MFA-Fatigue-Angriff und MFA-Bombing

MFA-Fatigue-Angriffe setzen auf genervte Mitarbeitende statt auf Technik. Ein Klick genügt für den Zugriff. So schließen Sie diese Sicherheitslücke.

Inhalt

1. Was ist MFA-Bombing?
2. Wie laufen MFA-Fatigue-Angriffe ab?
3. Folgen
4. Beispiele
5. Abwehr-Maßnahmen
6. Ist Passwortlosigkeit die Lösung?
7. So schützen sich Organisationen

Überblick: MFA-Fatigue-Angriff

• Angreifer fluten Smartphones mit endlosen Push-Nachrichten
• Gestohlene Passwörter treffen auf genervte Nutzende
• Erfolgreiche MFA-Fatique-Angriffe verursachen hohe Kosten und Compliance-Probleme
• Technische Abwehr erfordert Nummernabgleich und Biometrie
• Regelmäßiges Awareness-Training stärkt den Faktor Mensch

Was ist MFA-Bombing bzw. ein MFA-Fatigue-Angriff? Definition und psychologische Taktik

Bei einem MFA-Fatigue-Angriff – oft auch als 2FA Bombing oder Multi-Factor Authentication-Fatigue-Attack bezeichnet – setzen Angreifer auf reine Zermürbung. Sie fluten das Smartphone der Zielperson mit endlosen Push-Nachrichten. Das Ziel: Der Nutzer soll vom Multi-Faktor-Authentifizierungsprozess so genervt sein, dass er den Zugriff irgendwann bestätigt, nur damit das Handy endlich Ruhe gibt oder weil er im Stress den falschen Button drückt. Bildlich gesprochen knackt der Einbrecher hier nicht das Schloss, sondern klingelt so lange Sturm, bis der entnervte Bewohner die Tür freiwillig öffnet.

Ein Beispiel für diese raffinierte Taktik ist der jüngste massive Angriff auf Uber durch die berüchtigte Hackergruppe Lapsus$. Dabei lösten die Angreifenden durch wiederholte Anmeldeversuche mit den gestohlenen VPN-Zugangsdaten eines externen Auftragnehmers eine Flut von Zwei-Faktor-Authentifizierungsanfragen aus. Da der Auftragnehmer zunächst nicht reagierte, gaben sich die Angreifenden als Mitglieder des technischen Support-Teams aus und brachten ihn dazu, die MFA-Anfrage zu akzeptieren und den unberechtigten Zugriff zu gewähren.

Was wir aus dem Uber-Hack lernen

MFA ist stark, aber eben kein Wundermittel für Multi-Factor-Authentication-Cyber-Security. Wenn selbst Tech-Giganten fallen, zeigt das nur eins: Technik allein reicht nicht gegen clevere Psychotricks. Ein genervter Mitarbeiter, ein falscher Klick – und schon stehen Angreifer im System. Wachsamkeit schlägt hier jede Firewall.

Wie läuft ein MFA-Fatigue-Angriff ab?

Beim MFA-Verfahren müssen Nutzende ihre Identität durch verschiedene sogenannte Faktoren nachweisen, um das System vor unerwünschten Zugriffen zu schützen. Dabei handelt es sich zum einen um eine Information, die nur der betreffenden Person bekannt ist (z. B. ein Passwort), zum anderen um ein Gerät, das die Person besitzt (z. B. ein Telefon) und zum dritten um ein biometrisches Merkmal (z. B. einen Fingerabdruck). Das Ganze funktioniert wie eine Schatztruhe mit mehreren Schlössern, die sich nur öffnen lässt, wenn alle Schlüssel zur Hand sind.

Bei einem MFA-Fatigue-Angriff wird versucht, die MFA-Anforderungen zu umgehen und auf andere Weise Zugriff auf ein Konto zu erlangen. Die Strategie besteht darin, das Opfer so lange mit Authentifizierungsanfragen zu bombardieren, bis seine Wachsamkeit irgendwann nachlässt.

