Kann MFA gehackt werden? 8 gängige MFA-Umgehungstechniken erklärt

MFA kann gehackt werden. Erfahren Sie mehr über 8 MFA-Umgehungstechniken, die Angreifer heute verwenden, welche Methoden am anfälligsten sind und wie Sie Ihre Implementierung dagegen absichern können.

Kann MFA gehackt werden?

Multi-Faktor-Authentifizierung (MFA) ist die Kontrolle, auf die die meisten Teams vertrauen, um zu verhindern, dass ein gestohlenes Passwort zu einer Sicherheitsverletzung wird. Und Angreifer haben Jahre damit verbracht, Wege zu finden, sie zu umgehen. Also, kann MFA gehackt werden? Ja. MFA erhöht die Kosten eines Angriffs, beseitigt ihn aber nicht. 

Das Problem liegt nicht im Konzept von MFA. Die meisten Implementierungen basieren auf Faktoren, die Angreifer abfangen, umleiten oder durch Social Engineering umgehen können. SMS-Codes können umgeleitet werden. Push-Benachrichtigungen können gespammt werden. Sitzungstoken können gestohlen werden, nachdem die legitime Authentifizierung abgeschlossen ist. Helpdesk-Mitarbeitende können dazu verleitet werden, MFA vollständig zurückzusetzen. Verizon’s 2025 Data Breach Investigations Report (DBIR) stellte fest, dass verdächtige Anmeldemuster ein wiederkehrendes Anzeichen für Credential Theft und MFA-Bypass-Aktivitäten sind.

Im Dezember 2024 gingen das FBI und die Cybersecurity and Infrastructure Security Agency (CISA) den ungewöhnlichen Schritt, Organisationen und Nutzern zu raten, sich von SMS-basierter MFA abzuwenden, und verwiesen dabei auf aktive Ausnutzung im Zusammenhang mit der Spionagekampagne Salt Typhoon gegen die US-Telekommunikationsinfrastruktur. Die CISA-Richtlinie für mobile Kommunikation empfiehlt Fast Identity Online (FIDO)-basierte Authentifizierung als stärkste Form von MFA, die gegen Umgehungstechniken wirksam ist.

Zu verstehen, wie jede Umgehungstechnik funktioniert, ist der erste Schritt zum Aufbau belastbarer Abwehrmaßnahmen.

8 gängige MFA-Bypass-Techniken

Jede der folgenden Techniken zielt auf eine andere Schwachstelle in MFA-Implementierungen ab, von menschlichen Fehlern bis hin zu Schwächen auf Protokollebene. Einige erfordern Social Engineering. Andere laufen ganz ohne menschliches Zutun ab.

1. MFA-Prompt-Bombing (Push Fatigue)

Der Angreifer erlangt gültige Zugangsdaten durch Phishing oder Datenschutzverletzungen und löst dann wiederholt MFA-Push-Benachrichtigungen aus, bis der Benutzer aus Frustration eine davon bestätigt. Laut CISA AA23-320A sendet Scattered Spider „kontinuierlich MFA-Benachrichtigungsaufforderungen, um Mitarbeitende dazu zu bringen, die Aufforderung zu akzeptieren und Zugriff auf das Zielnetzwerk zu erhalten.“ APT29 hat diese Technik ebenfalls eingesetzt.

Worauf Sie in Ihrem SOC achten sollten: Wiederholte MFA-Anfragen an ein einzelnes Konto innerhalb kurzer Zeit, Anmeldeversuche von ungewöhnlichen Standorten und Abfolgen fehlgeschlagener Authentifizierungen, gefolgt von einer plötzlichen Bestätigung.

2. Session Hijacking und Token-Diebstahl

Diese Technik zielt auf das ab, was nach der Authentifizierung passiert. Angreifer nutzen Schwachstellen in Remote-Access-Infrastrukturen, VPNs, Web-Gateways oder Anwendungsservern aus, um gültige Sitzungstoken zu extrahieren. Sie spielen diese Token erneut ab, um authentifizierte Sitzungen aufzubauen, ohne jemals eine MFA-Abfrage auszulösen. LockBit-Affiliates demonstrierten dies über die CitrixBleed-Schwachstelle (CVE-2023-4966), indem sie Sitzungstoken von Citrix NetScaler-Appliances abgriffen, um MFA vollständig zu umgehen.

