Kann MFA gehackt werden? 8 gängige MFA-Umgehungstechniken erklärt

MFA kann gehackt werden. Erfahren Sie mehr über 8 MFA-Umgehungstechniken, die Angreifer heute einsetzen, welche Methoden am anfälligsten sind und wie Sie Ihre Implementierung dagegen absichern können.

Kann MFA gehackt werden?

Multi-Faktor-Authentifizierung (MFA) ist die Sicherheitsmaßnahme, auf die die meisten Teams vertrauen, um zu verhindern, dass ein gestohlenes Passwort zu einer Sicherheitsverletzung wird. Und Angreifer haben Jahre damit verbracht, Wege daran vorbei zu finden. Also, kann MFA gehackt werden? Ja. MFA erhöht die Kosten eines Angriffs, beseitigt ihn aber nicht. 

Das Problem liegt nicht im Konzept von MFA. Die meisten Implementierungen basieren auf Faktoren, die Angreifer abfangen, umleiten oder durch Social Engineering umgehen können. SMS-Codes können umgeleitet werden. Push-Benachrichtigungen können gespammt werden. Sitzungstoken können gestohlen werden, nachdem die legitime Authentifizierung abgeschlossen ist. Helpdesk-Mitarbeitende können dazu gebracht werden, MFA vollständig zurückzusetzen. Der Verizon Data Breach Investigations Report (DBIR) 2025 stellte fest, dass verdächtige Anmeldemuster ein wiederkehrendes Anzeichen für Credential Theft und MFA-Bypass-Aktivitäten sind.

Im Dezember 2024 gingen das FBI und die Cybersecurity and Infrastructure Security Agency (CISA) den ungewöhnlichen Schritt, Organisationen und Nutzern zu raten, sich von SMS-basierter MFA abzuwenden, und verwiesen dabei auf aktive Ausnutzung im Zusammenhang mit der Spionagekampagne Salt Typhoon gegen die US-Telekommunikationsinfrastruktur. Die CISA-Leitlinie für mobile Kommunikation empfiehlt Fast Identity Online (FIDO)-basierte Authentifizierung als stärkste Form von MFA, die gegen Umgehungstechniken wirksam ist.

Zu verstehen, wie jede Umgehungstechnik funktioniert, ist der erste Schritt zum Aufbau belastbarer Abwehrmaßnahmen.

8 gängige MFA-Bypass-Techniken

Jede der folgenden Techniken zielt auf eine andere Schwachstelle in MFA-Implementierungen ab, von menschlichen Fehlern bis hin zu Schwächen auf Protokollebene. Einige erfordern Social Engineering. Andere funktionieren ganz ohne menschliches Zutun.

1. MFA-Prompt-Bombing (Push Fatigue)

Der Angreifer erlangt gültige Zugangsdaten durch Phishing oder Datenlecks und löst dann wiederholt MFA-Push-Benachrichtigungen aus, bis der Nutzer aus Frustration eine davon bestätigt. Laut CISA AA23-320A sendet Scattered Spider „fortlaufend MFA-Benachrichtigungsaufforderungen, um Mitarbeitende dazu zu bringen, die Aufforderung zu akzeptieren und Zugriff auf das Zielnetzwerk zu erhalten.“ APT29 hat diese Technik ebenfalls eingesetzt.

Worauf Sie in Ihrem SOC achten sollten: Wiederholte MFA-Anfragen an ein einzelnes Konto innerhalb kurzer Zeit, Anmeldeversuche von ungewöhnlichen Standorten und Abfolgen fehlgeschlagener Authentifizierungen, gefolgt von einer plötzlichen Bestätigung.

2. Session Hijacking und Token-Diebstahl

Diese Technik zielt auf das ab, was nach der Authentifizierung passiert. Angreifer nutzen Schwachstellen in Remote-Access-Infrastrukturen, VPNs, Web-Gateways oder Anwendungsservern aus, um gültige Sitzungstoken zu extrahieren. Sie spielen diese Token erneut ab, um authentifizierte Sitzungen aufzubauen, ohne jemals eine MFA-Abfrage auszulösen. LockBit-Affiliates demonstrierten dies über die CitrixBleed-Schwachstelle (CVE-2023-4966), indem sie Sitzungstoken von Citrix NetScaler-Appliances abgriffen, um MFA vollständig zu umgehen.

