MFA-Fatigue (Push-Bombing)

Kurz: Bei MFA-Fatigue überschüttet ein Angreifer mit gestohlenem Passwort das Opfer mit Anmelde-Bestätigungen, bis es genervt oder aus Versehen „Genehmigen” tippt.

Genauer: Sie umgeht die Zwei-Faktor-Anmeldung, indem sie die Schwäche des Menschen statt der Technik angreift. Betroffen sind Verfahren mit einfacher Push-Bestätigung.

Im Detail

• Ablauf: Mit dem geklauten Passwort wird wiederholt eine Anmeldung ausgelöst. Auf dem Handy erscheint dutzendfach „Anmeldung genehmigen?”, oft nachts. Zusätzlich ruft der Angreifer an und gibt sich als IT-Support aus.
• Gegenmittel „Number Matching”: Das Opfer muss eine auf dem Anmeldebildschirm angezeigte Zahl in der App eingeben. Ein blindes „Ja” genügt nicht.
• Besser: Phishing-resistente Verfahren wie FIDO2/Passkeys und Sicherheitsschlüssel, die an die echte Webseite gebunden sind.
• Verhalten: Eine Anfrage, die man nicht selbst ausgelöst hat, immer ablehnen und das Passwort ändern. Dem IT-Support nie Codes oder Freigaben am Telefon geben.
• Organisation: Begrenzung der Versuche, Hinweise bei ungewöhnlichen Orten, Meldeweg für verdächtige Anfragen.

Siehe auch: MFA, Zwei-Faktor-Authentifizierung