Jenseits des Prompts: Warum MFA allein Ihre Daten nicht ausreichend schützt

Von Mirko Peters · 2026-08-28

Willkommen zurück, liebe Security-Enthusiasten! Wenn Sie ähnlich denken wie ich, erinnern Sie sich wahrscheinlich an die kollektive Erleichterung in der Tech-Community, als die Multi-Faktor-Authentifizierung (MFA) breite Verwendung fand. Jahrelang haben wir uns auf anfällige, leicht zu erratende Passwörter verlassen. MFA sollte die Wunderwaffe sein, das digitale Kraftfeld, das Hacker ein für alle

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Willkommen zurück, liebe Security-Enthusiasten! Wenn Sie ähnlich denken wie ich, erinnern Sie sich wahrscheinlich an die kollektive Erleichterung in der Tech-Community, als die Multi-Faktor-Authentifizierung (MFA) breite Verwendung fand. Jahrelang haben wir uns auf anfällige, leicht zu erratende Passwörter verlassen. MFA sollte die Wunderwaffe sein, das digitale Kraftfeld, das Hacker ein für alle Mal fernhält. Wir empfehlen unseren Kunden, Freunden und Kollegen, sie überall zu aktivieren. Bankkonten, soziale Netzwerke, Arbeitsportale: Wenn es eine Anmeldemaske gibt, wird MFA eingerichtet, und die Sache ist erledigt.

Doch die unbequeme Wahrheit, mit der wir uns heute auseinandersetzen müssen, lautet: MFA reicht nicht aus. Wer sich allein darauf verlässt, geht ein gefährliches Risiko ein. Cyberkriminelle haben sich weiterentwickelt, und die raffinierten Bedrohungen für unsere Netzwerke umgehen klassische MFA-Abfragen, als wären sie gar nicht vorhanden.

In diesem Beitrag entlarven wir die Illusion absoluter Sicherheit, sehen uns die gravierenden Schwachstellen moderner Multi-Faktor-Systeme an und zeigen, was es tatsächlich braucht, um eine robuste Verteidigungsstrategie aufzubauen – in einer Welt, in der Passwörter und Standard-Tokens regelmäßig kompromittiert werden. Ob Sie als IT-Profi eine Unternehmensumgebung absichern oder einfach Ihr digitales Leben schützen möchten: Diese Risiken zu verstehen, ist unverzichtbar. Legen wir los.

Das Wichtigste in Kürze

• MFA ist keine narrensichere Lösung. Sie kann die Datensicherheit allein nicht garantieren.
• Phishing-Angriffe können MFA umgehen, indem sie Benutzer dazu bringen, ihre Anmeldedaten preiszugeben.
• OAuth-Zustimmungsangriffe ermöglichen unautorisierten Zugriff, selbst nachdem MFA abgeschlossen wurde.
• SIM-Swapping kann SMS-basierte MFA-Codes abfangen und die Sicherheit gefährden.
• Session Hijacking nutzt aktive Sitzungen aus und ermöglicht Angreifern, MFA zu umgehen.
• Probleme bei der Benutzerfreundlichkeit können dazu führen, dass MFA aufgegeben wird, was die Angreifbarkeit erhöht.
• Erwägen Sie den Einsatz von Passwort-Managern, um die Sicherheit zu erhöhen und Passwörter effektiv zu verwalten.
• Setzen Sie auf ein Zero-Trust-Sicherheitsmodell, um Benutzeridentitäten kontinuierlich zu überprüfen und den Zugriff zu begrenzen.

MFA-Schwachstellen

Phishing-Angriffe

Überblick über Phishing

Phishing-Angriffe gehören nach wie vor zu den häufigsten Bedrohungen für die Datensicherheit. Dabei werden Sie getäuscht, sodass Sie vertrauliche Informationen preisgeben, etwa Passwörter oder Authentifizierungscodes. Cyberkriminelle nutzen häufig Social-Engineering-Taktiken, um Sie dazu zu bringen, diese Daten herauszugeben. Sie versenden E-Mails, die echt wirken, und verleiten Sie dazu, auf schädliche Links zu klicken oder gefährliche Anhänge herunterzuladen.