Um zu sehen, wie Kontoübernahme und Missbrauch von Sitzungstoken zusammenhängen, behandelt unser Leitfaden die Mechanismen und Erkennungskontrollen, die dies aufdecken.

Worauf Sie in Ihrem SOC achten sollten: Sitzungen aus geografisch unmöglichen Standorten, mehrere gleichzeitige Sitzungen für einen einzelnen Nutzer und Authentifizierungsabläufe, bei denen erwartete MFA-Abfragen übersprungen werden.

3. SIM-Swapping

Der Angreifer sammelt personenbezogene Daten (PII) durch Social Engineering oder Open-Source-Intelligence (OSINT) und kontaktiert dann den Mobilfunkanbieter, um die Telefonnummer des Opfers auf eine vom Angreifer kontrollierte SIM-Karte zu übertragen. Alle SMS-basierten MFA-Codes werden nun an den Angreifer weitergeleitet. Laut CISA AA23-320A setzt Scattered Spider systematisch SIM-Swapping als Teil von Datenerpressungsoperationen ein.

Worauf Sie in Ihrem SOC achten sollten: Plötzlicher Verlust des Mobilfunkdienstes oder unerwartete Meldungen des Anbieters über die Deaktivierung der SIM-Karte, Nutzung von SMS-MFA-Codes von Geräten, die von den zuvor registrierten abweichen, und Kontozugriffe unmittelbar nach SIM-Swap-Aktivitäten.

4. Adversary-in-the-Middle (AiTM)-Phishing

Der Angreifer positioniert einen Reverse-Proxy-Server zwischen Ihnen und einem legitimen Authentifizierungsportal. Sie geben Ihre Zugangsdaten ein und schließen Ihre MFA-Abfrage ab. Der Proxy erfasst beides. Der Angreifer verwendet das gestohlene Sitzungstoken, um direkt einzudringen. 

Phishing-as-a-Service-Plattformen haben dazu beigetragen, diese Technik zu kommerzialisieren. Reverse-Proxy-Phishing-Kits spezialisieren sich inzwischen auf AiTM-Angriffe gegen gängige Cloud-Identitäts-Workflows. Kits wie Mamba 2FA zielen auf große Cloud-Identitätsplattformen ab und implementieren Anti-Bot-Erkennung, um Sicherheitsscans zu umgehen.

Unser Leitfaden zu Adversary-in-the-Middle-Angriffen erläutert, wie sich AiTM von klassischen Man-in-the-Middle-Techniken unterscheidet und wie Sie Indikatoren in Ihrer Umgebung finden.

Worauf Sie in Ihrem SOC achten sollten: Authentifizierungsanfragen, die von Virtual Private Server (VPS)- oder Proxy-Infrastrukturen ausgehen, verdächtige Domainregistrierungen, die Ihre Anmeldeportale nachahmen, und kurze Zeitabstände zwischen der Eingabe von Zugangsdaten und dem Zugriff von einer anderen IP-Adresse.

5. Social Engineering von Helpdesks

Laut CISA AA23-320A führt Scattered Spider einen mehrphasigen Angriff auf den IT-Support durch: zunächst durch Aufklärungsanrufe, um Verfahren zum Zurücksetzen von Passwörtern zu erlernen, und anschließend durch das Vortäuschen von Mitarbeitenden, um Helpdesk-Mitarbeitende davon zu überzeugen, MFA-Token zurückzusetzen. Seit Anfang 2023 hat diese Technik Zugriff auf „Single Sign-On (SSO)-Konten und cloudbasierte Anwendungssuiten“ ermöglicht. Vertraglich gebundene oder ausgelagerte Helpdesks sind aufgrund weniger strenger Verifizierung besonders anfällig.

Worauf Sie in Ihrem SOC achten sollten: Ungewöhnlich hohe Volumina von MFA-Reset-Anfragen für privilegierte Konten, insbesondere außerhalb der Geschäftszeiten, sowie die Installation von Remote-Access-Tools (TeamViewer, AnyDesk) nach Helpdesk-Interaktionen.