Um zu sehen, wie Kontoübernahme und Missbrauch von Sitzungstoken zusammenhängen, behandelt unser Leitfaden die Mechanismen und Erkennungskontrollen, die dies aufdecken.

Worauf Sie in Ihrem SOC achten sollten: Sitzungen aus geografisch unmöglichen Standorten, mehrere gleichzeitige Sitzungen für einen einzelnen Benutzer und Authentifizierungsabläufe, bei denen erwartete MFA-Abfragen übersprungen werden.

3. SIM-Swapping

Der Angreifer sammelt personenbezogene Daten (PII) durch Social Engineering oder Open-Source-Intelligence (OSINT) und kontaktiert dann den Mobilfunkanbieter, um die Telefonnummer des Opfers auf eine vom Angreifer kontrollierte SIM zu übertragen. Alle SMS-basierten MFA-Codes werden nun an den Angreifer weitergeleitet. Laut CISA AA23-320A setzt Scattered Spider SIM-Swapping systematisch als Teil von Datenerpressungsoperationen ein.

Worauf Sie in Ihrem SOC achten sollten: Plötzlicher Verlust des Mobilfunkdienstes oder unerwartete Meldungen des Anbieters über die Deaktivierung der SIM, Nutzung von SMS-MFA-Codes von anderen Geräten als den zuvor registrierten sowie Kontozugriffe unmittelbar nach SIM-Swap-Aktivitäten.

4. Adversary-in-the-Middle (AiTM)-Phishing

Der Angreifer positioniert einen Reverse-Proxy-Server zwischen Ihnen und einem legitimen Authentifizierungsportal. Sie geben Ihre Zugangsdaten ein und schließen Ihre MFA-Abfrage ab. Der Proxy erfasst beides. Der Angreifer verwendet das gestohlene Sitzungstoken, um direkt einzudringen. 

Phishing-as-a-Service-Plattformen haben dazu beigetragen, diese Technik zu kommerzialisieren. Reverse-Proxy-Phishing-Kits spezialisieren sich inzwischen auf AiTM-Angriffe gegen gängige Cloud-Identitäts-Workflows. Kits wie Mamba 2FA zielen auf große Cloud-Identitätsplattformen ab und implementieren Anti-Bot-Erkennung, um Sicherheitsscans zu umgehen.

Unser Leitfaden zu Adversary-in-the-Middle-Angriffen behandelt, wie sich AiTM von klassischen Man-in-the-Middle-Techniken unterscheidet und wie Sie Indikatoren in Ihrer Umgebung finden.

Worauf Sie in Ihrem SOC achten sollten: Authentifizierungsanfragen aus Virtual Private Server (VPS)- oder Proxy-Infrastrukturen, verdächtige Domain-Registrierungen, die Ihre Anmeldeportale nachahmen, und kurze Zeitabstände zwischen der Eingabe von Zugangsdaten und dem Zugriff von einer anderen IP.

5. Social Engineering von Helpdesks

Laut CISA AA23-320A führt Scattered Spider einen mehrphasigen Angriff auf den IT-Support aus: zunächst durch Aufklärungsanrufe, um Verfahren zum Zurücksetzen von Passwörtern zu erlernen, und anschließend durch das Vortäuschen von Mitarbeitenden, um Helpdesk-Mitarbeitende davon zu überzeugen, MFA-Token zurückzusetzen. Seit Anfang 2023 hat diese Technik Zugriff auf „Single Sign-On (SSO)-Konten und cloudbasierte Anwendungssuiten“ ermöglicht. Vertraglich gebundene oder ausgelagerte Helpdesks sind aufgrund weniger strenger Verifizierung besonders anfällig.

Worauf Sie in Ihrem SOC achten sollten: Ungewöhnlich hohe Volumina von MFA-Reset-Anfragen für privilegierte Konten, insbesondere außerhalb der Geschäftszeiten, sowie die Installation von Remote-Access-Tools (TeamViewer, AnyDesk) nach Helpdesk-Interaktionen.

