MFA-Fatigue, Push-Bombing und 2FA-Bombing: So umgehen Angreifer Ihren zweiten Faktor

Im September 2022 versuchte ein Angreifer, der das Passwort eines Uber-Auftragnehmers gekauft hatte, sich wieder und wieder anzumelden. Jeder Versuch schickte dem Auftragnehmer eine Bestätigungsanfrage für den zweiten Faktor. Die ersten hielten den Angreifer auf. Dann wurde eine bestätigt, und der Angreifer war drin (Ubers Sicherheits-Update). Einen Monat zuvor hatte Cisco dasselbe Muster bei seinem eigenen Sicherheitsvorfall beschrieben: Anrufe von jemandem, der sich als Support ausgab, und eine Flut von Push-Anfragen, bis ein Mitarbeiter eine davon bestätigte (Cisco Talos).

Beide Unternehmen hatten Multi-Faktor-Authentifizierung aktiviert. Die Angreifer haben den zweiten Faktor nicht geknackt; sie sind um ihn herumgegangen, mit Techniken, die gerade deshalb funktionieren, weil die eingesetzte MFA einem erschöpften Menschen im denkbar ungünstigsten Moment eine Sicherheitsentscheidung abverlangt.

Wenn Ihre MFA aus einem SMS-Code oder einem Ein-Tipp-„Bestätigen?“ besteht, sind die nächsten zehn Minuten Ihre Aufmerksamkeit wert. Diese beiden Verfahren sind inzwischen diejenigen, die Angreifer bereits einkalkulieren, nicht diejenigen, die sie aufhalten.

Drei Angriffe, die „irgendeine MFA“ schlagen

• Push-Bombing (MFA-Fatigue, MFA-Bombing, 2FA-Bombing). Der Angreifer hat das Passwort bereits: aus einem Datenleck, einem Phishing-Versuch oder aus Wiederverwendung. Er löst Anmeldung um Anmeldung aus und feuert eine Flut von Bestätigungsanfragen auf das Telefon des Nutzers ab, bis jemand (aus Verwirrung oder einfach, um es zu beenden) auf Bestätigen tippt. Ein Tipp, und der Angreifer ist drin.
• SIM-Swapping. SMS war nie als Sicherheitskanal gedacht. Ein Angreifer, der einen Mobilfunkanbieter überzeugt (oder besticht), eine Rufnummer auf eine neue SIM zu übertragen, empfängt jeden Einmalcode, der an sie gesendet wird. Keine Schadsoftware, keine Phishing-Seite – nur ein Anruf bei einer Hotline.
• Adversary-in-the-Middle (AiTM). Eine überzeugende gefälschte Anmeldeseite schaltet sich in Echtzeit als Proxy vor die echte. Das Opfer gibt sein Passwort ein, das echte System verlangt den zweiten Faktor, und das Opfer liefert ihn, denn es will sich ja tatsächlich anmelden. Der Proxy des Angreifers fängt die daraus entstehende Sitzung ab. Die MFA „funktionierte“. Das Konto ist trotzdem verloren.

Die US-Cybersicherheitsbehörde CISA nennt alle drei in ihren Empfehlungen und zieht eine klare Grenze: Nur FIDO/WebAuthn und Public-Key-Authentifizierung (PKI) gelten als phishing-resistent, weil der Schlüssel an die Adresse der echten Website gebunden ist und eine nachgeahmte Seite ihn nicht verwenden kann. Push-Bestätigung steht nicht auf dieser Liste, auch nicht mit Number Matching (CISA-Merkblatt).

Was den jeweiligen Angriff stoppt

Diese Angriffe haben unterschiedliche Schwachstellen, daher lohnt es sich, genau zu sagen, was gegen welchen hilft.

