Die meisten Phishing-Schulungen laufen auf denselben Merksatz hinaus: Schau auf die URL. Steht dort nicht `login.microsoftonline.com`, gib nichts ein. Der Rat ist richtig, aber gegen eine Angriffsmethode, die derzeit spürbar zunimmt, hilft er nicht: Device Code Phishing. Der Grund: Das Opfer landet auf einer echten Microsoft-Seite, tippt sein Passwort in ein echtes Microsoft-Formular und bestätigt eine echte MFA-Anfrage. Trotzdem sitzt am Ende der Angreifer in der Session. Wo