Die Multi-Faktor-Authentifizierung (MFA) sollte ursprünglich eine entscheidende Sicherheitslücke beim Identitätsschutz schließen. Die Idee dahinter war einfach: Selbst wenn ein Angreifer die Zugangsdaten eines Benutzers kennt, kann er sich ohne den zweiten Authentifizierungsfaktor nicht anmelden.

Inzwischen haben Angreifer jedoch erkannt, dass sie den zweiten Faktor gar nicht stehlen müssen, sondern den Benutzer lediglich dazu bringen müssen, ihn selbst freizugeben.

Wenn Ihre Mitarbeitenden eine push-basierte MFA verwenden, stellt diese Angriffsmethode bereits heute eine reale Bedrohung für Ihr Unternehmen dar. Lösungen wie Specops Secure Access wurden entwickelt, um genau diese Schwachstelle zu schließen. Bevor wir auf die Lösung eingehen, lohnt es sich jedoch, zunächst zu verstehen, wie dieser Angriff funktioniert.

So funktioniert MFA-Prompt-Bombing

Damit dieser Angriff erfolgreich ist, benötigt der Angreifer drei zentrale Voraussetzungen:

• gültige Zugangsdaten eines Benutzerkontos, die häufig aus im Dark Web veröffentlichten Datenlecks stammen
• ein Anmeldeportal mit Push-basierter MFA (z. B. VPN, Microsoft 365, Okta oder Duo)
• ein Opfer, das jedes Mal benachrichtigt wird, wenn der Angreifer einen neuen Anmeldeversuch startet

Der Angreifer löst wiederholt MFA-Anfragen aus und versucht dabei, das Ziel entweder zu täuschen oder so lange zu ermüden, bis die Anfrage genehmigt wird.

Oft kombinieren Angreifer das Prompt-Bombing mit Vishing-Anrufen (Voice Phishing). Dabei geben sie sich als Mitarbeiter des IT-Supports aus und versuchen, ihr Opfer durch Social Engineering zur Freigabe der Anfrage zu bewegen.

Das Gefährliche dabei ist, dass diese Methoden nur ein einziges Mal erfolgreich sein müssen.

Wird eine MFA-Anfrage bestätigt, erhält der Angreifer Zugriff auf das Benutzerkonto. Da die Anmeldung technisch korrekt erfolgt, schlagen viele Sicherheitssysteme keinen Alarm – der Login erscheint vollkommen legitim.

Der Cisco-Sicherheitsvorfall

Die Sicherheitsverletzung bei Cisco im Jahr 2022 zeigt eindrucksvoll, wie effektiv diese Technik selbst gegen Unternehmen mit ausgereiften Sicherheitsprogrammen sein kann.

Ein Angreifer, der mit der Ransomware-Gruppe Yanluowang in Verbindung stand, kompromittierte zunächst das private Google-Konto eines Cisco-Mitarbeiters. Da dieses Konto im Browser gespeicherte Zugangsdaten synchronisierte, hatte der Angreifer auch Zugriff auf das VPN-Passwort des Mitarbeiters für Cisco.

Anschließend begann der Angreifer, MFA-Benachrichtigungen auf das Smartphone des Mitarbeiters zu senden. Nachdem dies zunächst erfolglos blieb, setzte er zusätzlich auf Vishing-Anrufe. Dabei gab er sich als vertrauenswürdige Supportorganisation aus, sprach mit unterschiedlichen Akzenten und überzeugte den Mitarbeiter letztlich, eine Push-Benachrichtigung zu bestätigen.

Nach der Genehmigung hatte der Angreifer über VPN-Zugang im Namen des Mitarbeiters.

Anschließend:

• registrierte er eigene Geräte für die MFA-Nutzung, um dauerhaft Zugriff zu behalten,
• erweiterte seine Berechtigungen auf Administratorniveau,
• verschaffte er sich Zugang zu Citrix-Servern und Domänencontrollern,
• zudem exfiltrierte er etwa 2,8 GB Daten, bevor der Angriff gestoppt wurde.

Die Tatsache, dass Prompt-Bombing selbst bei einem Unternehmen wie Cisco erfolgreich war, verdeutlicht, wie wirkungsvoll und gefährlich diese Angriffsmethode inzwischen ist.

Warum Push-basierte MFA das Risiko nicht vollständig beseitigt

Das grundlegende Problem bei push-basierter MFA besteht darin, dass Nutzer häufig mit sehr wenigen Informationen entscheiden müssen, ob sie eine Anmeldung genehmigen oder ablehnen sollen.