• SIM-Swaps und abgefangene Codes: den Code abschaffen. Wird der Schlüssel des Nutzers in der sicheren Hardware des Telefons erzeugt und verlässt sie nie, gibt es kein gemeinsames Geheimnis in einer Datenbank und nichts, was per SMS eintrifft. Es gibt nichts abzufangen, und wer eine Rufnummer umzieht, erbeutet damit nichts, was sich verwenden ließe.
• Push-Bombing: den Nutzer lesen lassen, was er bestätigt. Weder ein Schlüssel noch ein biometrisches Merkmal helfen, sobald eine Anfrage das Telefon erreicht, denn der Angriff bittet den Nutzer schlicht darum, Ja zu sagen. Ein biometrisches Merkmal bestätigt nur, dass der Telefonbesitzer tippt, nicht, dass die Anmeldung legitim ist. Was hilft, ist eine Anfrage mit einer konkreten, lesbaren Beschreibung dessen, was genau bestätigt wird: welcher Dienst, welche Aktion, von wo. Eine Aufforderung, die der Nutzer nie selbst ausgelöst hat, ist erkennbar nicht seine eigene, also lehnt er sie ab. Ablaufende Anfragen und Grenzen dafür, wie oft sich Aufforderungen auslösen lassen, nehmen dem Angriff die Masse, auf die er angewiesen ist.
• Adversary-in-the-Middle: Bestätigung allein stoppt ihn nicht. Hier wird der Nutzer nicht dazu gebracht, die Anmeldung eines anderen zu bestätigen. Er bestätigt seine eigene, nur auf der falschen Website. Was hilft, ist anzuzeigen, woher die Anfrage kommt: Nennt die Bestätigung die Adresse, von der die Anmeldung eingegangen ist, fällt ein Proxy in einem anderen Land einem Nutzer auf, der hinsieht. Das verteuert den Angriff, macht ihn aber nicht unmöglich. Wo das Bedrohungsmodell Phishing-Resistenz im strengen Sinn verlangt, sind an die Website gebundene FIDO-Schlüssel die Antwort, ergänzt durch kurze Sitzungslaufzeiten und Anmelderichtlinien, die einschränken, wo Sitzungen genutzt werden können.

Das ist der Unterschied zwischen MFA, die ein Angreifer bereits skriptgesteuert überwunden hat, und MFA, die jeden dieser Angriffe sichtbar oder sinnlos macht.

Wo Notakey ins Bild passt

Notakey schafft den Code ab und macht jede Bestätigung lesbar.

• Der Schlüssel des Nutzers wird in der sicheren Hardware des Telefons erzeugt und verlässt sie nie. Es gibt keine SMS zum Abfangen und keinen Code zum Weiterreichen.
• Die Benachrichtigung ist nur eine Türklingel. Öffnet der Nutzer die App, ruft sie die Bestätigungskarte per HTTPS von dem Server ab, bei dem sie registriert wurde. Was der Nutzer liest, stammt also von Ihrem Server, nicht aus der Benachrichtigung, und seine Signatur deckt genau diese Anfrage ab.
• Gegen Push-Bombing liegt die Verteidigung in dem, was der Nutzer liest: Die Karte zeigt, welcher Dienst anfragt und was bestätigt wird, sodass eine Aufforderung, die niemand ausgelöst hat, auf den ersten Blick auffällt und abgelehnt wird. Anfragen laufen ab, und ein eingebauter Limiter begrenzt, wie oft sie sich auslösen lassen. So wird die Flut von Aufforderungen, auf die der Angriff setzt, frühzeitig unterbunden.
• Gegen Adversary-in-the-Middle lässt sich der Server so konfigurieren, dass er die anfragende IP-Adresse, den Dienstnamen oder die URL auf der Karte anzeigt, sodass der Nutzer sieht, woher die Anmeldung tatsächlich kommt. Mehr behaupten wir nicht: Das macht einen Proxy für einen Nutzer sichtbar, der hinsieht; es macht den Angriff nicht unmöglich.
• Notakey deckt die Wege ab, die Angreifer tatsächlich nutzen; siehe die praxisnahen Anleitungen zu 2FA für ein VPN über RADIUS, Windows-Remotedesktop und Linux SSH.

Überzeugen Sie sich selbst

Am schnellsten spüren Sie den Unterschied, wenn Sie eine Transaktion bestätigen, die Sie tatsächlich lesen können: eine konkrete Aktion, signiert auf Ihrem eigenen Telefon, statt einer kontextlosen Aufforderung.

Testen Sie die Live-Demo und signieren Sie eine in etwa zwei Minuten, oder fordern Sie eine Demo an, und wir bilden Ihre VPN-, SSO- oder Windows-Anmeldungen in einem Pilotprojekt auf Ihrer eigenen Infrastruktur ab.