Phishing-Angriffe können die Multi-Faktor-Authentifizierung umgehen (MFA), und zwar mithilfe von Techniken wie Adversary-in-the-Middle-Phishing (AiTM) und Token-Diebstahl. Diese Methoden nutzen Schwachstellen im Authentifizierungsprozess aus und ermöglichen unautorisierten Zugriff, ohne dass MFA-Abfragen abgeschlossen werden müssen. Die Häufigkeit solcher Angriffe nimmt zu, und der Einsatz dieser Techniken hat in den letzten Jahren deutlich zugenommen.

Praxisbeispiele

Die folgenden Techniken setzen Angreifer ein, um MFA zu überwinden:

• Social Engineering: Angreifer nutzen menschliche Schwächen aus, indem sie Sie über Phishing-E-Mails oder Anrufe dazu bringen, Authentifizierungscodes oder Anmeldedaten preiszugeben.
• MFA-Fatigue-Angriff: Angreifer überhäufen Sie mit MFA-Anfragen, bis Sie aus Frust eine Anfrage genehmigen.
• SMS-OTP-Angriffe: Techniken wie SIM-Swapping ermöglichen es Angreifern, SMS-basierte Einmalpasswörter abzufangen und so MFA zu umgehen.

In den vergangenen Jahren haben sich Phishing-Kampagnen zu hochentwickelten Angriffen weiterentwickelt. AiTM-Kampagnen schalten sich beispielsweise zwischen Sie und legitime Dienste und erfassen dabei sowohl Ihre Anmeldedaten als auch MFA-Token. Auf diese Weise können Angreifer auf Konten zugreifen, ohne die MFA auszulösen. Bei Token-Diebstahl werden Authentifizierungstoken gestohlen. Damit erhalten Angreifer unberechtigten Zugriff, ohne das Passwort zu kennen oder eine MFA-Abfrage abzuschließen.

OAuth-Zustimmungsangriffe

So funktioniert die OAuth-Zustimmung

Bei OAuth-Zustimmungsangriffen werden Sie dazu gebracht, Berechtigungen für schädliche Anwendungen zu erteilen. Diese Angriffe zielen auf die Autorisierungsebene statt auf den Authentifizierungsprozess. Sobald Sie die Zustimmung erteilt haben, erhalten Angreifer Zugriffstoken, die unabhängig von MFA funktionieren und dauerhaften Zugriff auf Ihre Konten ermöglichen.

Risiken unberechtigten Zugriffs

Die Risiken von OAuth-Zustimmungsangriffen sind erheblich. Angreifer können auch dann auf Ihre Daten zugreifen, wenn die MFA bereits abgeschlossen wurde. Das bedeutet, dass klassische Sicherheitsmaßnahmen wie MFA nicht vor unberechtigtem Zugriff schützen, sobald die Zustimmung erteilt wurde. Aktuelle Trends zeigen einen deutlichen Anstieg schädlicher Unternehmensanwendungen, die es auf Clients von Microsoft 365 abgesehen haben.

SIM-Swapping

So funktioniert SIM-Swapping

Beim SIM-Swapping verschaffen sich Angreifer die Kontrolle über Ihre Telefonnummer, indem sie Ihren Mobilfunkanbieter dazu bringen, die Nummer auf eine neue SIM-Karte zu übertragen. Auf diese Weise können sie SMS-Nachrichten abfangen, auch solche mit MFA-Codes.

Fallstudien

Die Verbreitung von SIM-Swapping-Angriffen hat stark zugenommen. Die Federal Trade Commission (FTC) meldete zwischen 2021 und 2022 einen Anstieg von 400 % bei SIM-Swapping-Angriffen. Eine Studie der Princeton University aus dem Jahr 2020 ergab, dass 80 % der ersten Versuche von SIM-Swap-Betrug erfolgreich waren, vor allem wegen schwacher Authentifizierungsmethoden bei Telekommunikationsanbietern.

