MFA-Fatigue: wenn Angreifer mit Push-Anfragen bombardieren

Die kurze Antwort: Bei einem MFA-Fatigue-Angriff besitzt der Täter bereits das Passwort, scheitert aber an der Mehrfaktor-Authentifizierung. Also löst er in kurzer Folge immer neue Anmeldeversuche aus, und jeder davon erzeugt eine Push-Anfrage auf dem Smartphone des Opfers, bis dieses aus Versehen oder Genervtheit bestätigt. Die Abwehr besteht aus drei Bausteinen: Anfragen, die Sie nicht selbst ausgelöst haben, grundsätzlich ablehnen und melden, den Nummernabgleich des Microsoft Authenticator nutzen und die Funktion „Verdächtige Aktivität melden" in Microsoft Entra ID aktivieren. Da der Angriff nur mit gültigem Passwort funktioniert, gehört das betroffene Passwort außerdem sofort geändert.

So läuft ein MFA-Fatigue-Angriff ab

Am Anfang steht ein gestohlenes Passwort, meist aus einer Phishing-Mail oder einem Datenleck; wie Sie diesen Kanal absichern, lesen Sie unter E-Mail-Sicherheit. Die Anmeldung scheitert zunächst am zweiten Faktor, und genau hier setzt die Masche an: Der Täter wiederholt den Anmeldeversuch automatisiert im Minutentakt, gern nachts oder am Wochenende. Auf dem Handy des Opfers erscheint eine Push-Anfrage nach der anderen. Kalkuliert wird mit Gewohnheit und Erschöpfung, denn wer täglich viele Anfragen routiniert bestätigt, tippt irgendwann auch auf die falsche. Manche Täter rufen zusätzlich an, geben sich als IT-Support aus und bitten darum, die Anfrage kurz zu bestätigen. Ein einziges Antippen genügt, und der Angreifer ist im Konto.

Nummernabgleich: warum blindes Bestätigen nicht mehr reicht

Der wirksamste technische Hebel gegen diese Masche ist der Nummernabgleich (number matching). Statt einfach auf „Genehmigen" zu tippen, muss der Benutzer eine Zahl, die auf dem Anmeldebildschirm angezeigt wird, in der Authenticator-App eingeben. Wer die Anmeldung nicht selbst gestartet hat, kennt diese Zahl nicht und kann die Anfrage gar nicht erst freigeben. Seit Mai 2023 ist der Nummernabgleich für alle Push-Benachrichtigungen des Microsoft Authenticator verbindlich; laut der Microsoft-Learn-Dokumentation zum Nummernabgleich ist er fest aktiviert und lässt sich von Benutzern nicht abschalten. Zusätzlich können Administratoren in den Push-Benachrichtigungen den Standort und den Namen der anfragenden App einblenden lassen. Dann sieht der Empfänger sofort, wenn eine angebliche Anmeldung aus einem fremden Land kommt.

Ablehnen, melden, reagieren

Technik ersetzt nicht die richtige Reaktion. Die Grundregel für alle Mitarbeitenden lautet: Eine Push-Anfrage, die man nicht selbst ausgelöst hat, wird abgelehnt und gemeldet, nie bestätigt, auch nicht, um Ruhe zu haben. In Microsoft 365 unterstützt das die Funktion „Verdächtige Aktivität melden", die ein Administrator im Microsoft Entra Admin Center unter den Einstellungen der Authentifizierungsmethoden aktiviert; sie ersetzt die frühere Betrugswarnung. Meldet ein Benutzer eine Anfrage als verdächtig, wird sein Konto laut Microsoft-Dokumentation auf hohes Benutzerrisiko gesetzt, der Vorfall erscheint in den Anmelde- und Überwachungsprotokollen, und risikobasierte Richtlinien können den Zugriff einschränken oder eine Passwortänderung erzwingen. Unabhängig davon gilt: Passwort ändern, aktive Sitzungen beenden, Vorfall dokumentieren. Dass Mitarbeitende solche Situationen erkennen und melden, ist Übungssache; genau dafür gibt es Awareness-Training. Das BSI empfiehlt ohnehin, Zwei-Faktor-Authentisierung überall dort zu aktivieren, wo ein Dienst sie anbietet. MFA-Fatigue ist also kein Argument gegen MFA, sondern eines für die richtige Konfiguration.

Häufige Fragen

Woran erkenne ich, dass ich Ziel eines MFA-Fatigue-Angriffs bin?

An Push-Anfragen, denen kein eigener Anmeldeversuch vorausging, oft mehrfach hintereinander und zu ungewöhnlichen Zeiten. Das bedeutet zugleich, dass Ihr Passwort in fremden Händen ist. Lehnen Sie die Anfragen ab, melden Sie sie und ändern Sie das Passwort umgehend, abgestimmt mit Ihrer IT.

Reicht der Nummernabgleich als Schutz aus?

Er verhindert das versehentliche Bestätigen wirksam, denn ohne die angezeigte Zahl lässt sich nichts freigeben. Angreifer weichen deshalb auf das Telefon aus und versuchen, sich als IT-Support auszugeben und zur Eingabe der Zahl zu bewegen. Es bleibt daher bei der Regel, nur selbst ausgelöste Anmeldungen zu bestätigen. Perspektivisch erhöhen phishing-resistente Verfahren wie Passkeys den Schutz weiter.

Was passiert, nachdem ich eine Anfrage als verdächtig gemeldet habe?

Ihr Konto wird in Microsoft Entra ID als hohes Benutzerrisiko eingestuft, Administratoren sehen den Vorfall in den Protokollen und im Bericht zu Risikoerkennungen. Je nach Konfiguration wird der Zugriff automatisch eingeschränkt oder eine Passwortänderung verlangt. Informieren Sie zusätzlich Ihre IT-Betreuung, damit Passwort und Sitzungen zurückgesetzt werden.

So unterstützt Sie die High5Manufaktur GmbH

Die High5Manufaktur GmbH richtet für kleine und mittlere Unternehmen MFA und Identitätsschutz in Microsoft 365 sauber ein: Authenticator mit Nummernabgleich, aktivierte Meldefunktion für verdächtige Anfragen, Anzeige von Standort und App-Name sowie risikobasierte Richtlinien mit Augenmaß. Dazu prüfen wir bestehende Entra-Einstellungen und schulen Ihre Mitarbeitenden für den Ernstfall. Mit direktem Ansprechpartner statt anonymer Hotline.

Quellen

• Microsoft Learn: So funktioniert der Nummernabgleich in Push-Benachrichtigungen für MFA
• Microsoft Learn: Konfigurieren der Microsoft Entra Multi-Faktor-Authentifizierung
• BSI: Zwei-Faktor-Authentisierung, mehr Sicherheit für Geräte und Daten