Doch wie funktioniert das? Letztlich geht es hierbei nicht um Technik, sondern um Psychologie. Die Angreifenden nutzen eine menschliche Schwäche – in diesem Fall die Ermüdung des Opfers – aus, um sich Zugang zu verschaffen. Dabei läuft der MFA-Fatigue-Angriff in verschiedenen Phasen ab:

1. Zugangsdaten beschaffen: Um durch einen erfolgreichen MFA-Fatigue-Angriff Zugriff auf ein Konto zu erlangen, benötigen die Angreifenden zunächst gültige Zugangsdaten. Dabei kann es sich um Login-Details handeln, die dem Opfer bei einem gezielten Phishing-Angriff entlockt oder im Dark Web gekauft wurden. Diese Zugangsdaten bilden das erste strategische Standbein für den MFA-Fatigue-Angriff.
2. MFA-Anfragen auslösen: Nachdem die Angreifenden so die erste Verteidigungslinie umgangen haben, lösen sie eine Flut von MFA-Push-Benachrichtigungen (oft als MFA-Prompt-Bombing bezeichnet) an die Zielperson aus. In diesen sekundären Sicherheitsanfragen wird das Opfer zumeist aufgefordert, einen an sein Telefon oder seine E-Mail-Adresse gesendeten Code einzugeben oder eine Authentifizierungsanfrage über eine spezielle App zu bestätigen.
3. Zielperson zermürben: Da eine MFA-Benachrichtigung mit großer Wahrscheinlichkeit nicht ausreicht, werden die Angreifenden versuchen, die Zielperson durch ein regelrechtes Bombardement von Authentifizierungsanfragen zu irritieren. Daher die Bezeichnung „MFA Fatigue“ – das Opfer wird zermürbt, bis es ermüdet und schließlich entnervt oder aus Versehen die erwartete Aktion ausführt. Dieser ständige MFA-Spam auf dem Smartphone führt oft dazu, dass Nutzer die Warnsignale ignorieren. Oft wird dieses aggressive Vorgehen auch als MFA-Spamming oder 2FA-Spamming wahrgenommen.
4. Über verschiedene Kanäle überzeugen: In manchen Fällen gehen die Angreifenden noch einen Schritt weiter und geben sich als Mitglieder des technischen Support-Teams aus oder verleiten die Zielperson mit anderen Social-Engineering-Methoden dazu, die MFA-Anfrage zu akzeptieren. Ein Beispiel hierfür ist der jüngste Vorfall bei Uber, bei dem sich die Angreifenden Zugang zu den Systemen des Unternehmens verschafften, indem sie die Zielperson per WhatsApp anschrieben und überredeten, die Anfrage zu bestätigen.
5. Unberechtigten Zugriff erlangen: Mit der Validierung durch die Zielperson haben die Angreifenden die Multi-Faktor-Authentifizierung umgangen, die als einer der stärksten Sicherheitsmechanismen gilt. Sie können ungehindert in das System eindringen und beispielsweise sensible Daten stehlen, Kunden betrügen oder nach und nach das gesamte Netzwerk infiltrieren.

Ist der Zugriff einmal da, bewegen sich die Angreifer oft unbemerkt durch das ganze Netzwerk. Das Risiko reicht weit über gestohlene Daten hinaus: Plötzlich stehen hohe Bußgelder im Raum, Konten werden geplündert und im schlimmsten Fall haften Verantwortliche persönlich.