6. Ausnutzung des SS7-Protokolls

Signaling System 7, entwickelt in den 1970er-Jahren, ist weiterhin das Rückgrat der globalen mobilen Kommunikation. Angreifer, die Zugriff auf SS7-Netzwerke erhalten, können SMS-Verkehr umleiten und MFA-Codes in Echtzeit abfangen. SS7-Missbrauch kann Codes abfangen und Betrug ermöglichen, ohne Malware einzusetzen, was dies zu einem praktischen Risiko für jede Organisation macht, die auf SMS-basierte MFA angewiesen ist.

Nach der Salt Typhoon-Kampagne bestätigte die SANS Institute-Richtlinie, dass CISA „unmissverständlich erklärte: ‚Verwenden Sie SMS nicht als zweiten Faktor für die Authentifizierung.‘“

7. Echtzeit-Phishing-Toolkits

Toolkits wie EvilProxy, Evilginx, Sneaky2FA und WikiKit fungieren als Plattformen für die Echtzeit-Wiedergabe von Zugangsdaten und Sitzungen. Sie erfassen Zugangsdaten und Sitzungstoken und spielen sie erneut ab, bevor Benutzer oder Sicherheitsteams Auffälligkeiten feststellen. Das schnelle Wiedergabefenster erzeugt ein Wettrennen, mit dem signaturbasierte Tools nur schwer Schritt halten können.

Phishing hat sich zu einer größeren operativen Bedrohung entwickelt, die auf dem Missbrauch von MFA, modularen Tools und wiederverwendbarer Infrastruktur basiert. Threat Researcher dokumentieren weiterhin, wie Angreifer diese Workflows für Wiederverwendung und Verbreitung paketieren.

8. OAuth- und Consent-Phishing

Der Angreifer registriert eine bösartige Anwendung bei einem OAuth-Anbieter und verleitet dann einen Benutzer dazu, ihr Berechtigungen zu erteilen. Die Anwendung erhält legitime OAuth-Token mit vom Benutzer gewährtem Zugriff und umgeht MFA vollständig. Refresh-Token-Mechanismen ermöglichen eine langfristige Persistenz, die Passwortzurücksetzungen oft überdauert.

Von dort aus manipulieren Angreifer Service Principals, erstellen Rogue-OAuth-Anwendungen und exfiltrieren sensible Daten über Cloud-APIs und Kollaborationsplattformen. Die chinesische staatlich unterstützte Gruppe Silk Typhoon hat diese Technik genutzt, um sich unbemerkt durch Kundenumgebungen zu bewegen.

Worauf Sie in Ihrem SOC achten sollten: Neue OAuth-Anwendungsregistrierungen, die hochprivilegierte Berechtigungen anfordern, SAML-Token, die ohne MFA in Identitätsprotokollen ausgestellt werden, sowie ungewöhnliche API-Aufrufmuster an Cloud-APIs oder Kollaborationsplattformen.

Diese acht Techniken umfassen Social Engineering, Protokollausnutzung und Missbrauch nach der Authentifizierung. Die von Ihnen eingesetzte MFA-Methode bestimmt, wie vielen davon Ihre Organisation ausgesetzt ist.

Welche MFA-Methoden sind am anfälligsten für Umgehung?

Nicht jede MFA-Methode ist den acht oben genannten Techniken gleichermaßen ausgesetzt. Die folgende Tabelle ordnet fünf gängige MFA-Implementierungen den Umgehungskategorien zu, die sie überwinden können, basierend auf der phishing-resistenten CISA-Richtlinie und den Klassifizierungen der FIDO Alliance.