6. Ausnutzung des SS7-Protokolls

Signaling System 7, entwickelt in den 1970er Jahren, bildet weiterhin das Rückgrat der globalen mobilen Kommunikation. Angreifer, die Zugriff auf SS7-Netzwerke erhalten, können SMS-Verkehr umleiten und MFA-Codes in Echtzeit abfangen. SS7-Missbrauch kann Codes abfangen und Betrug ermöglichen, ohne Malware einzusetzen, was dies zu einem praktischen Risiko für jede Organisation macht, die auf SMS-basierte MFA angewiesen ist.

Nach der Salt-Typhoon-Kampagne bestätigte die Leitlinie des SANS Institute, dass CISA „unmissverständlich erklärte: ‚Verwenden Sie SMS nicht als zweiten Faktor für die Authentifizierung.‘“

7. Echtzeit-Phishing-Toolkits

Toolkits wie EvilProxy, Evilginx, Sneaky2FA und WikiKit fungieren als Plattformen für die Echtzeit-Wiedergabe von Zugangsdaten und Sitzungen. Sie erfassen Zugangsdaten und Sitzungstoken und spielen sie erneut ab, bevor Nutzer oder Sicherheitsteams Auffälligkeiten bemerken. Das kurze Zeitfenster für die schnelle Wiederverwendung erzeugt ein Wettrennen, mit dem signaturbasierte Tools kaum Schritt halten können.

Phishing hat sich zu einer größeren operativen Bedrohung entwickelt, die auf dem Missbrauch von MFA, modularen Tools und wiederverwendbarer Infrastruktur basiert. Threat Researcher dokumentieren weiterhin, wie Angreifer diese Workflows für Wiederverwendung und Verbreitung paketieren.

8. OAuth- und Consent-Phishing

Der Angreifer registriert eine bösartige Anwendung bei einem OAuth-Anbieter und bringt dann einen Nutzer dazu, ihr Berechtigungen zu erteilen. Die Anwendung erhält legitime OAuth-Token mit vom Nutzer gewährtem Zugriff und umgeht MFA vollständig. Refresh-Token-Mechanismen ermöglichen eine langfristige Persistenz, die Passwortzurücksetzungen oft überdauert.

Von dort aus manipulieren Angreifer Service Principals, erstellen Rogue-OAuth-Anwendungen und exfiltrieren sensible Daten über Cloud-APIs und Kollaborationsplattformen. Die chinesische staatlich unterstützte Gruppe Silk Typhoon hat diese Technik genutzt, um sich unbemerkt durch Kundenumgebungen zu bewegen.

Worauf Sie in Ihrem SOC achten sollten: Neue OAuth-Anwendungsregistrierungen, die hochprivilegierte Berechtigungen anfordern, SAML-Token, die ohne MFA in Identitätsprotokollen ausgestellt werden, und ungewöhnliche API-Aufrufmuster an Cloud-APIs oder Kollaborationsplattformen.

Diese acht Techniken umfassen Social Engineering, Protokollausnutzung und Missbrauch nach der Authentifizierung. Welche MFA-Methode Sie einsetzen, bestimmt, wie vielen davon Ihre Organisation ausgesetzt ist.

Welche MFA-Methoden sind am anfälligsten für Umgehung?

Nicht jede MFA-Methode ist den acht oben genannten Techniken gleichermaßen ausgesetzt. Die folgende Tabelle ordnet fünf gängige MFA-Implementierungen den Umgehungskategorien zu, die sie überwinden können, basierend auf der phishing-resistenten Leitlinie von CISA und den Klassifizierungen der FIDO Alliance.

