Wie MFA gehackt wird – und was dagegen hilft

MFA ist eine gute Sache – aber nicht per se sicher.Matt Fowler KC | shutterstock.com



Multi-Faktor-Authentifizierung erfreut sich wachsender Popularität. Das ist auch den inzwischen ausgereiften Passwordless-Ansätzen zu verdanken, die die User Experience von MFA entscheidend verbessert haben. Davon abgesehen haben insbesondere die MFA-Mandate großer Anbieter wie Microsoft und Google in den vergangenen Jahren erheblich dazu beigetragen, dass immer mehr Unternehmen ihre Authentifizierungspraktiken deutlich ausgebaut haben – über sämtliche Anwendungen hinweg.   



Dennoch wird MFA weiterhin oft unzureichend umgesetzt. So stellt etwa Cisco in seinem „MFA Buyer’s Evaluation Guide“ (Download gegen Daten) fest, dass:




zwar 87 Prozent der Befragten Phishing-resistente MFA-Methoden als sehr bedeutend einschätzen,



gleichzeitig jedoch nur 20 Prozent entsprechende Verfahren implementiert haben.  




Wie wichtig es ist, MFA richtig abzusichern, zeigt ein Blick auf die folgenden Angriffs- und Umgehungstechniken. Anschließend werfen wir einen Blick auf die Strategien, mit denen Sie diesen Einhalt gebieten können.



4 Wege, MFA zu kompromittieren



Teil des Problems ist, dass auch moderne Authentifizierungsprozesse komplex sind: Die Benutzer können per Webportal, Smartphone-App, KI-Anfrage oder API auf eine Anwendung zugreifen. Und dazu eine Vielzahl von Endgeräten nutzen, auf denen wiederum unterschiedliche Betriebssysteme und Browser laufen.



Daher sollten Unternehmen, die ihr MFA-Portfolio testen, besonders sorgfältig vorgehen – und kontinuierlich alle möglichen Umstände und Standorte im Blick behalten, an denen MFA-Codes abgefangen werden können.



1. MFA-Fatigue-Attacken



Bei dieser Angriffsmethode werden in kurzer Zeit zahlreiche Autorisierungsanfragen – in der Regel per SMS-Push-Nachricht – ausgesendet. Solange, bis der Benutzer entnervt aufgibt (oder sich vertippt) und die Anfrage genehmigt.



Wohin die auch als „Push Bombing“ bezeichnete Technik in der Praxis führen kann, zeigte sich bereits im Jahr 2022 beim Transportdienstleister Uber. Es ist nur einer von zahlreichen Gründen dafür, dass SMS-Nachrichten nicht mehr als sicherer Kanal für den zweiten Faktor angesehen werden. Nicht umsonst hat auch Paypal 2026 angekündigt, künftig von dieser Möglichkeit Abstand nehmen zu wollen.



Angriffe dieser Kategorie sind allerdings nicht auf den Mobile-Bereich beschränkt. Denn mit „Push Bombing“ oder auch „Prompt Bombing“ lassen sich auch gezielt Lücken in Authentifizierungs- oder Zugriffskontrollrichtlinien ausnutzen. Die Ironie dabei: Je mehr MFA ein Unternehmen einsetzt, desto wahrscheinlicher wird es, dass ein MFA-Fatigue-Angriff erfolgreich verläuft.



2. Social Engineering



Angreifer nutzen zudem Social Engineering für zielgerichtete MFA-Phishing-Angriffe. Diese können auf Basis von SMS (Smishing) oder auch Sprachanrufen (Vishing) erfolgen – mit dem Ziel, die Benutzer dazu zu verleiten, ihre MFA-Token preiszugeben.



Veränderungen im Nutzerverhalten, wie beispielsweise die vermehrte Nutzung von Remote-Zugängen im Rahmen der Pandemie, werden dabei von Cyberkriminellen ganz gezielt ausgenutzt. Die kombinierten Angriffe sollen User häufig auf gefälschte Webseiten, Echtzeit-Phishing-Relays oder Proxy-Server, locken – mit dem Ziel, One-Time-Passcodes abzufangen. 



Bei mobilen Authentifizierungs-Apps könnte auch SIM-Swapping zum Einsatz kommen, um Einmal-Codes auf das Device eines Angreifers umzuleiten. In der jüngeren Vergangenheit wurden außerdem auch Exploits bekannt, bei denen MFA-Fallback-Optionen mit KI-Unterstützung gezielt ausgenutzt werden.



3. Cookie- und Token-Diebstahl



Kriminelle Hacker können MFA-Sessions auch kompromittieren, indem sie Authentifizierungs-Cookies oder andere Token stehlen. Dazu gibt es diverse Möglichkeiten, etwa über gefälschte Anmeldeseiten sowie „Man-in-the-Middle“- oder „Man-in-the-Browser“-Proxys.



Ein aktuelles Beispiel, wie solche Angriffe möglich werden, liefert eine Sicherheitslücke im Content Management System Joomla, die im April 2026 bekannt wurde: Weil zahlreiche Websites keine Zeitlimits für inaktive Sitzungen durchsetzen, hätten Angreifer zuvor authentifizierte Endgeräte nutzen können, um Cookies zu stehlen und die MFA zu umgehen.



4. Angriffe auf Basis schwacher Authentifizierung



Zwar hat sich die Lage in Unternehmen verbessert, trotzdem wird MFA noch lange nicht flächendeckend eingesetzt. Diese ungeschützten Stellen, beziehungsweise Nutzer, zu finden, ermöglicht Cyberkriminellen gezielte Angriffe mit hohen Erfolgschancen.