MFA-Methode	Anfällig für	Phishing-resistent?
SMS- / Sprachcodes	SIM-Swapping, SS7-Ausnutzung, AiTM-Phishing, Echtzeit-Phishing-Toolkits	Nein
TOTP-Apps (Google Authenticator, Authy)	AiTM-Phishing, Echtzeit-Phishing-Toolkits	Nein
Push-Benachrichtigungen	Prompt-Bombing, AiTM-Phishing	Nein
Push mit Number Matching	AiTM-Phishing (Proxy leitet die Zahl in Echtzeit weiter)	Nein
FIDO2 / WebAuthn-Sicherheitsschlüssel	Keine der acht oben genannten Techniken	Ja

Das Muster ist eindeutig: Jede Methode, die auf gemeinsamen Geheimnissen oder vom Benutzer bestätigten Aufforderungen basiert, fällt mindestens einer Umgehungstechnik zum Opfer. Nur kryptografische Authentifizierung übersteht die vollständige Liste.

Warum MFA mit gemeinsamen Geheimnissen scheitert

Die ersten vier Methoden stützen sich alle auf gemeinsame Geheimnisse oder vom Benutzer bestätigte Aufforderungen – genau das, was ein Angreifer abfangen oder weiterleiten kann. FIDO2-Schlüssel funktionieren nach einem völlig anderen Prinzip. Der private Schlüssel verlässt Ihr Gerät nie, und jede Authentifizierungsabfrage ist kryptografisch an die echte Domain gebunden. Ein Phishing-Proxy kann keine gültige Signatur fälschen, weil die Domain nie übereinstimmt. Laut NIST 800-63-4 qualifizieren sich nur Authenticatoren, die „asymmetrische kryptografische Verfahren“ verwenden, für die höchste Vertrauensstufe.

Wenn Sie heute SMS- oder Push-basierte MFA einsetzen, können Sie Ihr Risiko sofort senken. Stellen Sie zuerst privilegierte Konten auf FIDO2-Schlüssel um und geben Sie Standardbenutzern dann Plattform-Authenticatoren wie Windows Hello und Apple Touch ID. Es ist eine schrittweise Einführung, kein vollständiger Austausch, und der praktikabelste Weg zu Phishing-Resistenz, ohne einen einzigen Arbeitstag zu beeinträchtigen.

Praxisbeispiele für MFA-Bypass-Angriffe

Die oben genannten Techniken sind nicht theoretisch. Reale Sicherheitsverletzungen zeigen, wie Angreifer MFA-Bypass-Techniken zu mehrstufigen Angriffen verketten, oft innerhalb weniger Stunden nach dem ersten Zugriff.

1. MGM Resorts (2023). Scattered Spider kompromittierte die Umgebung von MGM, indem die Gruppe den Helpdesk anrief, sich als Mitarbeitender ausgab und das Personal dazu brachte, MFA-Zugangsdaten zurückzusetzen. Der Angriff nutzte LinkedIn, um IT-Mitarbeitende zu identifizieren und die Details zu sammeln, die zum Bestehen von Verifizierungsprüfungen erforderlich waren. Die Störungen erstreckten sich über Hotelbetrieb, Casinosysteme und Kundendaten; der gemeldete Schaden überstieg laut MGMs SEC-8-K-Einreichung 100 Millionen US-Dollar.
2. Uber (2022). Ein Angreifer kaufte gestohlene Zugangsdaten auf einem Dark-Web-Marktplatz und startete dann eine anhaltende MFA-Prompt-Bombing-Kampagne gegen einen Uber-Auftragnehmer. Nachdem der Auftragnehmer eine Push-Benachrichtigung bestätigt hatte, um die Warnungen zu stoppen, bewegte sich der Angreifer innerhalb weniger Stunden lateral durch Ubers interne Systeme, darunter Slack, AWS und Google Workspace. Ubers offizielles Sicherheitsupdate bestätigte, dass die Zugangsdaten des Auftragnehmers wahrscheinlich nach einer Malware-Infektion seines privaten Geräts im Dark Web gekauft wurden.
3. Salt Typhoon (2024). Die chinesische staatlich unterstützte Gruppe nutzte Schwächen im SS7-Protokoll aus, um SMS-basierte MFA-Codes abzufangen, die auf die US-Telekommunikationsinfrastruktur abzielten. Das FBI und CISA veröffentlichten eine gemeinsame Richtlinie, in der Organisationen direkt als Reaktion auf die aktive Ausnutzung im Zusammenhang mit dieser Kampagne geraten wurde, die Nutzung von SMS-basierter MFA einzustellen.
4. Storm-0558 (2023). Microsoft legte offen, dass der mit China verbundene Threat Actor Storm-0558 Authentifizierungstoken mithilfe eines erlangten Microsoft-Signaturschlüssels fälschte, um auf Cloud-E-Mail-Konten mehrerer Kundenorganisationen zuzugreifen. Der Angriff umging Standard-MFA-Kontrollen, indem er auf der Token-Ebene statt auf der Zugangsdatenebene operierte, wodurch die anfängliche MFA-Abfrage irrelevant wurde.