MFA-Methode	Anfällig für	Phishing-resistent?
SMS- / Sprachcodes	SIM-Swapping, SS7-Ausnutzung, AiTM-Phishing, Echtzeit-Phishing-Toolkits	Nein
TOTP-Apps (Google Authenticator, Authy)	AiTM-Phishing, Echtzeit-Phishing-Toolkits	Nein
Push-Benachrichtigungen	Prompt-Bombing, AiTM-Phishing	Nein
Push mit Number Matching	AiTM-Phishing (Proxy leitet die Nummer in Echtzeit weiter)	Nein
FIDO2 / WebAuthn-Sicherheitsschlüssel	Keine der acht oben genannten Techniken	Ja

Das Muster ist eindeutig: Jede Methode, die auf gemeinsamen Geheimnissen oder vom Nutzer bestätigten Aufforderungen basiert, fällt mindestens einer Umgehungstechnik zum Opfer. Nur kryptografische Authentifizierung übersteht die gesamte Liste.

Warum MFA mit Shared Secrets versagt

Die ersten vier Methoden stützen sich alle auf gemeinsame Geheimnisse oder vom Nutzer bestätigte Aufforderungen – genau das, was ein Angreifer abfangen oder weiterleiten kann. FIDO2-Schlüssel funktionieren nach einem völlig anderen Prinzip. Der private Schlüssel verlässt Ihr Gerät nie, und jede Authentifizierungsabfrage ist kryptografisch an die echte Domain gebunden. Ein Phishing-Proxy kann keine gültige Signatur fälschen, weil die Domain nie übereinstimmt. Laut NIST 800-63-4 qualifizieren sich nur Authentifikatoren, die „asymmetrische kryptografische Verfahren“ verwenden, für die höchste Vertrauensstufe.

Wenn Sie heute SMS- oder Push-basierte MFA einsetzen, können Sie Ihr Risiko sofort senken. Stellen Sie zuerst privilegierte Konten auf FIDO2-Schlüssel um und geben Sie Standardnutzern dann Plattform-Authentifikatoren wie Windows Hello und Apple Touch ID. Das ist eine schrittweise Einführung und kein vollständiger Austausch – und der praktikabelste Weg zu Phishing-Resistenz, ohne einen einzigen Arbeitstag zu beeinträchtigen.

Praxisbeispiele für MFA-Bypass-Angriffe

Die oben genannten Techniken sind nicht theoretisch. Reale Sicherheitsverletzungen zeigen, wie Angreifer MFA-Bypass-Techniken zu mehrstufigen Angriffen verketten, oft innerhalb weniger Stunden nach dem ersten Zugriff.

1. MGM Resorts (2023). Scattered Spider kompromittierte die Umgebung von MGM, indem die Gruppe den Helpdesk anrief, sich als Mitarbeitender ausgab und das Personal dazu brachte, MFA-Zugangsdaten zurückzusetzen. Der Angriff nutzte LinkedIn, um IT-Mitarbeitende zu identifizieren und die Details zu sammeln, die nötig waren, um Verifizierungsprüfungen zu bestehen. Die Störungen erstreckten sich über Hotelbetrieb, Casinosysteme und Kundendaten; der gemeldete Schaden überstieg laut MGMs SEC-8-K-Meldung 100 Millionen US-Dollar.
2. Uber (2022). Ein Angreifer kaufte gestohlene Zugangsdaten auf einem Dark-Web-Marktplatz und startete dann eine anhaltende MFA-Prompt-Bombing-Kampagne gegen einen Uber-Auftragnehmer. Nachdem der Auftragnehmer eine Push-Benachrichtigung bestätigt hatte, um die Meldungen zu stoppen, bewegte sich der Angreifer innerhalb weniger Stunden lateral durch Ubers interne Systeme, darunter Slack, AWS und Google Workspace. Ubers offizielles Sicherheitsupdate bestätigte, dass die Zugangsdaten des Auftragnehmers wahrscheinlich nach einer Malware-Infektion seines privaten Geräts im Dark Web gekauft wurden.
3. Salt Typhoon (2024). Die chinesische staatlich unterstützte Gruppe nutzte Schwächen im SS7-Protokoll aus, um SMS-basierte MFA-Codes abzufangen, die auf die US-Telekommunikationsinfrastruktur abzielten. Das FBI und CISA veröffentlichten eine gemeinsame Leitlinie, in der Organisationen als direkte Reaktion auf die aktive Ausnutzung im Zusammenhang mit dieser Kampagne aufgefordert wurden, die Nutzung von SMS-basierter MFA einzustellen.
4. Storm-0558 (2023). Microsoft gab bekannt, dass der mit China verbundene Threat Actor Storm-0558 Authentifizierungstoken mithilfe eines erlangten Microsoft-Signaturschlüssels fälschte, um auf Cloud-E-Mail-Konten mehrerer Kundenorganisationen zuzugreifen. Der Angriff umging Standard-MFA-Kontrollen, indem er auf der Token-Ebene statt auf der Ebene der Zugangsdaten operierte, wodurch die anfängliche MFA-Abfrage irrelevant wurde.

