microsoft hat durchaus ein Verfahren zur Kontowiederherstellung. Genau genommen mehrere, was Teil des Problems ist. Das übliche Formular verlangt, die Inhaberschaft durch Angaben zum Konto zu belegen. Microsoft sagt, das Formular stelle absichtlich Fragen, die nur die Inhaberin kennen sollte, und empfiehlt, es von einem zuvor genutzten Gerät und Ort abzuschicken.

Siehe: Microsoft Support: Hilfe zum Formular für die Kontowiederherstellung

Das klingt vernünftig, bis man bedenkt, dass es sich um das Konto eines Kindes handelt. Mein Sohn hat über dieses Microsoft-Konto nie etwas gekauft, es gibt also keine brauchbare Kreditkartenhistorie. Er nutzt Outlook nicht für E-Mail, es gibt also keine Betreffzeilen oder Kontakte zu benennen. Er nutzt keine Xbox. Er ist ein Kind, das vor allem deshalb ein Microsoft-Konto hat, weil Windows und Minecraft eines von ihm wollen.

Trotzdem wurde ich im Lauf des Verfahrens nach all dem gefragt:

• ACSR-Nummer: Ich habe das Wiederherstellungsformular viermal eingereicht und nie eine erhalten. Das Verfahren verlangt eine Kennung, die sein eigenes Verfahren nicht geliefert hat.
• Kontakt-E-Mail, Telefonnummer, IP-Adresse, Land, Bundesstaat und Postleitzahl: geliefert. Offenbar nicht ausreichend.
• Zahlungsinformationen und Kaufnachweis: gibt es nicht. Er ist ein Kind und hat über dieses Konto nie etwas gekauft.
• Name und Geburtsdatum des Kindes: Ich habe seinen echten Namen, seinen Spitznamen und sein Online-Pseudonym angegeben. Welches Datum vor Jahren eingetragen wurde, weiß ich nicht, und über Family Safety kann ich es weder einsehen noch prüfen.
• Xbox-Informationen: keine. Mit dem Konto ist keine Xbox verknüpft.
• Erstellungsdatum des Kontos, letzte Anmeldung und letzte Passwortänderung: geschätzt, denn Microsoft kennt diese Historie, und ich finde sie in Family Safety nicht.
• Windows-Geräte-ID: Ich fand die Kennung, auf die Microsoft mich verwies, in einer JSON-Datei und reichte sie ein. Außerdem reichte ich die prominentere Geräte-ID aus den Windows-Einstellungen ein. Immer noch nicht genug.

Irgendwann muss man fragen, wozu all diese Informationen überhaupt erhoben werden, wenn keine davon das Verfahren voranbringen kann.

Microsoft weiß bereits, dass ich sein Elternteil bin

Das Konto meines Sohnes ist ein Kinderkonto in meiner Microsoft-Family-Safety-Familie, und ich bin der Organisator. Microsoft beschreibt Familienorganisatoren als die Administratoren von Familiengruppen. Organisatoren können Berechtigungen, Bildschirmzeit, Inhaltsfilter, Ausgaben, Einwilligungen und Aktivitätsberichte verwalten.

Siehe: Microsoft Support: Microsoft Family Safety einrichten

Ich erhalte weiterhin wöchentlich Microsoft-Family-Safety-E-Mails über das Konto meines Sohnes. Ich habe Microsoft diese Berichte geschickt, auch die von vor und nach der Übernahme. Ich habe ihnen mein eigenes Microsoft-Konto und dessen Beziehung zu seinem gezeigt. Ich habe ihnen den Windows-Rechner gezeigt, der mit dem Konto verknüpft ist. Dieser Rechner fordert meinen Sohn nun immer wieder auf, sich erneut bei Microsoft Family Safety anzumelden, was er nicht kann, weil sein Konto gekapert wurde.