Jeder Vorfall nutzte eine andere Technik aus der obigen Liste. Der gemeinsame Nenner: Angreifer passen ihre Methode an das schwächste Glied in der MFA-Implementierung jeder Organisation an.

Indikatoren für MFA-Bypass-Versuche

MFA-Bypass hinterlässt Spuren in Identitätsprotokollen, Endpoint-Telemetrie und Netzwerkaktivitäten. Erfassen Sie diese Signale frühzeitig, können Sie reagieren, bevor sich ein Angreifer festsetzt.

Authentifizierungsanomalien:

• Anmeldungen von unmöglichen Standorten innerhalb von Minuten nach einer erfolgreichen Authentifizierung in einer anderen Region
• Mehrere gleichzeitige aktive Sitzungen für ein einzelnes Benutzerkonto
• Authentifizierungsabläufe, die ohne entsprechende MFA-Abfrage in Identitätsprotokollen abgeschlossen werden
• MFA-Abfragen, die außerhalb der Geschäftszeiten oder von Geräten bestätigt werden, die nicht in der Liste registrierter Geräte stehen

Identitäts- und Zugriffsmuster:

• Plötzlicher Anstieg von MFA-Reset-Anfragen für privilegierte Konten
• Neue OAuth-Anwendungsregistrierungen, die hochprivilegierte Berechtigungen anfordern
• SAML-Token, die ohne MFA-Kontext in Protokollen des Identity Providers ausgestellt werden
• Helpdesk-Tickets mit Anfragen zur MFA-Umgehung oder zum Zurücksetzen von Zugangsdaten, unmittelbar gefolgt von Kontozugriff von einem neuen Gerät

Netzwerk- und Endpoint-Signale:

• Sitzungsaktivitäten aus VPS-Infrastrukturen, Anonymisierungs-Proxys oder Tor-Exit-Nodes
• Kurze Zeitabstände zwischen der Übermittlung von Zugangsdaten und anschließendem Zugriff von einer anderen IP
• Laterale Bewegung, die innerhalb von Minuten nach einem erfolgreichen Authentifizierungsereignis beginnt
• Neu installierte Remote-Access-Tools kurz nach einem Helpdesk-Kontakt

Diese Indikatoren treten bei einem Umgehungsversuch selten isoliert auf. Die Korrelation von Authentifizierungsereignissen mit Endpoint- und Netzwerksignalen ist das, was eine echte Bypass-Erkennung von einem False Positive unterscheidet.

So verhindern Sie MFA-Bypass-Angriffe

Die Techniken zu kennen, ist die halbe Gleichung. Hier ist der ermutigende Teil: Jede Lücke, über die Sie gerade gelesen haben, lässt sich schließen, und die Maßnahmen dafür sind gut verstanden.