Jeder Vorfall nutzte eine andere Technik aus der obigen Liste aus. Der gemeinsame Nenner: Angreifer passen ihre Methode an das schwächste Glied in der MFA-Implementierung jeder Organisation an.

Indikatoren für MFA-Bypass-Versuche

MFA-Bypass hinterlässt Spuren in Identitätsprotokollen, Endpoint-Telemetrie und Netzwerkaktivitäten. Wenn Sie diese Signale früh erkennen, können Sie reagieren, bevor sich ein Angreifer festsetzt.

Authentifizierungsanomalien:

• Anmeldungen von unmöglichen Standorten innerhalb weniger Minuten nach einer erfolgreichen Authentifizierung in einer anderen Region
• Mehrere gleichzeitige aktive Sitzungen für ein einzelnes Benutzerkonto
• Authentifizierungsabläufe, die ohne entsprechende MFA-Abfrage in Identitätsprotokollen abgeschlossen werden
• MFA-Abfragen, die außerhalb der Geschäftszeiten oder von Geräten bestätigt werden, die nicht in der Liste registrierter Geräte stehen

Identitäts- und Zugriffsmuster:

• Plötzlicher Anstieg von MFA-Reset-Anfragen für privilegierte Konten
• Neue OAuth-Anwendungsregistrierungen, die hochprivilegierte Berechtigungen anfordern
• SAML-Token, die ohne MFA-Kontext in den Protokollen des Identity Providers ausgestellt werden
• Helpdesk-Tickets, die MFA-Bypass oder das Zurücksetzen von Zugangsdaten anfordern, unmittelbar gefolgt von Kontozugriff von einem neuen Gerät

Netzwerk- und Endpoint-Signale:

• Sitzungsaktivität, die von VPS-Infrastruktur, Anonymisierungs-Proxys oder Tor-Exit-Nodes ausgeht
• Kurze Zeitabstände zwischen der Übermittlung von Zugangsdaten und anschließendem Zugriff von einer anderen IP-Adresse
• Laterale Bewegung, die innerhalb weniger Minuten nach einem erfolgreichen Authentifizierungsereignis beginnt
• Neue Remote-Access-Tools, die kurz nach dem Kontakt mit dem Helpdesk installiert werden

Diese Indikatoren treten bei einem Umgehungsversuch selten isoliert auf. Die Korrelation von Authentifizierungsereignissen mit Endpoint- und Netzwerksignalen ist das, was eine echte Bypass-Erkennung von einem False Positive unterscheidet.

So verhindern Sie MFA-Bypass-Angriffe

Die Techniken zu kennen, ist die halbe Gleichung. Hier ist der ermutigende Teil: Jede Lücke, über die Sie gerade gelesen haben, lässt sich schließen, und die Maßnahmen dafür sind gut verstanden.