Im September 2023 wurde Ethereum-Mitgründer Vitalik Buterin Ziel eines SIM-Swapping-Angriffs, durch den Hacker seinen Twitter-Account übernehmen konnten. Ein Mitarbeiter von Kroll wurde im August 2023 ebenfalls Opfer eines SIM-Swapping-Angriffs, was zu unberechtigtem Zugriff auf sensible Unternehmensinformationen führte.

Die Folgen von SIM-Swapping-Angriffen können gravierend sein:

• Angreifer können per SMS gesendete MFA-Codes abfangen und so unberechtigten Zugriff auf Konten erhalten.
• Zugriff auf sensible Informationen kann zu Datenschutzverletzungen und zum Verlust von geistigem Eigentum führen.
• Das FBI meldete Verluste von fast 50 Millionen US-Dollar durch SIM-Swapping-Angriffe.

Session Hijacking

Ausnutzung von Session-Cookies

Session Hijacking liegt vor, wenn Angreifer die Kontrolle über Ihre aktive Sitzung in einer Webanwendung übernehmen. Dafür nutzen sie Session-Cookies, also kleine Datenpakete, die nach der Anmeldung auf Ihrem Gerät gespeichert werden. Diese Cookies sorgen dafür, dass Sie angemeldet bleiben, ohne Ihre Zugangsdaten erneut eingeben zu müssen. Gelingt es Angreifern jedoch, diese Cookies zu stehlen, können sie sich als Sie ausgeben und sich unberechtigt Zugang zu Ihren Konten verschaffen.

Diese gängigen Methoden nutzen Angreifer, um Sitzungen zu übernehmen:

• Diebstahl von Sitzungstoken (Cookies) nach der Benutzerauthentifizierung.
• Adversary-in-the-Middle-(AitM)-Proxy-Angriffe mit Werkzeugen wie Evilginx, um Anmeldedaten und MFA-Codes in Echtzeit abzufangen.
• Einsatz von Infostealer-Malware, um Session-Cookies von Opfergeräten auszulesen.
• Cookie-Diebstahl über Malware oder Phishing.
• Netzwerk-Sniffing in ungesicherten WLAN-Netzen, um Sitzungsdaten abzufangen.
• Cross-Site-Scripting-(XSS)-Angriffe, um Cookies zu stehlen.
• TCP-Session-Hijacking durch Vorhersage von Sequenznummern.

Mit diesen Techniken können Angreifer sowohl Passwörter als auch MFA-Abfragen umgehen. Sobald sie Ihr Sitzungscookie besitzen, können sie auf Ihr Konto zugreifen, ohne Ihr Passwort oder Ihren MFA-Code zu benötigen.

Auswirkungen auf die Wirksamkeit von MFA

Die Wirksamkeit von MFA sinkt erheblich, wenn Angreifer Ihre Sitzung erfolgreich übernehmen. Sie können sich als Sie ausgeben und Aktionen so durchführen, als wären sie Sie selbst, und dabei die MFA-Prüfungen umgehen. Wenn ein Angreifer beispielsweise Ihr Sitzungscookie stiehlt, kann er sich bei Ihrem Konto anmelden, ohne Ihr Passwort oder Ihren MFA-Code eingeben zu müssen.

Um sich zu schützen, sollten Sie die Option „Angemeldet bleiben“ auf nicht vertrauenswürdigen Geräten nicht verwenden. Wenn Sie vermuten, dass Ihr Konto kompromittiert sein könnte, melden Sie sich sofort von allen Sitzungen ab. Diese Maßnahme kann helfen, die Risiken einer Sitzungsübernahme zu verringern.