• Setzen Sie phishing-resistente MFA als primäre Kontrolle ein. Laut CISA-Richtlinie gelten nur FIDO2/WebAuthn und PKI-basierte Authentifizierung als phishing-resistent. SMS-Codes, zeitbasierte Einmalpasswort-Apps (TOTP), E-Mail-Links und Push-Benachrichtigungen – selbst mit Number Matching – sind ausdrücklich ausgeschlossen. CISA erklärt, dass Legacy-MFA-Methoden anfällig für Phishing, SIM-Swap, SS7-Probleme und Prompt-Bombing sind. Beginnen Sie die Einführung mit Ihren Konten mit den höchsten Berechtigungen: Domain-Admins, Cloud-Administratoren und Sicherheitsteams.
• Erzwingen Sie Token-Binding- und Session-Lifecycle-Kontrollen. NIST IR 8587 bietet Richtlinien für den Token-Lebenszyklus: Isolieren Sie Signaturschlüssel des Identity Providers, rotieren Sie Schlüssel basierend auf dem Risikoniveau und erzwingen Sie Sitzungs-Timeouts entsprechend den NIST-Vertrauensstufen. Begrenzen Sie für privilegierten Zugriff Sitzungen und Inaktivitätsfenster im Einklang mit höheren NIST-Anforderungen.
• Implementieren Sie Conditional-Access-Richtlinien. Fordern Sie einen konformen Gerätezustand und phishing-resistente MFA für jeden Zugriff auf Cloud-Anwendungen. Laut Cloud Security Alliance (CSA)-Richtlinie sollten Standort, Gerätekonformität, Rollenkontext und MFA-Vertrauensstufe in jede Zugriffsentscheidung einfließen.
• Blockieren Sie Legacy-Authentifizierungsprotokolle. CISA Binding Operational Directive (BOD) 25-01 schreibt das Blockieren von Legacy-Protokollen vor, weil diese MFA nicht unterstützen können. Jeder Legacy-Authentifizierungsablauf stellt einen dauerhaften Umgehungspfad dar, selbst wenn moderne Abläufe starke MFA erzwingen.
• Härten Sie Helpdesk-Prozesse. Technische Kontrollen versagen, wenn ein Social Engineer Ihren Helpdesk davon überzeugt, sie zurückzusetzen. Fordern Sie eine Identitätsprüfung über mehrere Kanäle für alle MFA-Resets bei privilegierten Konten. Implementieren Sie Out-of-Band-Rückrufverfahren. Schulen Sie Helpdesk-Mitarbeitende darin, die von Scattered Spider verwendeten Aufklärungsmuster zu erkennen.

Selbst bei starker Härtung werden MFA-Bypass-Versuche weiterhin auftreten. Die Frage ist dann, wie schnell Sie sie finden und stoppen, wenn sie auftreten.

MFA-Bypass in Cloud- und Identitätsumgebungen

Die Cloud verändert die Form des Problems. Sie bringt MFA-Bypass-Risiken mit sich, mit denen On-Premises-Konfigurationen nie konfrontiert waren.

• Single Sign-On (SSO)-Verkettung. Wenn eine kompromittierte SSO-Sitzung Zugriff auf Dutzende nachgelagerte Anwendungen gewährt, skaliert ein einzelner erfolgreicher MFA-Bypass sofort. Ein Angreifer, der ein Okta- oder Microsoft Entra-Sitzungstoken stiehlt, kann sich durch das gesamte verbundene Anwendungsportfolio bewegen, ohne auf irgendeiner integrierten Plattform zusätzliche MFA-Abfragen auszulösen.
• Lücken bei Conditional Access. Viele Organisationen erzwingen phishing-resistente MFA für primäre Cloud-Anwendungen, lassen aber Lücken in Legacy-Anwendungs-Connectors, API-Endpunkten oder Service-Principal-Konfigurationen. Angreifer identifizieren und nutzen diese Lücken aus. CISA BOD 25-01 schreibt das Blockieren von Legacy-Authentifizierungsprotokollen ausdrücklich vor, weil diese Conditional-Access-Richtlinien umgehen.
• Missbrauch von Service Principals und OAuth. Cloud Identitätsumgebungen verlassen sich für Automatisierung und Integrationen auf Dienstkonten und OAuth-Token. Diese Maschinenidentitäten arbeiten typischerweise ohne MFA-Kontrollen. Angreifer kompromittieren Service Principals, gewähren ihnen über OAuth-Consent-Phishing erhöhte Berechtigungen und nutzen diese Berechtigungen, um lange nach der Rotation der ursprünglichen Zugangsdaten in der Umgebung persistent zu bleiben.
• Föderierte Identität und SAML-Manipulation. Föderierte Authentifizierung zwischen Identity Providern und Cloud-Plattformen schafft zusätzliche Angriffsflächen. Ein Angreifer, der einen Signaturschlüssel kompromittiert, wie Storm-0558 2023 zeigte, kann SAML-Assertions fälschen und auf Cloud-Ressourcen zugreifen, ohne jegliche MFA-Interaktion.