Die Hackergruppe hinter der Akira-Ransomware nahm 2023 etwa gezielt Cisco-VPNs ins Visier, die nicht für MFA konfiguriert waren. Mit Brute-Force-Attacken konnten sie die Login-Daten von Benutzern angreifen. Ganz ähnlich nahm auch der schlagzeilenträchtige Angriff auf Colonial Pipeline seinen Lauf: Das Einfallstor war hier ebenfalls ein veraltetes VPN, das ohne MFA betrieben wurde.  



Verwaiste Nutzer- und speziell Admin-Konten können solchen Kompromittierungen ebenfalls Vorschub leisten. Es sind darüber hinaus auch Fälle bekannt, in denen bereits authentifizierte IP-Adressen oder Devices dazu genutzt wurden, Proxy-Server einzurichten, um MFA-Codes abzufangen.



Die nachfolgende Tabelle bietet einen Überblick über die eben thematisierten Exploit- und Bypass-Möglichkeiten im Hinblick auf MFA:



MethodenNetzwerkMobileApplikationenWorkflowBrowser und CookieMFA-FatigueLücken in Auth- und Access-RichtlinienPrompt Bombing, Lücken in Auth- und Access-RichtlinienPrompt BombingPrompt Bombing, Lücken in Auth- und Access-RichtlinienPrompt Bombing, Lücken in Auth- und Access-RichtlinienSocial Engineeringbösartige Proxy-Server, Echtzeit-Phishing-RelayVishing, Smishing, SIM SwappingApps ohne MFA, Fake-Webseiten, TOTP-RelayConsent Phishing, Account-Recovery-MissbrauchConsent Phishing, „Man-in-the-Browser“-AttackenToken- und Cookie-DiebstahlMITM-AngriffeAuth-App-Phishingbösartige MFA-SoftwareSession HijackingSession Hijacking, „Pass-the-Cookie“-AngriffeSchwache Authentifizierungmanipulierte, vertrauenswürdige IPs und Deviceswiederverwendete Passwörter, kein FIDO oder Biometrieschwache PW-Recovery, Accounts ohne MFA, Email-Zugriff über IMAP/POPBereits genutzte Authentifizierungen und Logins, Brute Force MFASession Hijacking, „Pass-the-Cookie“-Angriffe, „Man-in-the-Browser“-Attacken, Consent Phishing



5 Strategien, um MFA besser abzusichern



Angesichts all dieser Exploit-Optionen erfordert es ein hohes Maß an Detailgenauigkeit, um Multi-Faktor-Authentifizierung sicher aufzusetzen. Zudem sollten MFA-Workflows in regelmäßigen Abständen überprüft werden. Die folgenden strategischen Tipps können dazu beitragen, MFA in der Praxis besser umzusetzen.



1. Verstehen, was geschützt werden muss



Für Security-Teams ist es essenziell zu wissen, welche Ressourcen vor einer Kompromittierung geschützt werden sollen.



Die US-Cyberbehörde CISA empfiehlt (PDF), Systeme, die FIDO-Protokolle unterstützen, zuerst in MFA zu integrieren. Für die Praxis heißt das:




Hardware-Keys zu nutzen,



optimierte, biometrische Sicherheitskontrollen einzuziehen, und



die sensibelsten Anwendungen auf passwortlose Authentifizierung umzustellen.




2. Adaptiv authentifizieren



Jede Authentifizierung sollte darüber hinaus in Echtzeit erfolgen – auf Basis kontinuierlicher Risiko-Assessments. Die Sicherheitsanforderungen sollten sich dabei dynamisch und automatisiert an die jeweils aktuellen Aktivitäten der User anpassen.



Das erfordert auch, alte Methoden, bei denen lediglich eine einmalige Zugriffskontrolle bei der Anmeldung erfolgt, zu ersetzen. Es gibt eine ganze Reihe von Tools, die MFA in adaptive Auth-Prozesse integrieren und zusätzlich absichern – etwa durch eine passwortlose Verifizierung.



3. Zugriffsrechte exakt definieren



Als begleitende Maßnahme sollten die Zugriffsrechte von Benutzern und Anwendungen sorgfältig – und regelmäßig – überprüft und bewertet werden.



Dabei gilt es sicherzustellen, dass User ausschließlich Zugriff auf die Daten erhalten, die nötig sind, um ihre Aufgaben zu erfüllen.



Das klingt simpel, ist in der Praxis allerdings nicht immer einfach umzusetzen. Schließlich verändern sich Rollen und Verantwortlichkeiten auch hin und wieder.



4. Passwort-Reset-Workflow prüfen



Der Prozess zur Zurücksetzung von Passwörtern ist ein Aspekt, der in der Vergangenheit oft vernachlässigt wurde. Entsprechend häufig wird er zum Ziel von Angreifern.



„Überraschenderweise gibt es viele Webseiten, die keine zweite Verifizierungsebene für den Passwort-Reset vorsehen oder die zwar MFA anbieten, die User aber nicht zur Nutzung verpflichten“, schreibt Security-Koryphäe Kevin Mitnick in einem Blogbeitrag.



Beschränkungen für fehlgeschlagene Anmeldeversuche und verpflichtende Richtlinien, die es verbieten, Passwörter wiederzuverwenden, können an dieser Stelle helfen.



5. Hochrangige Ziele absichern



Benutzer, die besonders attraktive Ziele für Cyberkriminelle darstellen, gilt es zu identifizieren und zu erfassen – und zwar idealerweise im Zuge der Einführungsphase von MFA.



Dazu gehören User mit besonderen Berechtigungen oder weitläufigem Zugriff, deren Login-Daten für Angreifer von besonderem Wert sind. Etwa:




IT- und Systemadministratoren,



HR-Manager, oder



Mitglieder der Rechtsabteilung.




(fm)









Dieser Artikel ist im Original bei unserer Schwesterpublikation CSOonline.com erschienen.