Die Folgen eines MFA-Fatigue-Angriffs: Hohe Risiken für Organisationen

Ein erfolgreicher MFA-Fatigue-Angriff bleibt selten isoliert. Meist ist die geknackte Authentifizierung nur der erste Schritt. Danach liegen Kundendaten, Finanzunterlagen und interne Geschäftsgeheimnisse offen. Wer glaubt, es trifft nur die IT, irrt gewaltig. Die Konsequenzen ziehen sich oft durch das gesamte Unternehmen – mit unterschiedlichsten Folgen:

• Finanzieller Verlust: MFA-Fatigue-Angriffe können Ihre Organisation dort treffen, wo es weh tut – beim Geld. Sie können nicht autorisierte Transaktionen und betrügerische Machenschaften, Störungen des Geschäftsbetriebs und sogar Gerichtskosten und Geldstrafen nach sich ziehen. Nicht selten müssen Organisationen Ressourcen von Wachstumsinitiativen abziehen, um durch solche Angriffe verursachte Schäden zu kompensieren.
• Störungen des Geschäftsbetriebs: Ein MFA-Fatigue-Angriff kann Sand ins Getriebe Ihrer Organisation streuen und Störungen verursachen, zu Ausfällen führen und Verwirrung stiften. Und bis Ihr Team die Folgen behoben hat, sind Zeitpläne in Verzug, Mitarbeitende gestresst und Geschäftsbeziehungen verloren.
• Rufschädigung: Kunden, Mitarbeitende und Stakeholder haben Ihnen ihre persönlichen Daten anvertraut. Wenn Ihre Verteidigung ins Wanken gerät, kann dieses Vertrauen schwinden und Ihr Ruf Schaden nehmen. Laut einem Bericht von Forbes Insights können Datenschutzverletzungen den Ruf einer Organisation am stärksten schädigen. Das zeigt, wie wichtig es ist, Ihre Daten vor MFA-Fatigue-Angriffen zu schützen.
• Kundenabwanderung: Wenn Kunden einmal von einem MFA-Fatigue- Angriff betroffen waren, fühlen sie sich möglicherweise bei einer anderen Organisation besser aufgehoben. Wettbewerber, die ihren Kunden ein Gefühl größerer Sicherheit vermitteln, sind also im Hinblick auf die Kundentreue im Vorteil.
• Rechtliche Konsequenzen: In vielen Branchen müssen Organisationen Datensicherheits-, Datenschutz- und andere Vorschriften wie das Das EU-Cybersicherheitsgesetz, die Datenschutz-Grundverordnung (DSGVO) und die DORA-Verordnung (Digital Operational Resilience Act) einhalten. Ein erfolgreicher MFA-Fatique-Angriff gilt oft als Compliance-Verstoß und zieht empfindliche Bußgelder nach sich.
• Innovationsbremse: Die Angst vor dem nächsten Hack lähmt. Statt neue Technologien mutig einzuführen, werden Projekte aus Sicherheitsbedenken gestoppt. Das bremst Flexibilität und Wachstum langfristig aus.
• Langfristige Belastung: Die Folgen enden nicht mit dem Schließen der Sicherheitslücke. Der Wiederaufbau von Vertrauen und die Neuausrichtung der Sicherheitsstrategie binden über Monate hinweg Management-Aufmerksamkeit und Ressourcen.

MFA und NIS2: Compliance-Anforderungen erfüllen

Im Kontext der Compliance gewinnt auch die Verknüpfung von MFA und NIS2 (Wer ist betroffen?) massiv an Bedeutung. Verschärftes Risikomanagement stellt Unternehmen vor neue Herausforderungen beim Zugriffsschutz. Wer nur irgendeine Form der Mehrfaktor-Authentifizierung abhakt, riskiert im Ernstfall empfindliche Strafen. Eine solide NIS2-Checkliste prüft deshalb immer, ob die Verfahren auch modernen Angriffen wie Push-Bombing standhalten.

MFA-Fatigue-Angriffe: Beispiele aus dem echten Leben

Uber ist längst nicht die einzige Organisation, die Opfer eines MFA-Fatigue-Angriffs wurde. Dass selbst modernste Schutzmaßnahmen diese Angriffe nicht verhindern konnten, zeigt, wie wichtig es ist, ständig auf der Hut zu sein und Bedrohungen zu erkennen.

