Kein Exploit. Kein geknackter Algorithmus. Nur ein genervter Klick um drei Uhr nachts – und ein Milliardenkonzern stand offen.
Uber, 2022: Ein externer Auftragnehmer hatte gültige Zugangsdaten – vermutlich aus einem früheren Leak. Was fehlte, war der zweite Faktor. Der Angreifer löste ihn aus, indem er wieder und wieder einen Login-Versuch startete. Jeder Versuch erzeugte eine neue MFA-Push-Anfrage auf dem Smartphone des Auftragnehmers (Uber-Sicherheitsupdate). Irgendwann, nach einer Flut solcher Anfragen, bestätigte dieser eine davon. Der Angreifer war drin.
Das Bemerkenswerte an diesem Fall: Die MFA hat technisch einwandfrei funktioniert. Kein Zertifikat wurde gefälscht, kein kryptografischer Schlüssel gebrochen. Die Authentifizierung war gültig – nur der Weg dorthin war kompromittiert. Von dort aus verschaffte sich der Angreifer Zugriff auf weitere Mitarbeiterkonten und erhielt erweiterte Rechte für interne Tools wie G-Suite und Slack. Er lud interne Slack-Nachrichten herunter und griff auf ein Finanz-Tool zu, das Uber zur Rechnungsverwaltung nutzt.
So oder so: In herkömmlichen MFA-Architekturen reicht bereits eine einzige genehmigte Anfrage aus, damit ein Hacker Zugriff auf interne Systeme erhält, von denen aus er weiter in die Zielorganisation eindringen kann.
Der Fall zeigt exemplarisch, wie MFA-Bypässe im Stil der Hackergruppe LAPSUS$ funktionieren: Die Multi-Faktor-Authentifizierung wird nicht kryptografisch geknackt – sie wird umgangen, indem die Identitätsprozesse rund um die Authentifizierung manipuliert werden. Push-Bombing, SIM-Swapping, Diebstahl von Sitzungstoken und Social Engineering sind die Werkzeuge dafür. Forscher sehen darin ein deutliches Warnsignal für die Risiken, die entstehen, wenn Unternehmen sich zu sehr auf MFA als alleinige Absicherung verlassen.
Wie hebeln Angreifer den zweiten Faktor in der Praxis aus, wo liegen die Schwachstellen – und kann man sich davor schützen?
2FA, MFA und die drei Schritte davor
Bevor es um Angriffe geht, lohnt sich ein kurzer Blick auf die Begriffe. Zwei-Faktor-Authentifizierung (2FA) verlangt, dass Nutzer zwei unterschiedliche Arten der Authentifizierung angeben, bevor sie Zugriff auf ein Konto erhalten – typischerweise etwas, das man kennt (ein Passwort), kombiniert mit etwas, das man besitzt (z. B. ein OTP-Code). Selbst wenn ein Faktor kompromittiert wird, verhindert der zweite den unbefugten Zugriff.
Multi-Faktor-Authentifizierung (MFA) ist der Oberbegriff: Sie verlangt neben Benutzername und Passwort zwei oder mehr zusätzliche Faktoren. 2FA ist also eine Untergruppe von MFA. Während zwei Faktoren oft für Consumer-Anwendungen reichen, kombiniert MFA je nach Schutzbedarf Wissen (Passwort), Besitz (Token, Smartphone) und Inhärenz (Biometrie) – meist dort, wo eine oder zwei Sicherheitsebenen nicht ausreichen.
| 2FA | MFA | |
|---|---|---|
| Anzahl der Faktoren | Zwei | Zwei oder mehr |
| Sicherheitslevel | Stärker als ein Passwort allein | Stärker als 2FA – abhängig davon, wie viele zusätzliche Faktoren genutzt werden |
| Typische Use Cases | Social Media, Banking, Online-Shopping | Unternehmenssysteme, Gesundheitswesen, Regierung |
Um zu verstehen, wo MFA-Bypasses ansetzen, hilft eine Unterscheidung von drei Schritten, die in jeder Sicherheitsarchitektur aufeinander aufbauen:
Vom unbequemen Extra zum Unternehmensstandard – und trotzdem angreifbar
Diese zwei Zahlen zeigen das Dilemma: MFA ist längst kein Nischenthema mehr, aber sie schützt in der Praxis oft weniger, als Unternehmen annehmen – und die meisten kleinen Teams haben nicht einmal eine moderne zweite Sicherheitsebene.
Drei gängige 2FA- und MFA-Methoden im Überblick
„Wenn das Schloss unknackbar ist, stehlen wir eben den Schlüssel während der Haustüröffnung."