• Setzen Sie phishing-resistente MFA als primäre Sicherheitsmaßnahme ein. Laut CISA-Leitlinie gelten nur FIDO2/WebAuthn und PKI-basierte Authentifizierung als phishing-resistent. SMS-Codes, zeitbasierte Einmalpasswort-Apps (TOTP), E-Mail-Links und Push-Benachrichtigungen – selbst mit Number Matching – sind ausdrücklich ausgeschlossen. CISA erklärt, dass ältere MFA-Methoden anfällig für Phishing, SIM-Swap, SS7-Probleme und Prompt-Bombing sind. Beginnen Sie die Einführung mit Ihren Konten mit den höchsten Berechtigungen: Domain-Admins, Cloud-Administratoren und Sicherheitsteams.
• Erzwingen Sie Token-Binding und Kontrollen für den Sitzungslebenszyklus. NIST IR 8587 bietet Leitlinien für den Token-Lebenszyklus: Isolieren Sie Signaturschlüssel des Identity Providers, rotieren Sie Schlüssel basierend auf dem Risikoniveau und erzwingen Sie Sitzungs-Timeouts entsprechend den NIST-Vertrauensstufen. Begrenzen Sie für privilegierten Zugriff Sitzungen und Inaktivitätsfenster im Einklang mit höheren NIST-Anforderungen.
• Implementieren Sie Conditional-Access-Richtlinien. Fordern Sie einen konformen Gerätezustand und phishing-resistente MFA für jeden Zugriff auf Cloud-Anwendungen. Laut der Leitlinie der Cloud Security Alliance (CSA) sollten Standort, Gerätekonformität, Rollenkontext und MFA-Vertrauensstufe in jede Zugriffsentscheidung einfließen.
• Blockieren Sie Legacy-Authentifizierungsprotokolle. CISA Binding Operational Directive (BOD) 25-01 schreibt das Blockieren von Legacy-Protokollen vor, weil diese MFA nicht unterstützen können. Jeder Legacy-Authentifizierungsablauf stellt einen dauerhaften Umgehungspfad dar, selbst wenn moderne Abläufe starke MFA erzwingen.
• Härten Sie Helpdesk-Prozesse. Technische Kontrollen versagen, wenn ein Social Engineer Ihren Helpdesk davon überzeugt, sie zurückzusetzen. Fordern Sie eine Identitätsprüfung über mehrere Kanäle für alle MFA-Resets bei privilegierten Konten. Implementieren Sie Out-of-Band-Rückrufverfahren. Schulen Sie Helpdesk-Mitarbeitende darin, die Aufklärungsmuster zu erkennen, die Scattered Spider verwendet.

Selbst bei starker Härtung wird es weiterhin MFA-Bypass-Versuche geben. Die Frage ist dann, wie schnell Sie sie finden und stoppen, wenn sie auftreten.

MFA-Bypass in Cloud- und Identitätsumgebungen

Die Cloud verändert die Form des Problems. Sie führt MFA-Bypass-Risiken ein, mit denen On-Premises-Konfigurationen nie konfrontiert waren.

• Single Sign-On (SSO)-Verkettung. Wenn eine kompromittierte SSO-Sitzung Zugriff auf Dutzende nachgelagerte Anwendungen gewährt, skaliert ein einzelner erfolgreicher MFA-Bypass sofort. Ein Angreifer, der ein Okta- oder Microsoft-Entra-Sitzungstoken stiehlt, kann sich durch das gesamte verbundene Anwendungsportfolio bewegen, ohne auf irgendeiner integrierten Plattform zusätzliche MFA-Abfragen auszulösen.
• Lücken bei Conditional Access. Viele Organisationen erzwingen phishing-resistente MFA für primäre Cloud-Anwendungen, lassen aber Lücken in Legacy-Anwendungsconnectors, API-Endpunkten oder Service-Principal-Konfigurationen. Angreifer identifizieren und nutzen diese Lücken aus. CISA BOD 25-01 schreibt das Blockieren von Legacy-Authentifizierungsprotokollen ausdrücklich vor, weil diese Conditional-Access-Richtlinien umgehen.
• Missbrauch von Service Principals und OAuth. Cloud Identitätsumgebungen verlassen sich für Automatisierung und Integrationen auf Dienstkonten und OAuth-Token. Diese Maschinenidentitäten arbeiten typischerweise ohne MFA-Kontrollen. Angreifer kompromittieren Service Principals, gewähren ihnen über OAuth-Consent-Phishing erhöhte Berechtigungen und nutzen diese Berechtigungen, um in der Umgebung zu persistieren, lange nachdem die ursprünglichen Zugangsdaten rotiert wurden.
• Föderierte Identität und SAML-Manipulation. Föderierte Authentifizierung zwischen Identity Providern und Cloud-Plattformen schafft zusätzliche Angriffsflächen. Ein Angreifer, der einen Signaturschlüssel kompromittiert, wie Storm-0558 2023 zeigte, kann SAML-Assertions fälschen und auf Cloud-Ressourcen zugreifen, ohne irgendeine MFA-Interaktion.