Oft fehlen klare Angaben darüber:

• von welchem Standort die Anfrage stammt,
• welches Gerät verwendet wird,
• oder ob der Anmeldeversuch überhaupt vom Nutzer selbst ausgelöst wurde.

Solange solche Anfragen nur gelegentlich auftreten, ist das möglicherweise beherrschbar. Treten sie jedoch wiederholt auf, nehmen viele Benutzer fälschlicherweise an, dass ein technischer Fehler vorliegt, statt einen laufenden Angriff zu vermuten.

Kombiniert ein Angreifer dies dann mit einem gut getimten Telefonanruf eines vermeintlichen IT-Mitarbeiters, wird die Situation noch schwieriger einzuschätzen.

In solchen Fällen handelt der Benutzer nicht zwangsläufig fahrlässig. Er reagiert vielmehr auf ein bewusst so gestaltetes Szenario, das routinemäßig und vertrauenswürdig wirkt, während der Angreifer bereits über die erforderlichen Zugangsdaten verfügt.

Drei Maßnahmen gegen MFA-Prompt-Bombing

1. MFA-Verfahren verwenden, die gegen Fatigue- und Phishing-Angriffe resistent sind

Push-Benachrichtigungen gelten als eine der schwächeren MFA-Varianten.

Deutlich schwerer auszunutzen sind phishing-resistente Verfahren wie:

• FIDO2-Sicherheitsschlüssel
• Hardware-Token wie YubiKey
• Authenticator-Apps mit Number Matching (Nummernabgleich)

Specops Secure Access unterstützt mehr als 15 Identitätsanbieter und bietet diese MFA-Methoden für:

• Windows-Anmeldungen
• Remote Desktop Protocol (RDP)
• VPN-Verbindungen

Dadurch können Unternehmen insbesondere bei kritischen Zugriffspunkten auf Push-basierte MFA verzichten.

2. Kompromittierte Passwörter frühzeitig erkennen und beseitigen

Prompt-Bombing funktioniert nur dann, wenn der Angreifer bereits über ein gültiges Passwort verfügt.

Daher sollten Unternehmen Active Directory (AD) kontinuierlich mit aktuellen Datenbanken kompromittierter Passwörter abgleichen und Passwortrücksetzungen erzwingen, sobald Übereinstimmungen gefunden werden.

Die standardmäßigen Passwort-Richtlinien von Active Directory erkennen häufig nicht:

• wiederverwendete Passwörter,
• leicht abgeänderte Passwortvarianten,
• Oder kompromittierte Kennwörter aus Datenlecks.

Unternehmen, die ihren aktuellen Risikostatus überprüfen möchten, können beispielsweise Specops Password Auditor nutzen. Das kostenlose Tool analysiert Active Directory im reinen Lesemodus und identifiziert unter anderem:

• kompromittierte Passwörter,
• inaktive Administratorkonten,
• sowie weitere potenzielle Sicherheitsrisiken.

3. Risikosignale in den Anmeldeprozess integrieren

Conditional-Access-Richtlinien können zusätzliche Kontextinformationen berücksichtigen, beispielsweise:

• den geografischen Standort,
• Sicherheitsstatus des Geräts,
• Uhrzeit der Anmeldung.

Dadurch lassen sich verdächtige Anmeldungen blockieren oder durch zusätzliche Prüfungen absichern, noch bevor eine MFA-Anfrage an den Benutzer gesendet wird.

Dieser Ansatz reduziert die Abhängigkeit vom Nutzerverhalten und liefert Echtzeit-Kontext, um verdächtige Anmeldeversuche bereits im Vorfeld zu stoppen.

MFA bleibt unverzichtbar

MFA-Prompt-Bombing ist kein Grund, auf MFA zu verzichten. Es zeigt jedoch die Grenzen bestimmter Authentifizierungsverfahren deutlich auf.

Wenn Genehmigungsanfragen beliebig oft und ohne aussagekräftigen Kontext ausgelöst werden können, lässt sich der Sicherheitsmechanismus leichter manipulieren als ursprünglich vorgesehen.

Falls Push-Benachrichtigungen weiterhin Ihr Standardverfahren für den zweiten Faktor sind, sollten Sie diese Entscheidung überdenken.

Verfahren wie:

• Number Matching,
• FIDO2-Sicherheitsschlüssel,
• Passkeys,
• andere phishing-resistente Authentifizierungsmethoden

machen MFA deutlich robuster. Gleichzeitig reduziert die Überwachung kompromittierter Passwörter das Risiko, dass Angreifer den ersten Authentifizierungsschritt überhaupt überwinden können.

Wenn Sie Ihre Identitätssicherheit mit moderneren und widerstandsfähigeren MFA-Lösungen stärken möchten, lassen Sie sich von Specops beraten.