Cisco: Die gefährliche Kombination von Vishing und MFA Bombing

Bei Cisco Systems führte eine gezielte Kombination aus Vishing und MFA-Bombing zum Erfolg. Angreifer gaben sich am Telefon als Support-Mitarbeiter aus und erschlichen sich so die Google-Zugangsdaten eines Beschäftigten. Nachdem die Angreifenden an die benötigten Informationen gelangt waren, verschafften sie sich durch die Anmeldung neuer Geräte für die Multi-Faktor-Authentifizierung unberechtigten Zugang zu den VPN-Netzwerken von Cisco und erweiterten dort ihre Berechtigungen. Anschließend richteten sie Hintertüren ein, durch die sie tiefer in die Server und Netzwerke des Unternehmens eindringen und Daten entwenden konnten.

Der Angreifer UNC2447, der zu einer Gruppe mit Verbindungen nach Russland gehört, hat dabei nach eigenen Angaben 3.000 Dateien mit insgesamt 2,8 GB Daten gestohlen. Diese Dateien können vertrauliche Informationen über die Geschäfte, Kunden und Partner des Unternehmens enthalten, weshalb Stakeholder einen erheblichen Reputations- und Vertrauensverlust befürchten. Darüber hinaus besteht die Gefahr, dass die gestohlenen Daten für böswillige Zwecke wie Identitätsdiebstahl oder gezielte Cyberangriffe auf andere Unternehmen missbraucht werden.

University of Queensland: Gezielter Angriff mit trügerischen MFA-Anfragen

Auch Bildungseinrichtungen sind nicht sicher. Ein Mitarbeiter der University of Queensland Australia fiel auf ein MFA-Bombing herein und bestätigte eine Push-Nachricht auf seinem privaten Account. Die Angreifer nutzten diesen Zugang sofort, um Phishing-Mails an Kollegen und Studierende zu verschicken. Über gefälschte Microsoft-Login-Seiten griffen sie dann massenhaft weitere Zugangsdaten ab. Ein einziger falscher Klick genügte, um das universitäre Netzwerk weiträumig zu gefährden.

Solche Fälle betreffen uns unmittelbarer, als wir denken. MFA-Fatigue-Angriffe zielen nicht nur auf Organisationen ab, sondern können auch unbeteiligte Privatpersonen schädigen. Denken Sie nur an all die persönlichen Daten, die Unternehmen speichern, deren Dienste wir häufig in Anspruch nehmen. Wir haben wenig Kontrolle über die Sicherheit unserer Dienstleister – aber volle Kontrolle über unsere eigene. Wer MFA-Fatigue-Angriffe kennt und die richtigen Schutzmaßnahmen ergreift, minimiert das Risiko für sich und seine Daten drastisch.

Maßnahmen zur Abwehr von MFA-Fatigue-Angriffen

Angreifer wissen genau, wo Sicherheitslücken entstehen: Nicht in der Firewall, sondern im Kopf des Nutzers. Wenn das Smartphone endlos vibriert, wird die Bestätigung oft zum reinen Reflex, um endlich Ruhe zu haben. Wer MFA-Fatigue-Angriffe verstehen will, muss also weniger auf Codes schauen und mehr auf Stressfaktoren. Nur wer beide Seiten – Technik und Psychologie – absichert, hat eine echte Chance. Im Folgenden haben wir einige wirksame Multi-Factor- Authentication-Best-Practices zusammengestellt:

