Malte ZanderInhalt
Zwei-Faktor-Login stoppt Angreifer, die nur ein Passwort haben, aber keine Phishing-Seite, die als Live-Proxy arbeitet. Der Proxy zeigt dem Opfer Ihre echte Login-Seite, reicht Passwort und Code in Echtzeit weiter und behält das Session-Cookie, das die Anmeldung belegt. Nur phishingresistente Verfahren wie FIDO2-Sicherheitsschlüssel und Passkeys, die an Ihre echte Domain gebunden sind, verweigern auf einer Kopie den Dienst.
- Microsoft beobachtete eine Adversary-in-the-Middle-Kampagne, die seit September 2021 mehr als 10.000 Organisationen ins Visier nahm und MFA durch den Diebstahl von Session-Cookies umging (Microsoft).
- In diesen Fällen begann der Zahlungsbetrug schon fünf Minuten nach dem Diebstahl (Microsoft).
- Die US-Cybersicherheitsbehörde CISA stuft Codes aus Apps und Tokens sowie Push mit Number Matching als anfällig für Phishing ein (CISA).
Wie kommen Phishing-Seiten am Zwei-Faktor-Login vorbei?
Indem sie sich zwischen Opfer und Ihre echte Seite stellen und alles durchreichen. Microsoft nennt das Adversary-in-the-Middle-Phishing:
Das Opfer öffnet einen Link zur Lookalike-Domain der Täter.
Der Proxy lädt Ihre echte Login-Seite und zeigt sie dem Opfer. Alles sieht aus und funktioniert wie das Original.
Das Opfer gibt das Passwort ein. Der Proxy leitet es an Ihre Seite weiter.
Ihre Seite fragt nach dem zweiten Faktor. Das Opfer gibt den Code ein oder bestätigt den Push, und der Proxy leitet auch das weiter.
Ihre Seite stellt ein Session-Cookie aus. Der Proxy behält eine Kopie.
Die Täter laden das Cookie in einen Browser und sind angemeldet, ohne Passwort oder Code noch einmal zu brauchen.
Die Phishing-Seite hält zwei verschlüsselte Verbindungen, eine zum Opfer und eine zu Ihrer Seite. Das gestohlene Cookie trägt sogar die Information, dass MFA erledigt wurde (Microsoft). Kits, die als Dienst verkauft werden, arbeiten genauso: Das LabRat-Werkzeug von LabHost fing Zwei-Faktor-Codes in Echtzeit ab (BleepingComputer).
Welche MFA-Verfahren lassen sich phishen?
Die meisten der verbreiteten. Die Einschätzung der CISA, vom stärksten zum schwächsten Verfahren (CISA):
| Verfahren | Einschätzung der CISA |
|---|---|
| FIDO/WebAuthn, etwa Sicherheitsschlüssel und Passkeys | Resistent gegen Phishing; Push-Bombing, SS7- und SIM-Swap-Angriffe greifen nicht |
| PKI-basiert, etwa Smartcards | Resistent gegen Phishing |
| Codes aus Authenticator-App oder Token sowie Push mit Number Matching | Anfällig für Phishing, resistent gegen Push-Bombing |
| Push ohne Number Matching | Anfällig für Push-Bombing und Bedienfehler |
| Codes per SMS oder Anruf | Anfällig für Phishing, SS7- und SIM-Swap-Angriffe |
Was macht MFA phishingresistent?
Die Bindung der Anmeldung an die echte Domain. Bei FIDO2 und WebAuthn teilt der Browser dem Authenticator mit, welche Seite fragt, und die Anmeldedaten funktionieren nur für die Seite, auf der sie erstellt wurden. Auf einer Lookalike-Domain gibt es schlicht keine passenden Anmeldedaten, der Proxy hat also nichts weiterzureichen.
Deshalb nennt die CISA FIDO/WebAuthn das einzige breit verfügbare phishingresistente Anmeldeverfahren (CISA). Passkeys sind FIDO-Anmeldedaten, die viele Menschen bereits von ihrem Smartphone kennen.
Was schützt Ihre Nutzer in der Zwischenzeit?
Die Umstellung aller Konten auf Passkeys braucht Zeit. Kombinieren Sie bis dahin diese Maßnahmen:
Number Matching für Push, von der CISA als Übergangslösung empfohlen (CISA).
Bedingter Zugriff, der bei jeder Nutzung eines gestohlenen Session-Cookies neu geprüft wird (Microsoft).
Gerätebindung: sensible Anwendungen nur von registrierten oder verwalteten Geräten (Okta).
Zusätzliche Prüfung vor riskanten Aktionen wie Zahlungen oder der Änderung von Bankdaten.
Überwachung der Anmeldungen auf ungewöhnliche Standorte, Provider und User-Agents sowie auf neue Posteingangsregeln nach einer Anmeldung.
Sitzungen beenden nach einem Vorfall. Ein Passwortwechsel allein beendet keine gestohlene Sitzung.
Was können Marken für ihre Kunden tun?
Kunden treffen auf dieselben Proxys wie Beschäftigte, meist mit schwächerem Schutz.
Passkeys anbieten für Kundenkonten und für neue Registrierungen zum Standard machen.
Vor riskanten Aktionen erneut fragen, auch innerhalb einer gültigen Sitzung.
Eine Domain-Regel geben, nicht nur eine Code-Regel. Bei einem Proxy-Angriff tippt der Kunde den Code in etwas, das wie Ihre Seite aussieht. Sagen Sie, dass Codes nur auf Ihrer echten Domain oder in Ihrer App eingegeben werden.
Proxy-Domains schnell entfernen lassen. Jede Stunde, die ein Proxy online ist, bringt weitere Sitzungen. Unser Notfallplan für die ersten 24 Stunden zeigt die Reihenfolge.
Fragen Sie eine Demo an und sehen Sie, wie AI Fraud Protect sie gleichzeitig an Hoster, Registrar und Google Safe Browsing meldet, mit den Beweisen im Anhang.
Häufige Fragen
Ist Zwei-Faktor-Login dann nutzlos?
Nein. Er stoppt Angriffe mit gestohlenen oder wiederverwendeten Passwörtern, und die sind weiterhin sehr häufig. Gegen Phishing-Seiten, die den zweiten Faktor weiterreichen, schützt er nur nicht.
Sind Passkeys phishingsicher?
Sie sind phishingresistent: Ein Passkey funktioniert nur auf der Domain, für die er erstellt wurde, eine Lookalike-Domain kann ihn nicht nutzen. Die Kontowiederherstellung lässt sich aber weiterhin phishen, sichern Sie sie deshalb so streng wie den Login.
Was ist ein Adversary-in-the-Middle-Angriff?
Eine Phishing-Seite, die den Verkehr zwischen Opfer und echter Website durchreicht. Sie fängt Zugangsdaten, Codes und das Session-Cookie ab, während sich das Opfer ganz normal anmeldet.
Stoppt ein Passwortwechsel Angreifer mit einer gestohlenen Sitzung?
Nicht immer. Beenden Sie zusätzlich aktive Sitzungen und Tokens und prüfen Sie Änderungen, die die Angreifer vorgenommen haben, etwa neue Posteingangsregeln.
Quellen
Microsoft Security: AiTM-Phishing als Einstieg in Finanzbetrug, 12. Juli 2022
CISA: Implementing phishing-resistant MFA, Oktober 2022
Okta Threat Intelligence: v0 als Werkzeug für Phishing-Seiten, 1. Juli 2025
BleepingComputer: LabHost zerschlagen, 18. April 2024