Wenn Angreifer MFA überwinden
Multi-Faktor-Authentifizierung schützt zuverlässig vor vielen Angriffen auf Benutzerkonten. Doch moderne Phishing-Methoden zielen zunehmend nicht mehr nur auf Passwörter, sondern auf bereits bestätigte Sitzungen. AiTM-Phishing zeigt, warum Unternehmen MFA weiterhin brauchen, sich darauf allein aber nicht verlassen sollten.
Multi-Faktor-Authentifizierung, kurz MFA, gehört heute zu den wichtigsten Schutzmaßnahmen für Benutzerkonten. Selbst wenn ein Passwort durch Phishing oder ein Datenleck in falsche Hände gerät, fehlt einem Angreifer normalerweise noch der zweite Faktor.
Doch moderne Phishing-Angriffe gehen weiter. Statt nur Passwörter zu stehlen, versuchen Angreifer zunehmend, eine bereits erfolgreich authentifizierte Sitzung zu übernehmen.
Eine Methode dafür ist Adversary-in-the-Middle-Phishing, kurz AiTM.
Was passiert nach der erfolgreichen Anmeldung?
Wer sich beispielsweise bei Microsoft 365 anmeldet, muss nicht bei jedem Klick erneut Benutzername, Passwort und zweiten Faktor eingeben. Nach erfolgreicher Authentifizierung erhält der Browser eine gültige Sitzung.
Genau diese Sitzung wird zum Angriffsziel.
Bei einem AiTM-Angriff schaltet sich eine manipulierte Webseite zwischen Nutzer und echten Anmeldedienst. Der Nutzer gibt sein Passwort ein und bestätigt anschließend wie gewohnt den zweiten Faktor.
Die Daten werden in Echtzeit an den legitimen Dienst weitergeleitet.
Aus Sicht des Dienstes ist die Anmeldung korrekt erfolgt. Gleichzeitig kann der Angreifer versuchen, die anschließend erzeugten Sitzungsinformationen abzugreifen.
Auch Microsoft beschreibt AiTM-Phishing als Angriffsmethode, bei der Anmeldedaten und Sitzungscookies abgefangen werden können, um eine bereits authentifizierte Sitzung zu übernehmen (https://learn.microsoft.com/de-de/defender-xdr/session-cookie-theft-alert)
Der Angreifer umgeht MFA also nicht direkt. Er versucht, die bereits durch MFA bestätigte Sitzung zu übernehmen.
Kein theoretisches Szenario
Dass diese Methode praktisch eingesetzt wird, zeigen aktuelle Angriffskampagnen.
Microsoft beobachtete beispielsweise im April 2026 eine mehrstufige Phishing-Kampagne gegen mehr als 35.000 Nutzer in über 13.000 Organisationen. Dabei kam unter anderem AiTM-Phishing zum Einsatz.
Ein kompromittiertes Konto kann anschließend weitreichende Folgen haben. Angreifer können E-Mails lesen, bestehende Kommunikation auswerten, Postfachregeln verändern oder weitere Phishing-Nachrichten über ein echtes Geschäftskonto verschicken.
Gerade letzteres erhöht die Erfolgschancen weiterer Angriffe erheblich: Eine Nachricht von einem tatsächlich existierenden Mitarbeiter-, Kunden- oder Lieferantenkonto wirkt deutlich vertrauenswürdiger als eine klassische Phishing-Mail.
Bedeutet das, dass MFA nicht mehr schützt?
Nein.
MFA bleibt eine zentrale Sicherheitsmaßnahme und verhindert viele Angriffe, bei denen Kriminelle lediglich Benutzername und Passwort erbeuten.
Die entscheidende Erkenntnis lautet vielmehr:
MFA sollte nicht die einzige Verteidigungslinie sein.
Unternehmen sollten zusätzlich prüfen, unter welchen Bedingungen ein Zugriff auf sensible Systeme erlaubt wird.
Nicht jede MFA-Methode bietet den gleichen Schutz
Zwischen SMS-Code, Push-Bestätigung und modernen phishing-resistenten Verfahren bestehen erhebliche Unterschiede.
Besonders widerstandsfähig gegen Phishing sind beispielsweise FIDO2-Sicherheitsschlüssel und Passkeys. Sie können die Authentifizierung technisch an den tatsächlichen Dienst binden und erschweren dadurch den Missbrauch über zwischengeschaltete Phishing-Seiten.
Für besonders sensible Konten sollte daher geprüft werden, ob klassische MFA-Verfahren noch ausreichend sind.
Zugriffe stärker absichern
Neben der Authentifizierung sollte auch der Kontext eines Zugriffs berücksichtigt werden.
Unternehmen können beispielsweise prüfen:
- Ist das verwendete Gerät bekannt und verwaltet?
- Kommt die Anmeldung aus einer ungewöhnlichen Region?
- Entspricht das Gerät den Sicherheitsanforderungen?
- Ist das Verhalten für diesen Nutzer ungewöhnlich?
Solche Regeln werden beispielsweise über Conditional Access umgesetzt. Ein korrekter zweiter Faktor führt dann nicht automatisch dazu, dass jeder Zugriff akzeptiert wird.
Auch die Reaktion auf Vorfälle muss angepasst werden
Besteht der Verdacht auf ein kompromittiertes Benutzerkonto, reicht ein Passwortwechsel unter Umständen nicht aus.
Denn bei einem AiTM-Angriff kann der Angreifer bereits über eine gültige Sitzung verfügen.
Im Ernstfall sollten deshalb auch aktive Sitzungen beendet beziehungsweise Tokens widerrufen, verdächtige MFA-Änderungen überprüft und manipulierte Postfachregeln kontrolliert werden.
Was Unternehmen jetzt prüfen sollten
MFA bleibt Pflicht. Unternehmen sollten jedoch zusätzlich überprüfen, welche MFA-Verfahren eingesetzt werden, ob besonders sensible Konten stärker geschützt werden müssen und welche Zugriffsregeln für Cloud-Dienste gelten.
Auch Security Awareness bleibt relevant. Mitarbeitende müssen verstehen, dass selbst professionell gestaltete Login-Seiten und bekannte Cloud-Dienste Teil eines Phishing-Angriffs sein können.
AiTM-Phishing zeigt damit vor allem eines: IT-Sicherheit darf nicht von einer einzelnen Schutzmaßnahme abhängen.
Entscheidend ist ein mehrstufiges Sicherheitskonzept, das auch dann noch greift, wenn eine einzelne Verteidigungslinie überwunden wird.
AiTM-Phishing zeigt damit vor allem eines: Wirksame IT-Sicherheit entsteht durch mehrere aufeinander abgestimmte Schutzmaßnahmen. Neben technischen Kontrollen spielen dabei auch sichere Konfigurationen, regelmäßige Überprüfungen und sensibilisierte Mitarbeitende eine wichtige Rolle.
Als IT-Sicherheitsdienstleister unterstützt pen.sec Unternehmen dabei, genau diese Ebenen realistisch zu überprüfen, beispielsweise durch Penetrationstests, Phishing-Simulationen und Security-Awareness-Maßnahmen.