Die Absicherung von Cloud-Identitäten erfordert, dieselben phishing-resistenten MFA-Kontrollen auf Dienstkonten und OAuth-Flows anzuwenden wie auf menschliche Benutzer. Maschinenidentitäten sind die am schnellsten wachsende Angriffsfläche in Cloud-Umgebungen – und diejenige, die am häufigsten außerhalb Ihres MFA-Perimeters bleibt.

Wie SentinelOne bei der Erkennung von MFA-Bypass-Angriffen hilft

MFA-Bypass-Angriffe leben im Raum zwischen Authentifizierung und Zugriff. Allein die Überwachung des Identity Providers lässt Lücken, die Angreifer ausnutzen. SentinelOne's SingularityTM Platform schließt diese Lücken, indem Authentifizierungsereignisse mit Endpoint-Verhalten, Netzwerkaktivitäten und Benutzeraktionen in Ihrer gesamten Umgebung korreliert werden.

Singularity Identity erweitert den Schutz auf Ihre Identitätsinfrastruktur. Es erkennt laufende Angriffe auf Active Directory und Cloud-Identity-Provider wie Entra ID, Ping, Okta, Duo und SecureAuth in Echtzeit – On-Premises und in der Cloud. Behavioral AI markiert Impossible-Travel-Muster, Missbrauch von Zugangsdaten und Privilege Escalation im Zusammenhang mit Token-Manipulation. Wenn Identitätsaktivitäten mit Session-Missbrauch zusammenfallen, handelt die Plattform. Sie beendet bösartige Prozesse, beendet kompromittierte Sitzungen und isoliert betroffene Endpoints.

Singularity Identity scannt außerdem kontinuierlich nach schwachen, offengelegten und kompromittierten Zugangsdaten und bietet autonome Reaktionen, um auf Zugangsdaten basierende Angriffe zu stoppen, bevor sie Ihre Umgebung erreichen.

Buchen Sie eine Demo mit SentinelOne, um zu sehen, wie Sie MFA-Bypass-Angriffe in Ihrer gesamten Umgebung finden und stoppen können.

Wichtige Erkenntnisse

MFA bleibt essenziell, ist aber nicht unüberwindbar. Acht unterschiedliche Umgehungstechniken – von Prompt-Bombing bis OAuth-Consent-Phishing – nutzen Schwächen in Legacy-MFA aus. Der Weg nach vorn ist klar: Wechseln Sie zu einer Strategie, die für diese Bedrohung ausgelegt ist. 

Phishing-resistente MFA (FIDO2/WebAuthn) in Kombination mit Verhaltensüberwachung, die Anomalien nach der Authentifizierung in Echtzeit erkennt, kann MFA von einer Schwachstelle wieder in einen echten Vorteil verwandeln.

FAQs

Was ist Multi-Faktor-Authentifizierung (MFA)?

Multi-Faktor-Authentifizierung (MFA) ist eine Sicherheitsmethode, bei der Benutzer ihre Identität mit zwei oder mehr unterschiedlichen Arten von Nachweisen verifizieren müssen, bevor sie auf ein System oder eine Anwendung zugreifen. 

Diese Faktoren fallen in folgende Kategorien: etwas, das Sie wissen (Passwörter, PINs), etwas, das Sie besitzen (Sicherheitsschlüssel, Telefone) und etwas, das Sie sind (Fingerabdrücke, Gesichtserkennung). NIST 800-63-4 legt fest, dass Faktoren aus unterschiedlichen Kategorien stammen müssen, um als echte MFA zu gelten.

Warum kann MFA umgangen werden?

MFA kann umgangen werden, weil die meisten Implementierungen auf gemeinsam genutzten Geheimnissen oder vom Benutzer bestätigten Aufforderungen beruhen, nicht auf kryptografischer Bindung. SMS-Codes, TOTP-Apps und Push-Benachrichtigungen erfordern alle die Übertragung oder Bestätigung eines Werts, den ein Angreifer abfangen, weiterleiten oder durch Social Engineering erlangen kann. 