Microsoft vertraut mir genug, um das Kind zu beaufsichtigen, Käufe zu genehmigen, Apps zu beschränken, Aktivitäten zu überwachen und sein digitales Leben zu verwalten, aber nicht genug, um mir bei der Wiederherstellung seines Kontos zu helfen. Family Safety bietet mir keinerlei Möglichkeit, das Microsoft-Konto des Kindes zurückzusetzen. Wenn Microsoft schon eine verifizierte Eltern-Kind-Beziehung pflegt, dann ist die Kontowiederherstellung eine der wichtigsten Situationen, in denen diese Beziehung zählen sollte.

Warum schreibt Microsoft nicht einfach an die iCloud-Adresse?

Hier gibt es ein legitimes Sicherheitsargument. Microsoft unterscheidet zwischen der Anmeldeidentität eines Kontos und seinen festgelegten Sicherheitsinformationen. Eine E-Mail-Adresse, mit der man sich bei einem Microsoft-Konto anmeldet, gilt nicht automatisch als hinreichender Beweis dafür, dass die Person, die dieses Postfach kontrolliert, auch das Konto besitzt.

Auf den ersten Blick wirkt das vernünftig. Man will nicht, dass jemand die Kontrolle über ein externes Postfach erlangt und damit automatisch auch ein Microsoft-Konto übernimmt. Aber Microsoft vertraut im Wiederherstellungsverfahren bereits einem externen Postfach. Wenn Microsoft einen Code an eine festgelegte Wiederherstellungsadresse schickt, verlässt es sich darauf, dass ein anderer E-Mail-Anbieter die empfangende Person authentifiziert.

Ich behaupte nicht, dass die Kontrolle über [e-mail] in jedem Fall automatisch ein Zurücksetzen des Passworts erlauben sollte. Ich behaupte, dass sie ein starker Beleg ist, besonders zusammen mit allem anderen, was Microsoft ohnehin weiß. In unserem Fall hat Microsoft all diese Signale:

• Die ursprüngliche iCloud-Adresse, die mit dem Microsoft-Konto verknüpft ist, und unsere fortdauernde Kontrolle darüber.
• Ein früheres Microsoft-Passwort, ein bekanntes Windows-Gerät und mehrere Gerätekennungen.
• Das über Microsoft Family Safety verknüpfte Elternkonto und jahrelange Aktivitätsberichte.
• Die übliche Haushalts-IP-Adresse, geografische Angaben und Screenshots von vor und nach der Übernahme.
• Eine Wiederherstellungsadresse mit einer Domain, die öffentlich mit anderen Microsoft-Kontoübernahmen in Verbindung steht.

Die vernünftige Sicherheitsantwort lautet nicht, dass das iCloud-Konto alles beweist. Sie lautet, dass das iCloud-Konto eines von vielen starken Signalen ist und dass die frisch geänderte Wiederherstellungsadresse nicht länger als unbezweifelbare Grundwahrheit gelten sollte.

Sicherheitssysteme brauchen eine Notluke zur Wirklichkeit

Das Microsoft-Supportteam scheint einem Skript zu folgen. Ich mache das einer einzelnen Supportkraft nicht zum Vorwurf; sie darf vermutlich nicht davon abweichen. Das Problem ist das Skript.

Microsoft hat die Kontowiederherstellung offenbar vor allem darauf ausgelegt, Social-Engineering-Angriffe gegen Microsoft zu verhindern. Das ist nachvollziehbar. Könnten Supportkräfte Konten frei zurücksetzen, würden Angreifer sie mit gefälschten Anfragen überschütten. Also hat Microsoft das Verfahren abgeriegelt, den Mitarbeitenden jeden Ermessensspielraum genommen und einen Großteil der Prüfung automatisiert.

Damit ist das Verfahren über den Kundendienst schwer auszunutzen. Aber Microsoft hat noch ein zweites Bedrohungsmodell zu bedenken: Was passiert, wenn der Angreifer bereits drinnen ist? Er kommt einmal hinein und ändert die Sicherheitsinformationen. Von diesem Moment an beginnt Microsofts Architektur, die vom Angreifer gelieferten Angaben als Teil des vertrauenswürdigen Kontozustands zu behandeln. Die rechtmäßigen Inhaber müssen derweil jahrelange, obskure Metadaten rekonstruieren, um ein automatisiertes System zufriedenzustellen.