Die Absicherung von Cloud-Identitäten erfordert, dieselben phishing-resistenten MFA-Kontrollen auf Dienstkonten und OAuth-Flows anzuwenden wie auf menschliche Nutzer. Maschinenidentitäten sind die am schnellsten wachsende Angriffsfläche in Cloud-Umgebungen – und diejenige, die am häufigsten außerhalb Ihres MFA-Perimeters bleibt.

Wie SentinelOne bei der Erkennung von MFA-Bypass-Angriffen hilft

MFA-Bypass-Angriffe leben im Raum zwischen Authentifizierung und Zugriff. Die Überwachung des Identity Providers allein lässt Lücken, die Angreifer ausnutzen. Die SingularityTM Platform von SentinelOne schließt diese Lücken, indem sie Authentifizierungsereignisse mit Endpoint-Verhalten, Netzwerkaktivität und Benutzeraktionen in Ihrer gesamten Umgebung korreliert.

Singularity Identity erweitert den Schutz auf Ihre Identitätsinfrastruktur. Es erkennt laufende Angriffe auf Active Directory und Cloud-Identity-Provider wie Entra ID, Ping, Okta, Duo und SecureAuth in Echtzeit – On-Premises und in der Cloud. Behavioral AI kennzeichnet unmögliche Reisemuster, Missbrauch von Zugangsdaten und Privilegieneskalation im Zusammenhang mit Token-Manipulation. Wenn Identitätsaktivität mit Sitzungsmissbrauch zusammenfällt, handelt die Plattform. Sie beendet bösartige Prozesse, schließt kompromittierte Sitzungen und isoliert betroffene Endpoints.

Singularity Identity scannt außerdem kontinuierlich nach schwachen, offengelegten und kompromittierten Zugangsdaten und bietet autonome Reaktionen, um auf Zugangsdaten basierende Angriffe zu stoppen, bevor sie Ihre Umgebung erreichen.

Buchen Sie eine Demo mit SentinelOne, um zu sehen, wie Sie MFA-Bypass-Angriffe in Ihrer gesamten Umgebung finden und stoppen können.

Wichtigste Erkenntnisse

MFA bleibt unverzichtbar, ist aber nicht unüberwindbar. Acht unterschiedliche Umgehungstechniken – von Prompt-Bombing bis zu OAuth-Consent-Phishing – nutzen Schwächen in älteren MFA-Verfahren aus. Der Weg nach vorn ist klar: Wechseln Sie zu einer Strategie, die für diese Bedrohung ausgelegt ist. 

Phishing-resistente MFA (FIDO2/WebAuthn) in Kombination mit Verhaltensüberwachung, die Anomalien nach der Authentifizierung in Echtzeit erkennt, kann MFA von einer Schwachstelle wieder zu einem echten Vorteil machen.

FAQs

Was ist Multi-Faktor-Authentifizierung (MFA)?

Multi-Faktor-Authentifizierung (MFA) ist eine Sicherheitsmethode, bei der Benutzer ihre Identität mit zwei oder mehr unterschiedlichen Arten von Nachweisen verifizieren müssen, bevor sie auf ein System oder eine Anwendung zugreifen. 

Diese Faktoren fallen in folgende Kategorien: etwas, das Sie wissen (Passwörter, PINs), etwas, das Sie besitzen (Sicherheitsschlüssel, Telefone) und etwas, das Sie sind (Fingerabdrücke, Gesichtserkennung). NIST 800-63-4 legt fest, dass Faktoren aus unterschiedlichen Kategorien stammen müssen, um als echte MFA zu gelten.

Warum kann MFA umgangen werden?

MFA kann umgangen werden, weil die meisten Implementierungen auf gemeinsam genutzten Geheimnissen oder vom Benutzer bestätigten Aufforderungen beruhen, nicht auf kryptografischer Bindung. SMS-Codes, TOTP-Apps und Push-Benachrichtigungen erfordern alle die Übertragung oder Bestätigung eines Werts, den ein Angreifer abfangen, weiterleiten oder durch Social Engineering erlangen kann. 