Das Authentifizierungsereignis selbst kann ebenfalls umgangen werden, indem Sitzungstoken nach Abschluss einer legitimen Anmeldung gestohlen werden, wodurch die MFA-Abfrage irrelevant wird. Nur FIDO2/WebAuthn beseitigt diese Klasse der Umgehung, indem die Authentifizierung kryptografisch an die legitime Domain gebunden wird, wodurch Weiterleitung und Abfangen technisch unmöglich werden

Was ist der Unterschied zwischen phishing-resistenter MFA und standardmäßiger MFA?

Standard-MFA (SMS-Codes, Push-Benachrichtigungen, TOTP-Apps) basiert auf gemeinsam genutzten Geheimnissen, die Angreifer abfangen, umleiten oder wiederverwenden können. Phishing-resistente MFA verwendet eine kryptografische Bindung zwischen dem Authenticator und der legitimen Domain. 

FIDO2/WebAuthn- und PKI-basierte Methoden (PIV/CAC) verifizieren die Serveridentität, bevor Anmeldedaten freigegeben werden, wodurch Relay- und AiTM-Angriffe technisch unmöglich werden. CISA, NIST und die FIDO Alliance klassifizieren nur diese beiden Methoden als phishing-resistent.

Wie umgehen Angreifer MFA, selbst wenn Number Matching aktiviert ist?

Number Matching stoppt einfache Push-Fatigue-Angriffe, indem Benutzer eine angezeigte Zahl eingeben müssen. Es stoppt jedoch kein AiTM-Phishing, bei dem der Proxy des Angreifers den echten Authentifizierungsablauf in Echtzeit weiterleitet. 

Der Angreifer sieht dieselbe Zahlenabfrage und kann sie an das Opfer weiterleiten. CISA beschreibt Number Matching als vorübergehende Maßnahme, während Unternehmen auf phishing-resistente MFA umsteigen, nicht als dauerhafte Verteidigung.

Welche MFA-Umgehungstechnik ist heute am häufigsten?

Token-Diebstahl und Session-Hijacking werden im Verizon 2025 DBIR als führende Bedenken hinsichtlich der Umgehung von MFA dargestellt. Sie zielen auf Sitzungen nach der Authentifizierung ab und nicht auf das Authentifizierungsereignis selbst, wodurch die anfängliche MFA-Abfrage irrelevant wird, sobald ein gültiges Sitzungstoken erfasst wurde. 

Das Stoppen von Token-Diebstahl erfordert verhaltensbasierte Überwachung der Sitzungsaktivität, Muster unmöglicher Reisen und Anomalien bei gleichzeitigen Sitzungen.

Sollten Unternehmen die Verwendung von SMS-basierter MFA vollständig einstellen?

Unternehmen sollten sich von SMS-basierter MFA abwenden. Nach der Salt Typhoon-Kampagne warnte die Leitlinie von FBI und CISA davor, sich bei einem zweiten Faktor auf SMS zu verlassen. Mehrere Angriffstechniken, darunter SS7-Ausnutzung, SIM-Swapping und AiTM-Phishing, können SMS-basierte MFA aushebeln. 

Stellen Sie für privilegierte Konten auf FIDO2-Sicherheitsschlüssel und für Standardbenutzer auf hardwaregebundene Plattform-Authentifikatoren um.

Welche MITRE ATT&CK-Techniken lassen sich MFA-Umgehungsangriffen zuordnen?

Die acht primären Techniken lassen sich mehreren ATT&CK-IDs zuordnen: T1621 (MFA Request Generation) deckt Prompt Bombing und Echtzeit-Phishing-Abläufe ab. T1550 (Use Alternate Authentication Material) deckt Session Hijacking ab. T1589 (Gather Victim Identity Information) unterstützt SIM-Swapping. 

T1111 (MFA Interception) deckt SS7-Ausnutzung ab. T1566.004 (Spearphishing Voice) deckt Social Engineering beim Helpdesk ab. T1606 (Forge Web Credentials) deckt OAuth-Consent-Phishing ab.