Multi-Faktor-Authentifizierung zählt zu den wirksamsten Schutzmaßnahmen für Benutzerkonten. Verfahren, bei denen eine Push-Benachrichtigung nur mit „Genehmigen“ bestätigt wird, haben aber eine Schwachstelle: den Menschen, der tippt. Bei MFA-Fatigue, wörtlich MFA-Ermüdung, setzen Angreifende genau dort an. Die Wissensdatenbank MITRE ATT&CK führt die Methode als Technik T1621 „Multi-Factor Authentication Request Generation“.
Wie läuft ein MFA-Fatigue-Angriff ab?
- Passwort ist bereits bekannt: Die Täter besitzen Benutzername und Passwort, etwa aus Phishing, Schadsoftware, einem Datenleck oder durch Credential Stuffing.
- Anfragen in Serie: Sie lösen wiederholt Anmeldungen aus, oft nachts oder in kurzen Abständen. Jede Anmeldung erzeugt eine Anfrage auf dem Smartphone der betroffenen Person.
- Druck von außen: Häufig kommt Social Engineering hinzu. Ein angeblicher IT-Support ruft an und bittet, die Anfrage „zur Fehlerbehebung“ zu bestätigen.
- Übernahme: Wird eine einzige Anfrage bestätigt, ist das Konto offen. Angreifende registrieren danach mitunter ein eigenes Gerät als weiteren Faktor, um dauerhaft Zugriff zu behalten.
Praxis für KMU und Gemeinden
Besonders gefährdet sind Konten, die aus dem Internet erreichbar sind: Microsoft 365, VPN-Zugänge und Fernwartung. In kleineren Unternehmen und Gemeindeämtern fehlt oft eine Stelle, die ungewöhnliche Anmeldeserien rund um die Uhr bemerkt. Umso wichtiger sind Einstellungen, die den Angriff von vornherein ins Leere laufen lassen, und eine einfache Regel für alle Mitarbeitenden: Eine Anmeldeanfrage, die man nicht selbst ausgelöst hat, wird abgelehnt und sofort gemeldet.
Maßnahmen gegen MFA-Fatigue
- Number Matching aktivieren: Die App verlangt die Eingabe einer Zahl, die nur auf dem Anmeldebildschirm erscheint. Blindes Bestätigen ist damit nicht mehr möglich. Die US-Behörde CISA nennt Number Matching eine der besten Übergangsmaßnahmen, solange noch keine phishing-resistente MFA eingeführt ist. In Microsoft Authenticator ist es für alle Push-Benachrichtigungen fest aktiviert und lässt sich nicht abschalten.
- Kontext anzeigen: Anwendungsname und ungefährer Standort der Anmeldung helfen, fremde Anfragen zu erkennen.
- Phishing-resistente Verfahren einführen: Passkeys und FIDO2-Sicherheitsschlüssel binden die Anmeldung kryptografisch an die echte Website. CISA bezeichnet solche Verfahren als Goldstandard.
- Anmeldungen einschränken: Regeln wie Conditional Access begrenzen Zugriffe auf verwaltete Geräte oder bekannte Standorte.
- Anfragen begrenzen: MITRE empfiehlt, die Zahl der Anfragen je Zeitraum zu begrenzen. Abgelehnte Anfragen sind ein Alarmzeichen, denn sie bedeuten meist, dass das Passwort bereits bekannt ist.
- Auffälligkeiten melden lassen: In Microsoft Entra ID können Nutzende eine unerwartete Anfrage als verdächtig melden. Das Konto erhält dann ein hohes Benutzerrisiko, auf das risikobasierte Richtlinien automatisch reagieren können.
- Schulen: In der Security Awareness gehört das Szenario „Anruf vom IT-Support plus Anmeldeanfrage“ zu den wichtigsten Übungen.
Wenn eine Anfrage bestätigt wurde
Passwort sofort zurücksetzen, alle aktiven Sitzungen widerrufen und die registrierten Anmeldemethoden auf fremde Geräte prüfen. Danach Postfachregeln, Weiterleitungen und neu erteilte App-Berechtigungen kontrollieren und den Vorfall nach dem Incident-Response-Plan behandeln.
Bezug zu TOMORIS
EXPERTS Cyber Security härtet Identitäten und Anmeldeverfahren systematisch, von der Zero-Trust-Architektur bis zum Identitätsschutz mit Microsoft Defender. Trainings zum richtigen Verhalten bietet UNIVERSITY Security Awareness.
Quellen
- MITRE ATT&CK: T1621 Multi-Factor Authentication Request Generation
- CISA: Implementing Number Matching in MFA Applications (PDF)
- CISA: Implementing Phishing-Resistant MFA (PDF)
- Microsoft Learn: Number Matching in Microsoft Authenticator
- Microsoft Learn: Einstellungen für Microsoft Entra MFA, verdächtige Aktivität melden