Multi-Factor Authentication (MFA) galt lange als der heilige Gral der Identitätssicherheit. Die Logik war simpel und bestechend: Selbst wenn ein Angreifer Passwörter in die Hände bekommt, nützen ihm diese ohne den zweiten Faktor nichts. Doch die Bedrohungslandschaft hat sich gedreht. Hacker müssen den zweiten Faktor gar nicht mehr stehlen – sie manipulieren die Nutzer so, dass sie ihn freiwillig herausgeben.
Die Methode der Stunde heißt MFA Prompt Bombing (auch MFA Fatigue genannt). Wer in seinem Unternehmen auf Push-basierte MFA-Verfahren setzt, ist aktuell hochgradig gefährdet. Bevor wir uns den Lösungsansätzen widmen, müssen wir verstehen, wie dieser Angriff funktioniert und warum er so verheerend effektiv ist.
Die Mechanik des Prompt Bombing
Für diesen Angriff benötigen Angreifer lediglich drei Komponenten:
- Valide Zugangsdaten, die meist aus Datenlecks auf dem Darknet stammen.
- Ein Login-Portal mit Push-MFA wie etwa VPNs, Microsoft 365, Okta oder Duo.
- Das Opfer, das bei jedem Login-Versuch des Angreifers eine Benachrichtigung auf sein Smartphone erhält.
Der Angriff ist banal, aber effektvoll: Der Angreifer loggt sich mit den gestohlenen Daten ein und triggert den Push. Er macht das nicht nur einmal, sondern bombardiert das Opfer mit Anfragen – mitten in der Nacht, am frühen Morgen oder in stressigen Arbeitsphasen. Das Ziel ist Ermüdung ("Fatigue"). Oft kombinieren Angreifer dies mit einem Vishing-Anruf (Voice Phishing), bei dem sie sich als IT-Support ausgeben und das Opfer telefonisch zur Annahme des Pushs drängen. Einmal "Akzeptieren" gedrückt, reicht aus.
Sobald der Prompt genehmigt ist, hat der Angreifer Zugriff. Für Sicherheitssysteme sieht dieser Login völlig legitim aus, da er von einem regulären Nutzer mit dessen zweitem Faktor autorisiert wurde.
Der Cisco-Hack: Wenn die Elite strauchelt
Ein Lehrstück für die Wirksamkeit dieser Taktik ist der Einbruch bei Cisco im Jahr 2022. Ein Angreifer der Yanluowang-Ransomware-Gruppe kaperte zunächst das private Google-Konto eines Cisco-Mitarbeiters, das mit dem Browser synchronisierte Passwörter enthielt – darunter das VPN-Passwort.
Anschließend flutete der Angreifer das Smartphone des Mitarbeiters mit MFA-Prompts. Als das allein nicht funktionierte, schaltete er zum Vishing über: Er rief den Mitarbeiter an, gab sich als Support-Mitarbeiter aus und überzeugte ihn schließlich, die Push-Benachrichtigung zu akzeptieren. Mit dem VPN-Zugang im Gepäck, registrierte der Angreifer eigene MFA-Geräte für dauerhaften Zugriff, eskalierte die Rechte bis zu Domain-Controllern und exfiltrierte 2,8 GB Daten. Wenn ein Schwergewicht wie Cisco mit ausgewiesenen Security-Teams auf diese Methode hereinfällt, wird klar: Es ist kein Problem von "dummen Nutzern", sondern ein systemisches Versagen der Methode.
Das UX-Problem von Push-MFA
Warum ist Push-MFA so anfällig? Das Kernproblem ist die mangelnde Kontextualisierung. Ein einfaches "Annehmen" oder "Ablehnen" auf dem Smartphone zeigt dem Nutzer nicht, woher die Anfrage kommt, welches Gerät genutzt wird oder ob der Login überhaupt vom Nutzer selbst initiiert wurde. In Isolation mag das funktionieren. Doch bei einem Bombardement an Push-Nachrichten ist die menschliche Reaktion oft: "Das System spinnt, ich klicke einfach mal auf Akzeptieren, damit es aufhört."
Kommt dann noch ein scheinbar hilfsbereiter Anruf der "IT" dazu, wird die Situation für den Nutzer unlösbar. Er handelt nicht fahrlässig im klassischen Sinne, sondern reagiert auf ein Szenario, das bewusst so gestaltet wurde, dass es sich routinehaft und legitim anfühlt.
Drei Wege, um Prompt Bombing zu stoppen
Unternehmen müssen dringend von reinen Push-Bestätigungen weg. Hier sind die effektivsten Gegenmaßnahmen:
1. Phishing-resistente und Ermüdungs-sichere MFA-Faktoren nutzen Push-Benachrichtigungen sind die schwächste Form der MFA. FIDO2-Security-Keys, Hardware-Tokens wie YubiKeys oder Number-Matching-Verfahren (bei denen ein Code auf dem Bildschirm in die Authenticator-App eingegeben werden muss) sind deutlich robuster. Tools wie Specops Secure Access unterstützen über 15 Identity Provider und integrieren solche Ermüdungs-sicheren Optionen direkt in Windows-Logons, RDP und VPNs, um Push-only-MFA an kritischen Zugängen abzulösen.
2. Kompromittierte Passwörter an der Quelle blockieren Prompt Bombing setzt zwingend voraus, dass der Angreifer bereits ein gültiges Passwort besitzt. Wenn das Active Directory (AD) kontinuierlich gegen eine Live-Datenbank geleakter Passwörter gescannt wird und bei Treffern einen erzwungenen Reset auslöst, wird dem Angriff der Treibstoff entzogen. Standard-AD-Passwortrichtlinien greifen hier zu kurz, da sie abgenutzte oder inkrementelle Passwörter oft nicht erkennen. Einen ersten Status quo liefert das kostenlose Tool Specops Password Auditor, das AD-Schwachstellen wie geleakte Passwörter oder inaktive Admin-Konten aufdeckt.
3. Risikosignale in den Login-Prozess einbinden Conditional Access Policies, die Geografie, Gerätezustand und Zugriffszeiten bewerten, können verdächtige Logins blockieren oder eine stärkere Authentifizierung erzwingen, bevor überhaupt ein Prompt an das Smartphone geht. Dadurch wird die Sicherheit nicht mehr allein vom Verhalten des Nutzers abhängig gemacht, sondern durch Echtzeit-Kontexte gestützt.
Fazit: MFA bleibt wichtig, aber Push ist ein Auslaufmodell
MFA Prompt Bombing ist kein Grund, MFA abzuschaffen – wohl aber, bestimmte Implementierungen kritisch zu hinterfragen. Wenn Bestätigungsanfragen kontextlos und im Sekundentakt auf ein Smartphone prasseln können, ist die Kontrolle de facto beim Angreifer.
Wer heute noch auf Push-only-MFA setzt, handelt fahrlässig. Number Matching oder gar phishing-resistente Methoden wie FIDO2 stärken das Fundament der MFA massiv. Ergänzt durch das Blockieren geleakter Passwörter und risikobasierte Zugangssteuerungen, lässt sich die Identitätssicherheit auf ein Niveau heben, bei dem Prompt Bombing ins Leere läuft. Die Zeit der simplen "Akzeptieren"-Buttons als Sicherheitsmerkmal ist endgültig abgelaufen.
Quelle: The Hacker News