Grenzen der Multi-Faktor-Authentifizierung

Benutzerfreundlichkeit vs. Sicherheit

Ausgewogenheit zwischen Komfort und Sicherheit

Bei der Nutzung der Multi-Faktor-Authentifizierung (MFA) stehen Sie oft vor einem Dilemma. MFA erhöht zwar die Sicherheit, kann aber auch die Benutzererfahrung erschweren. Viele Benutzer empfinden die Einrichtung und die Wiederherstellungsprozesse als verwirrend. Diese Komplexität kann zu Frust und dazu führen, dass MFA ganz aufgegeben wird. Tatsächlich brechen Benutzer MFA häufig aufgrund schlechter Benutzererfahrung ab, etwa aus folgenden Gründen:

• Komplexität: Die Einrichtung von MFA kann zeitaufwendig und verwirrend sein, besonders für Personen, die sich wenig mit Technik auskennen.
• Unannehmlichkeit: Wiederholte Authentifizierungsanfragen können frustrieren und führen zu einer geringeren Akzeptanz.
• Fehlende Anleitung: Unzureichende Hinweise erschweren es Ihnen, die MFA-Schritte abzuschließen.
• Widerstand der Benutzer: Die insgesamt hohe Belastung durch MFA kann dazu führen, dass Sie sie ablehnen oder aufgeben.

Diese Probleme bei der Benutzerfreundlichkeit tragen direkt zu Frust und zur Aufgabe von MFA-Systemen bei.

Probleme bei der Einhaltung von Vorgaben durch Benutzer

Die Mitarbeit der Benutzer spielt eine entscheidende Rolle für die Wirksamkeit von MFA. Wenn Sie MFA aufgrund vermeintlicher Unannehmlichkeiten oder Komplexität ablehnen, setzen Sie sich und Ihre Organisation Risiken aus. Mangelnde Einhaltung kann zu Folgendem führen:

• Vollständige Umgehung von MFA.
• Widerstand gegen die Bereitstellung, wodurch Systeme anfällig für passwortbasierte Angriffe werden.
• Unzureichende Nutzung oder falsche Konfiguration von MFA, wodurch sein Schutz an Wirkung verliert.

Technische Schwachstellen

Unsichere Kanäle

MFA stützt sich auf verschiedene Kommunikationskanäle, doch nicht alle sind sicher. Beispielsweise kann die Nutzung von SMS zur Authentifizierung Ihre Sicherheit erheblich schwächen. Wenn Angreifer Ihre Telefonnummer übernehmen, können sie SMS-Nachrichten abfangen, einschließlich MFA-Codes. Wenn nur Passwörter verwendet werden, können Angreifer bei kompromittierten Anmeldedaten ohne zusätzliche Hürden auf Konten zugreifen.

Fehlende Standardisierung

Die fehlende Standardisierung bei MFA-Implementierungen führt zu uneinheitlichen Ansätzen über verschiedene Plattformen hinweg. Diese Inkonsistenz beeinträchtigt die Zuverlässigkeit von MFA. Beispielsweise nutzen Bereiche wie IoT und E-Services häufig unterschiedliche MFA-Protokolle, was Schwachstellen verursachen kann.

Diese Einschränkungen zeigen die Herausforderungen, denen sich Organisationen bei der Einführung von MFA stellen müssen. Diese Probleme zu verstehen, ist entscheidend, um Ihre Sicherheitslage zu verbessern.

Alternativen zu MFA

In der heutigen digitalen Landschaft kann es Sie verwundbar machen, sich allein auf die Multi-Faktor-Authentifizierung (MFA) zu verlassen. Erwägen Sie stattdessen alternative Sicherheitsmaßnahmen, die Ihren Schutz erhöhen. Hier sind einige wirksame Optionen:

Passwort-Manager

Vorteile von Passwort-Managern

Passwort-Manager vereinfachen Ihre Online-Sicherheit. Sie speichern und verschlüsseln Ihre Passwörter, sodass Sie für jedes Konto einfach eindeutige, komplexe Passwörter verwenden können. Das verringert das Risiko von Credential-Diebstahl und der Wiederverwendung von Passwörtern.

Wie sie die Sicherheit erhöhen

Mit einem Passwort-Manager können Sie starke Passwörter automatisch generieren. Sie müssen sich so nicht mehr mehrere Passwörter merken und können sich stattdessen auf die Sicherheit konzentrieren. Zudem bieten viele Passwort-Manager Funktionen wie die gemeinsame Nutzung von Passwörtern und Warnmeldungen bei Datenlecks, die Ihre Identitätssicherheit zusätzlich stärken.