Bei einem wenig genutzten Kinderkonto existieren viele dieser Metadaten gar nicht. Der Angreifer muss das System einmal täuschen. Das Opfer muss die Inhaberschaft immer wieder beweisen.

Es gibt naheliegende Wege, wie Microsoft das verbessern könnte

• Family Safety für die Wiederherstellung nutzbar machen. Eine verifizierte Eltern-Kind-Beziehung sollte ein wichtiges Wiederherstellungssignal sein, mit einem vom Organisator authentifizierten Ablauf.
• Historische Sicherheitsinformationen aufbewahren und nutzen. Wenn eine langjährige externe E-Mail-Adresse unmittelbar vor einer Kontoübernahme verschwindet, sollte eine Betrugsermittlerin diese Historie sehen können.
• Bekannte bösartige Wiederherstellungsdomains erkennen. Eine Domain, die wiederholt mit Kontoübernahmen in Verbindung steht, sollte zusätzliche Prüfung auslösen und nicht wie eine gewöhnliche Kontoaktualisierung wirken.
• Einen echten Eskalationsweg schaffen. Kein weiteres Formular, kein Chatbot, keine Servicekraft ohne Handlungsspielraum. Jemand sollte die vollständige Kontohistorie prüfen und nach der Gesamtheit der Belege entscheiden können.

Warum ich die Domain bei Cloudflare gemeldet habe

Ich habe securitylock24hrs.net außerdem bei Cloudflare gemeldet. Ich habe Cloudflare nicht gebeten, das Microsoft-Konto wiederherzustellen. Ich habe Infrastruktur gemeldet, die der Angreifer nutzt. Wenn eine Domain Teil einer Kontoübernahme-Operation ist, kann eine Meldung an die Unternehmen, die für sie Netzwerkdienste erbringen, dazu beitragen, den Missbrauch untersuchen, unterbrechen oder an den zuständigen Anbieter weiterreichen zu lassen.

Cloudflares Missbrauchsmeldesystem hat meine Eingabe automatisch abgewiesen, offenbar weil das System überlastet war. Ich habe zudem eine Meldung beim Internet Crime Complaint Center des FBI, dem IC3, eingereicht und Microsoft diesen Bericht als zusätzlichen Nachweis übergeben, dass ich den Diebstahl des Kontos förmlich geltend mache. Das Konto meines Sohnes habe ich immer noch nicht zurück.

Das Frustrierende ist, dass das lösbar sein sollte

Ich verlange von Microsoft nicht, mir irgendetwas einfach zu glauben. Prüft das iCloud-Konto. Prüft mein Microsoft-Konto. Prüft das Windows-Gerät. Vergleicht die IP-Historie. Seht euch die Family-Safety-Historie an, den Zeitpunkt der Änderung der Sicherheitsinformationen, die Wiederherstellungsdomain des Angreifers und das frühere Passwort. Seht euch das alles zusammen an.

Genau das soll eine Sicherheitsuntersuchung leisten. Stattdessen scheint Microsofts Verfahren zu fragen, ob ich genügend vorgegebene Felder mit exakt jenen Angaben füllen kann, die sein automatisiertes System erwartet. Das ist nicht dasselbe.

Echte Sicherheit bedeutet, Risiko und Belege zu bewerten. Aufgeführte Sicherheit bedeutet, dem Verfahren zu folgen. Derzeit fühlt sich Microsofts Kontowiederherstellung sehr viel mehr nach Letzterem an. Für das Konto dieses Kindes war es offenbar leichter, dass jemand auf Discord es stiehlt, als dass sein Vater es zurückbekommt. Das ist kein erfolgreiches Sicherheitsmodell. Es ist ein Sicherheitsmodell, das nach einer Übernahme den Angreifer schützt.