• Nutzen Sie starke Passwörter: Sichere Passwörter sind die wichtigste Schutzbarriere gegen Hacker. Erstellen Sie daher für jedes Konto ein einzigartiges, starkes Passwort. Achten Sie darauf, Passwörter nicht wiederzuverwenden – sonst sind nach einer Sicherheitsverletzung auch Ihre anderen Konten gefährdet.
• Nutzen Sie bewährte MFA-Apps oder -Geräte: Verwenden Sie MFA-Apps oder -Geräte vertrauenswürdiger Anbieter wie Google Authenticator und Microsoft Authenticator oder Hardware-Token wie YubiKey. Diese können Einmal-Codes generieren, die Sie bei der Anmeldung zusammen mit Ihrem Passwort eingeben müssen.
• Biometrische Authentifizierung nutzen: Fingerabdruck oder Gesichtsscan sind deutlich schwerer zu fälschen als Passwörter. Ein Angreifer kann zwar Zugangsdaten stehlen, aber nicht einfach Ihren Fingerabdruck replizieren.
• Anmeldeversuche begrenzen: Wer nach wenigen Fehlversuchen automatisch ausgesperrt wird, kann kein Dauerfeuer starten. Eine strikte Obergrenze für Authentifizierungsanfragen stoppt MFA-Fatigue-Angriffe oft schon im Keim.
• Mitarbeitende trainieren: Technik allein schützt nicht vor Panik oder Unachtsamkeit. Regelmäßiges Awareness-Training hilft dem Team, Multi-Factor-Authentication-Fatigue und die damit verbundene Sorglosigkeit zu vermeiden.
• Melden Sie verdächtige Aktivitäten: Ein einfaches Meldeverfahren beschleunigt die Untersuchung und Bearbeitung verdächtiger MFA-Anfragen. Selbst wenn die Anfrage nicht bestätigt wird, weist der Eingang einer solchen MFA-Anfrage darauf hin, dass das Konto Ziel eines Angriffs ist. Deshalb sollten diese Anfragen grundsätzlich gemeldet werden, damit das IT-Team reagieren und weitere MFA-Bombing-Angriffe auf das Konto verhindern kann.
• Nummernabgleich einführen: Statt nur auf „Bestätigen“ zu tippen, müssen Nutzer eine zufällige Zahl vom Bildschirm eingeben. Ein Angreifer kann diese Zahl nicht sehen und scheitert beim Nummernabgleich. Selbst die US-Sicherheitsbehörde CISA empfiehlt dieses Number Matching als effektivsten Schutz gegen MFA-Fatigue-Angriffe. Auch große Technologieunternehmen wie Microsoft haben ihn bereits als Standardfunktion in ihre Authentifizierungs-App aufgenommen.
• Überwachen Sie Kontoaktivitäten: Verfolgen Sie alle Aktivitäten in Ihrem Konto. Aktivieren Sie Push-Benachrichtigungen zu verdächtigen Anmeldeversuchen oder Kontoänderungen. Wenn Ihnen etwas merkwürdig vorkommt, reagieren Sie sofort, indem Sie Ihr Passwort ändern oder den Vorfall melden. Nutzen Sie robuste Überwachungssysteme zur Echtzeit-Verfolgung von Authentifizierungsereignissen.
• Nutzen Sie kontextbezogene Authentifizierung: Implementieren Sie Zugriffskontrollen, die den Benutzerkontext – wie den Standort, das Gerät und den Zeitpunkt des Zugriffs – berücksichtigen. Dieser intelligente Ansatz sorgt dafür, dass nur wirklich notwendige Authentifizierungsanfragen gesendet. So werden die Nutzenden nicht unnötig belästigt und entwickeln keine 2FA-Fatigue.
• Intelligente Authentifizierung nutzen: Wer sich immer vom selben Gerät zur gleichen Zeit anmeldet, braucht keine komplexe Prüfung. Wer aber aus einem neuen Land zugreift, muss sich doppelt beweisen.
• Systeme regelmäßig checken: Sicherheits-Logs sind kein Archiv für später. Wer fehlgeschlagene Anmeldungen und ungewöhnliche Muster zeitnah analysiert, erkennt Angriffe oft, bevor sie erfolgreich sind.
• Alles aktuell halten: Patches schließen Lücken, bevor sie ausgenutzt werden. Wer seine Geräte und MFA-Apps auf dem neuesten Stand hält, macht Angreifenden das Leben automatisch schwer.