Biometrische Authentifizierung

Arten biometrischer Verfahren

Die biometrische Authentifizierung nutzt einzigartige körperliche Merkmale, um Ihre Identität zu überprüfen. Gängige Verfahren sind:

• Fingerabdruckscanner
• Handflächenscan
• Netzhaut- und Iriserkennung
• Spracherkennung
• Atemerkennung
• DNA-Abgleich
• Venenscan
• Gangerkennung

Diese Verfahren sind in Branchen wie dem Gesundheitswesen und der Fertigung weit verbreitet, insbesondere dort, wo Geräte gemeinsam genutzt werden.

Vor- und Nachteile biometrischer Sicherheit

Die biometrische Authentifizierung bietet mehrere Vorteile:

1. Hohe Sicherheit und ein geringeres Risiko von Identitätsdiebstahl.
2. Komfort: Sie müssen sich keine Passwörter mehr merken.
3. Bessere Nutzererfahrung: schneller Zugriff auf Geräte oder Dienste.

Es gibt jedoch auch Nachteile:

Biometrische Verfahren erhöhen zwar die Sicherheit, werfen aber auch Fragen zum Datenschutz und zu möglichen Datenlecks auf.

Zero-Trust-Sicherheitsmodell

Grundprinzipien von Zero Trust

Das Zero-Trust-Sicherheitsmodell folgt dem Prinzip „niemals vertrauen, immer überprüfen“. Dieser Ansatz verlangt für jede Zugriffsanfrage eine strikte Authentifizierung und Autorisierung. Zu den zentralen Prinzipien gehören:

• Für keinen Netzwerkzugriff wird implizites Vertrauen vorausgesetzt.
• Mehrere Schutzmaßnahmen einsetzen, etwa Verschlüsselung.
• Den Datenzugriff strikt auf das notwendige Maß beschränken.

Zero Trust in Organisationen umsetzen

Organisationen können Zero Trust umsetzen, indem sie Benutzeridentitäten kontinuierlich überprüfen und den Zugriff auf genehmigte Benutzer und Ressourcen beschränken. Dieses Modell setzt auf identitätsbasierte Authentifizierung und Autorisierung für alle Verbindungen. Durch die Überwachung des Benutzerverhaltens und des Gerätezustands können Organisationen den Zugriff dynamisch autorisieren und sich weniger allein auf MFA als einzige Sicherheitsmaßnahme verlassen.

MFA hat erhebliche Schwachstellen und Einschränkungen, die Sie kennen sollten. Angreifer können gefälschte Anmeldeseiten nutzen, um Ihre Anmeldedaten abzugreifen, und untergraben so die Wirksamkeit von MFA. Außerdem haben 61 % der Organisationen Root-Benutzer ohne MFA, was die Risiken verdeutlicht, die sich aus der alleinigen Abhängigkeit von dieser Methode ergeben.

Um Ihre Daten zu schützen, sollten Sie proaktiv vorgehen und mehrere Sicherheitsebenen einsetzen. Erwägen Sie Folgendes:

• Rollenbasierte Zugriffssteuerungen, um die Datenexposition zu begrenzen.
• Einhaltung von Vorschriften wie HIPAA und DSGVO durch starke Authentifizierung.
• Kontinuierliche Überwachung der Anmeldeaktivitäten, um verdächtiges Verhalten zu erkennen.

Wenn Sie Ihre Sicherheitsmaßnahmen breit aufstellen, schützen Sie vertrauliche Informationen deutlich besser.

Häufige Fragen

Was ist MFA?

MFA, also Multi-Faktor-Authentifizierung, erhöht die Sicherheit, indem sie zwei oder mehr Überprüfungsmethoden verlangt. Dazu können etwas gehören, das Sie wissen (etwa ein Kennwort), etwas, das Sie besitzen (etwa ein Telefon), oder etwas, das Sie sind (etwa ein Fingerabdruck).

Wie umgeht Phishing die MFA?