Ein LAPSUS$-artiger MFA-Bypass liegt vor, wenn Authentifizierungsfaktoren technisch gültig geprüft werden, Angreifer sich den Zugang aber verschaffen, indem sie Identitätssignale vor oder während der Authentifizierung manipulieren. Statt Verschlüsselung zu brechen, nutzen diese Angriffe Schwächen im Identitätsvertrauen aus: Credential-Diebstahl, wiederholte MFA-Prompts, gekaperte Konten oder gestohlene Sitzungstoken. Das Ergebnis ist ein Login, der völlig legitim aussieht – obwohl der Weg dorthin kompromittiert war.
1. Adversary-in-the-Middle (AiTM)
Der Angreifer schaltet eine transparente Zwischenstation zwischen Opfer und echter Anmeldeseite. Das Opfer merkt nichts, gibt Zugangsdaten und OTP auf der Fake-Seite ein – der Proxy greift das fertige Session-Cookie ab. Selbst ein live generierter OTP-Code nützt nichts, weil der Angreifer die Sitzung in Echtzeit übernimmt.
Den zugrundeliegenden Bedrohungsdaten zufolge hat die AiTM-Phishing-Kampagne seit September 2021 versucht, mehr als 10.000 Organisationen anzugreifen laut Microsoft Threat Intelligence.
2. MFA Fatigue & psychologische Zermürbung
Auch als Push-Bombing bekannt: Der Angreifer verfügt bereits über gültige Anmeldedaten und löst wiederholt Authentifizierungsaufforderungen aus, bis ein Nutzer eine davon bestätigt. Ausgenutzt werden dabei das menschliche Bestätigungsverhalten, eine Überflutung mit Benachrichtigungen, ein begrenzter Kontext bei der Bestätigung und eine schwache Identitätsprüfung im Vorfeld. Wenn AiTM nicht klappt, folgt oft die Brechstange: Skripte fluten das Smartphone des Opfers um drei Uhr nachts mit Push-Prompts, kombiniert mit gefälschten Anrufen vom „IT-Support" (Vishing) – wie im eingangs beschriebenen Uber-Vorfall.
3. Hijacking des Besitz-Faktors: SIM-Swapping
Bei der SIM-Kartenportierung leiten Angreifer eine Handynummer auf eine SIM-Karte oder ein Gerät um, das sie kontrollieren, um SMS-Nachrichten oder Anrufe für die Zielnummer zu empfangen. Ein weiteres Beispiel dafür, wie MFA versagen kann, ohne dass der zweite Faktor selbst geknackt wird.
Was passiert in den ersten 60 Sekunden nach dem Bypass?
Wie man sich gegen moderne MFA-Bypässe wappnet
Neben dem grundsätzlichen Wechsel zu FIDO2 lassen sich auch bestehende Push-Verfahren deutlich härten:
- Number Matching: Die Eingabe einer auf dem Anmelde-Bildschirm gezeigten Zahl im Smartphone zwingt zur echten, bewussten Interaktion statt zum reflexartigen Bestätigen.
- Context-Aware Prompts: Standort-, IP- und App-Anzeige bei jeder Push-Benachrichtigung machen ungewöhnliche Anmeldeversuche sofort erkennbar.
- Rate Limiting: Automatische Blockade nach einer bestimmten Anzahl unbeantworteter Anfragen stoppt MFA-Fatigue-Angriffe im Ansatz.
- SMS als MFA vermeiden: Von SMS-Codes als zweitem Faktor sollte abgeraten werden – gerade für besonders wertvolle Konten sollten sie nicht eingesetzt werden.
- Authenticator-App oder Biometrie priorisieren: Diese Methoden sind deutlich sicherer und wirksamer zum Schutz von Konten als SMS-basierte Verfahren.
Klassische Methoden – SMS-Codes und einfache TOTP-Apps – reichen gegen moderne Bedrohungsszenarien nicht mehr aus. Der Trend geht unaufhaltsam zu phishing-resistentem MFA: FIDO2, Passkeys, Hardware-Sicherheitsschlüssel. Sicherheit ist dabei kein statischer Zustand, sondern ein kontinuierlicher Anpassungsprozess zwischen Authentifizierungskomfort und Risikominimierung.
Die klassische MFA – SMS-Codes und TOTP-Apps – bietet keinen Schutz vor Adversary-in-the-Middle-Angriffen, bei denen Sitzungscookies abgefangen werden, nachdem man sich bereits authentifiziert hat. Die Lösung besteht nicht darin, auf MFA zu verzichten, sondern auf eine phishingresistente, adaptive MFA umzustellen, die auf FIDO2 und biometrischen Verfahren basiert – einem Standard, den Angreifer bislang noch nicht in großem Maßstab umgehen können.
Wie sicher ist eure Identitäts Infrastruktur wirklich gegen moderne MFA-Bypasses?
Wir testen eure Authentifizierungssysteme auf reale Angriffsszenarien. Kostenloses Erstgespräch.
Erstgespräch anfragen →