Multi Faktor Authentifizierung (MFA) gilt als wichtiger Schutz – reicht aber nicht mehr gegen alle Phishing Methoden. Eine Adversary in the middle Attacke (AITM) stiehlt neben Zugangsdaten auch Session Cookies und kann so Benutzerkonten trotz MFA übernehmen. Dieser Beitrag erklärt AITM verständlich und zeigt Massnahmen, um die Phishing Resilienz zu erhöhen.
Was eine Adversary‑in‑the‑middle‑Attacke (AITM) ist
Wie MFA bei AITM ausgehebelt werden kann (Session Cookies)
Welche Komponenten bei einer AITM‑Attacke beteiligt sind
Welche Schutzmassnahmen auf mehreren Ebenen möglich sind (Conditional Access, phishing‑resistente Authentifizierung, Schulungen)
Welche Rolle Phishing‑Simulationen und ein Security Operations Center (SOC) spielen
Ausgangslage
Was ist eine Adversary‑in‑the‑middle‑Attacke (AITM)?
Eine AITM‑Attacke ist eine Phishing‑Methode, die nicht nur Passwort und zweiten Faktor abgreift, sondern zusätzlich Session Cookies stiehlt. Mit einem abgegriffenen Session Cookie kann ein Angreifer für eine bestimmte Zeit auf das Benutzerkonto zugreifen und Schaden anrichten – selbst wenn das Opfer sein Passwort danach ändert.
AITM in Kürze
Zugangsdaten werden abgegriffen
MFA wird im Angriff mit abgefangen
Session Cookie wird entwendet
Zugriff auf das Benutzerkonto bleibt für eine bestimmte Zeit möglich
Warum sind AITM‑Angriffe trotz MFA so gefährlich?
MFA wurde lange als sehr sicher angesehen. AITM‑Angriffe zeigen jedoch, dass ein zusätzlicher Faktor allein nicht phishingsicher ist, wenn Session Cookies abgegriffen werden. Wer AITM versteht, kann Schutzmassnahmen gezielt ergänzen und die Wahrscheinlichkeit erfolgreicher Phishing‑Attacken reduzieren.
Ziel ist es, Zugangsdaten zu stehlen und anschliessend die Kontrolle über ein Benutzerkonto zu erhalten.
Hilfsmittel
Der Angreifer nutzt Hilfsmittel wie Software, um den Angriff durchzuführen
Opfer
Das Opfer gibt seine Daten ein und liefert damit Zugangsdaten und weitere Informationen ab, die der Angriff ausnutzt.
Service
Der Service ist das eigentliche Ziel, zu dem der Angreifer Zugang erhalten möchte.
Risiken
Wie können Sie sich besser gegen AITM‑ und Phishing‑Attacken schützen?
Schutz ist auf mehreren Ebenen möglich. Conditional Access steuert Zugriffe anhand von Signalen wie Benutzer, Standort, Geräte‑Zustand und Gruppen‑Zugehörigkeit – etwa durch Einschränkung auf die Schweiz oder nur für vertrauenswürdige Geräte. Zusätzlich gibt es phishing‑resistente Authentifizierungsmethoden, die nicht einfach abgefangen werden können. Regelmässige Schulungen und interne Phishing‑Simulationen verringern den Erfolg von Angriffen, weil Endbenutzer:innen typische Merkmale besser erkennen.
Kosten
Was kostet ein Security Operations Center für KMU?
Ein Security Operations Center ist ein laufender Sicherheits‑Service und kein Einzelprodukt. Die Kosten hängen von der Grösse der IT‑Umgebung, den zu überwachenden Systemen und dem gewählten Betriebsmodell ab. Für KMU hat sich ein externes, gemanagtes SOC bewährt: Es bietet 24/7‑Überwachung mit planbaren Betriebskosten, ohne eigenes Security‑Team.
Adversary in the middle Attacken zeigen, dass MFA allein nicht mehr genügt, wenn Session Cookies abgegriffen werden. Mit technischen Richtlinien, phishing resistenter Authentifizierung und Schulung lässt sich das Risiko deutlich reduzieren.