Phishing-Angriffe bringen Sie dazu, Ihre Anmeldedaten oder MFA-Codes preiszugeben. Angreifer können Techniken wie Adversary-in-the-Middle-Phishing einsetzen, um sowohl Ihr Kennwort als auch das MFA-Token abzufangen. So verschaffen sie sich Zugang zu Ihren Konten, ohne die MFA überwinden zu müssen.

Was ist ein OAuth-Zustimmungsangriff?

Bei einem OAuth-Zustimmungsangriff manipulieren Angreifer Sie so, dass Sie schädlichen Anwendungen Berechtigungen erteilen. Sobald Sie zustimmen, erhalten sie Zugriffstoken, mit denen sie auf Ihre Daten zugreifen können, ohne die MFA zu umgehen.

Warum ist SIM-Swapping gefährlich?

Beim SIM-Swapping übernehmen Angreifer Ihre Telefonnummer. Sie können SMS abfangen, einschließlich MFA-Codes, und so die MFA umgehen und ohne Ihr Wissen auf Ihre Konten zugreifen.

Wie funktioniert Session Hijacking?

Session Hijacking liegt vor, wenn Angreifer Ihre Sitzungscookies stehlen, nachdem Sie sich angemeldet haben. Sie können sich als Sie ausgeben und auf Ihre Konten zugreifen, ohne Ihr Kennwort oder einen MFA-Code zu benötigen. Dadurch wird die Wirksamkeit der MFA untergraben.

Welche Alternativen gibt es zur MFA?

Alternativen zur MFA sind unter anderem Passwort-Manager, biometrische Authentifizierung und die Einführung eines Zero-Trust-Sicherheitsmodells. Diese Methoden können Ihre Sicherheitslage verbessern und die Abhängigkeit von der MFA allein verringern.

Kann ich mich bei der Sicherheit allein auf Kennwörter verlassen?

Nein, ausschließlich auf Kennwörter zu setzen, ist riskant. Kennwörter können gestohlen oder erraten werden. Zusätzliche Sicherheitsmaßnahmen wie MFA oder Passwort-Manager verbessern Ihren Schutz vor unbefugtem Zugriff deutlich.

Wie verbessere ich meine Sicherheitslage?

Um Ihre Sicherheit zu erhöhen, sollten Sie starke, einzigartige Kennwörter verwenden, die MFA aktivieren, wo immer möglich, und Ihre Konten regelmäßig auf verdächtige Aktivitäten überwachen. Ein mehrschichtiger Sicherheitsansatz ist für den Schutz Ihrer Daten unverzichtbar.

Fazit

Wie wir in diesem Artikel gesehen haben, ist es ein gefährlicher Fehler, die Multi-Faktor-Authentifizierung als unfehlbares Allheilmittel zu betrachten. Zwischen ausgefeilten AiTM-Phishing-Kampagnen, skrupellosem SIM-Swapping, Session Hijacking und raffinierten Ausnutzungen von OAuth-Zustimmungen haben Angreifer zahlreiche Wege gefunden, die gängigen MFA-Hürden zu umgehen. Die MFA bleibt ein wichtiges Werkzeug in Ihrem Sicherheitsarsenal, ist aber nur eine Ebene in einem viel größeren Gefüge. Um Ihre digitalen Werte wirklich zu schützen, sollten Sie auf Defense-in-Depth setzen, starke Authentifizierungsmethoden mit zuverlässigen Passwort-Managern kombinieren und auf eine Zero-Trust-Architektur umsteigen.

Wenn Sie noch tiefer einsteigen möchten, wie moderne Identitätsangriffe ablaufen – insbesondere wie Angreifer Anwendungsberechtigungen nutzen, um sich langfristigen Zugriff zu sichern –, sollten Sie unbedingt die begleitende Podcast-Folge ansehen. Die vollständige Analyse finden Sie unter Stop OAuth Consent Attacks in Microsoft Entra ID. Bleiben Sie sicher, hinterfragen Sie weiterhin Ihre Annahmen, und ich freue mich, Sie in der nächsten Folge wiederzusehen!