Ist Passwortlosigkeit die Lösung gegen MFA-Bombing?

Passwortlose Authentifizierung ist eine vielversprechende Lösung zur Abwehr von MFA-Fatigue-Angriffen – ein pragmatischer Ansatz für mehr Sicherheit, ohne die Komplexität zu erhöhen. Sie eliminiert genau die Faktoren, die sonst zu einer Ermüdung der Nutzenden führen: ständig eingehende Anfragen und die Verwaltung vieler verschiedener Passwörter.

Die passwortlose Authentifizierung kombiniert biometrische Verfahren wie die Fingerabdruck- oder Gesichtserkennung mit Hardware-Token und mobilgerätebasierten Verfahren. Diese personalisierten Identifikationsmerkmale lassen sich jeder Person eindeutig zuordnen, was Angriffe auf Konten erheblich erschwert. Darüber hinaus optimiert die passwortlose Authentifizierung den Prozess der Multi-Faktor-Anmeldung. Die Authentifizierung erfolgt schneller, erfordert weniger Schritte und ist weniger verwirrend. Das erhöht nicht nur die Sicherheit, sondern sorgt auch für eine harmonischere Interaktion zwischen den Nutzenden und den Sicherheitsmaßnahmen.

Mit der zunehmenden Verbreitung biometrischer Technologien bieten passwortlose Verfahren einen flexiblen und skalierbaren Sicherheitsansatz, der Einzelpersonen ebenso wie Organisationen entgegenkommt. Doch Vorsicht: Ohne Passwort heißt nicht automatisch ohne Risiko. Passwortlose Authentifizierung löst zwar das Problem der genervten Bestätigung bei einem MFA-Fatigue-Angriff, speichert aber hochsensible biometrische Daten auf dem Gerät. Wenn das Smartphone selbst unsicher ist, nützt der beste Fingerabdruck nichts. Die Kunst liegt darin, Nutzerfreundlichkeit und Datenschutz unter einen Hut zu bekommen, ohne neue Sicherheitslücken aufzureißen.

MFA Bombing abwehren: So können sich Organisationen schützen

MFA-Systeme sind wichtig, aber oft schieben Nutzer bei der Bestätigung nur ein Hindernis beiseite. Gegen die psychologische Ermüdung bei einem MFA Bombing helfen keine Firewalls, sondern nur Wissen. Das Team muss verstehen, dass Push-Nachrichten kein lästiges Übel sind, sondern der Schlüssel zur eigenen Haustür. Die gamifizierten Security-Awareness-Trainings von SoSafe machen genau das greifbar: In kurzen, spannenden Lerneinheiten verwandeln wir komplexe Sicherheitsregeln in verständliches Alltagswissen – ohne den Arbeitsfluss zu bremsen.

Bei einem MFA-Fatigue-Angriff zählt Tempo. Mit einem Klick auf den Phishing-Report-Button melden Mitarbeitende verdächtige Push-Nachrichten sofort an die IT – ohne Umwege.

Wenn der Angriff läuft, übernimmt unser Cyber-Security-Chatbot Sofie. Er ermöglicht es Managern, Warnungen direkt via MS Teams an alle zu senden. So wird aus einer lokalen Bedrohung blitzschnell eine organisierte Abwehr.
Angreifer rüsten auf, Unternehmen müssen nachziehen. Wer Sicherheit nur einmalig einrichtet, verliert den Anschluss. Die Lösung für eine dauerhaft starke Verteidigung ist unsere ganzheitliche Human-Risk-Management-Platform. Sie verbindet moderne Technologie mit dem wichtigsten Schutzwall: einem Team, das Gefahren erkennt, bevor sie Schaden anrichten.