Auch das Authentifizierungsereignis selbst kann umgangen werden, indem Sitzungstoken gestohlen werden, nachdem eine legitime Anmeldung abgeschlossen wurde, wodurch die MFA-Abfrage irrelevant wird. Nur FIDO2/WebAuthn beseitigt diese Klasse der Umgehung, indem die Authentifizierung kryptografisch an die legitime Domain gebunden wird, wodurch Weiterleitung und Abfangen technisch unmöglich werden

Was ist der Unterschied zwischen phishing-resistenter MFA und standardmäßiger MFA?

Standard-MFA (SMS-Codes, Push-Benachrichtigungen, TOTP-Apps) basiert auf gemeinsam genutzten Geheimnissen, die Angreifer abfangen, umleiten oder erneut verwenden können. Phishing-resistente MFA verwendet eine kryptografische Bindung zwischen dem Authenticator und der legitimen Domain. 

FIDO2/WebAuthn- und PKI-basierte Methoden (PIV/CAC) verifizieren die Serveridentität, bevor Anmeldedaten freigegeben werden, wodurch Relay- und AiTM-Angriffe technisch unmöglich werden. CISA, NIST und die FIDO Alliance klassifizieren nur diese beiden Methoden als phishing-resistent.

Wie umgehen Angreifer MFA, selbst wenn Number Matching aktiviert ist?

Number Matching stoppt einfache Push-Fatigue-Angriffe, indem Benutzer eine angezeigte Zahl eingeben müssen. Es stoppt jedoch kein AiTM-Phishing, bei dem der Proxy des Angreifers den echten Authentifizierungsablauf in Echtzeit weiterleitet. 

Der Angreifer sieht dieselbe Zahlenabfrage und kann sie an das Opfer weiterleiten. CISA beschreibt Number Matching als vorübergehende Maßnahme, während Organisationen auf phishing-resistente MFA umsteigen, nicht als dauerhafte Verteidigung.

Welche MFA-Umgehungstechnik ist heute am häufigsten?

Token-Diebstahl und Session-Hijacking werden im Verizon 2025 DBIR als führende Bedenken hinsichtlich der Umgehung von MFA dargestellt. Sie zielen auf Sitzungen nach der Authentifizierung ab und nicht auf das Authentifizierungsereignis selbst, wodurch die anfängliche MFA-Abfrage irrelevant wird, sobald ein gültiges Session-Token erfasst wurde. 

Das Stoppen von Token-Diebstahl erfordert verhaltensbasierte Überwachung der Sitzungsaktivität, Muster von unmöglichen Reisen und Anomalien bei gleichzeitigen Sitzungen.

Sollten Unternehmen die Verwendung von SMS-basierter MFA vollständig einstellen?

Organisationen sollten sich von SMS-basierter MFA abwenden. Nach der Salt Typhoon-Kampagne warnte die Leitlinie von FBI und CISA davor, sich bei einem zweiten Faktor auf SMS zu verlassen. Mehrere Angriffstechniken, darunter SS7-Ausnutzung, SIM-Swapping und AiTM-Phishing, können SMS-basierte MFA überwinden. 

Stellen Sie für privilegierte Konten auf FIDO2-Sicherheitsschlüssel und für Standardbenutzer auf hardwaregebundene Plattform-Authentifikatoren um.

Welche MITRE ATT&CK-Techniken lassen sich MFA-Umgehungsangriffen zuordnen?

Die acht primären Techniken lassen sich mehreren ATT&CK-IDs zuordnen: T1621 (MFA Request Generation) deckt Prompt Bombing und Echtzeit-Phishing-Abläufe ab. T1550 (Use Alternate Authentication Material) deckt Session Hijacking ab. T1589 (Gather Victim Identity Information) unterstützt SIM-Swapping. 

T1111 (MFA Interception) deckt SS7-Ausnutzung ab. T1566.004 (Spearphishing Voice) deckt Social Engineering beim Helpdesk ab. T1606 (Forge Web Credentials) deckt OAuth-Consent-Phishing ab.