MFA ist kein Schutzschild, sondern ein Mindeststandard

Warum „Wir haben doch MFA“ kein Sicherheitskonzept ist

„Wir haben MFA aktiviert, da kann nichts passieren.“ Diesen Satz höre ich immer wieder. Er ist gefährlich, und ein aktueller Fall aus meiner Analysepraxis zeigt, warum.

Was ist passiert?

Ein*e Mitarbeiter*in eines Mandanten wurde Opfer eines Phishing-Angriffs. Die Nachricht war im ersten Moment gar nicht als Phishing zu erkennen. Sie wirkte völlig legitim, und nach dem Klick war es trotz vorhandener Sicherheitsmechanismen mehr oder weniger bereits zu spät.

Der Angreifer konnte die laufende Sitzung übernehmen (Session Hijacking). Von einer Remote-Arbeitsstation aus wurde die Sitzung der Person anschließend scheinbar beendet. Der/die Nutzer*in wurde abgemeldet und versuchte, sich erneut anzumelden.

Genau in diesem Moment meldete sich auch der Angreifer an. Die MFA-Abfrage landete bei dem/ der legitimen Nutzer*in, der/die sie im Glauben, es sei die eigene Anmeldung, bestätigte. Damit war der Angreifer im System.

Die Folgen

• Der Angreifer konnte die im Browser gespeicherten Passwörter abgreifen, automatisiert mithilfe einer KI, die Browserdaten auslas.
• Er startete sofort einen KI-Agenten, der an den Sicherheitsrichtlinien vorbei ausgeführt werden konnte.
• Der Agent kam nicht weiter, weil die Rechte des/der Nutzer*in nicht ausreichten und weil dem Angreifer die Zeit fehlte. Der Vorfall wurde nach rund 15 Minuten erkannt und gestoppt.

Hier sollte man ehrlich sein: Das war auch ein Stück weit Glück im Unglück. Mit etwas mehr Zeit hätte der Angreifer vermutlich einen Weg gefunden. Irgendeine Schwachstelle, eine Fehlkonfiguration oder ein vergessenes Recht gibt es fast immer.

Theoretisch hätte er auf alles zugreifen können, worauf der/die Nutzer*in Zugriff hatte: Fileserver, OneDrive, SharePoint und mehr.

Entscheidend war die Geschwindigkeit. Jede Minute, die ein Angreifer unentdeckt bleibt, erhöht die Chance, dass er eine Lücke findet. Es zählt also nicht nur, ob Angriffe verhindert werden, sondern vor allem, wie schnell sie bemerkt und eingedämmt werden.

Warum MFA, Geo-Regeln und Schulungen hier an Grenzen stoßen

MFA schützt vor gestohlenen Passwörtern, aber nicht vor:

• Session Hijacking und Token-Diebstahl: Ist die Sitzung einmal übernommen, ist die MFA bereits „erledigt“.
• Social Engineering: Wer gerade selbst eine Anmeldung ausführt, bestätigt die Abfrage fast zwangsläufig.
• Adversary-in-the-Middle-Phishing: Moderne Phishing-Kits greifen Sitzungstoken in Echtzeit ab.

Auch klassische Geo-Szenarien halfen nicht weiter. In den Protokollen ließen sich IP-Adresse und weitere Details auswerten, aber der Angreifer kam nicht von einer bekannten kompromittierten IP, sondern über einen VPN-Provider mit Sitz in Deutschland. Geo-Regeln sind damit schnell umgangen.

Und Schulungen? Der/die Betroffen*en hatte ausreichend Cyberschulungen durchlaufen und sogar ein Zertifikat mit mehrfach erfolgreichem Abschluss. Trotzdem hat es gedauert, bis der Verdacht aufkam. Schulungen sind wichtig, keine Frage. Aber bei sehr gut gemachten Phishing-Angriffen ist selbst für geschulte Nutzer*innen nicht leicht zu erkennen, was echt ist und was nicht.

„Wir sind doch keine Hochsicherheitszentrale“

Passwörter im Browser zu speichern ist bequem, und viele Anwender*innen tun es: „ist ja einfach“. Manager*innen und Geschäftsführer*innen kommen schnell mit dem Argument, man sei ja schließlich keine Hochsicherheitszentrale. Ich habe sogar gehört, das sei ja „schlimmer als in Fort Knox einzudringen“.

Aber Angreifer fragen nicht, wie wichtig sich ein Unternehmen fühlt. Sie suchen den einfachsten Weg, und der führt oft über kleine und mittlere Unternehmen. Der Aufwand für gute Basissicherheit ist überschaubar, der Schaden eines erfolgreichen Angriffs nicht.

Was Sie konkret tun können: einige Beispiele

Jedes Unternehmen hat andere Systeme, Risiken und Anforderungen. Die folgenden Punkte sind nur ein Ausschnitt einfacher Möglichkeiten, keine vollständige Checkliste:

• Phishing-resistente MFA (FIDO2/Passkeys) statt Push-Bestätigung oder SMS, ergänzt durch Number Matching
• Conditional Access mit Gerätekonformität, Risikobewertung und Token-Schutz statt nur Geo-Regeln
• Begrenzte Sitzungsdauer und das Widerrufen von Sitzungen bei Risiko
• Keine Passwörter im Browser, stattdessen ein abgesicherter Passwortmanager
• Least Privilege: nur die Rechte, die wirklich gebraucht werden
• Endpoint-Schutz (EDR) und Monitoring, damit Angriffe in Minuten statt Wochen auffallen
• Awareness mit Fehlerkultur: Wer einen Verdacht hat, meldet sofort, ohne Scham
• Ein geübter Incident-Response-Plan

Das hätte vermieden werden können

Dieser Vorfall hätte mit einer durchdachten Cyber-Resilienz-Strategie verhindert oder zumindest noch schneller erkannt werden können. Es gibt Möglichkeiten, solche Angriffe früher zu entdecken, etwa durch Verhaltensanalyse, Token-Schutz, strikte Gerätebindung und automatisierte Reaktionen auf Anomalien. Sie müssen aber geplant, umgesetzt und zusammen gedacht werden. Einzelmaßnahmen reichen nicht.

Cyber-Resilienz umfasst deutlich mehr als Technik: Prozesse, Verantwortlichkeiten, Notfallplanung, Lieferketten und die Fähigkeit, nach einem Vorfall schnell wieder handlungsfähig zu sein.

Das ist erst der Anfang

Die Zahl der Angriffe steigt, und sie werden schneller, komplexer und automatisierter, nicht zuletzt durch KI. Wir stehen erst am Anfang einer Angriffsmatrix, die sich noch deutlich zuspitzen wird.

Positiv: Schwachstellen werden zunehmend transparenter. Aber die Geschwindigkeit, mit der auf Schwachstellen reagiert werden muss, muss sich noch deutlich verbessern. Der Cyber Resilience Act (CRA) ist hier sicherlich ein Anfang. Worum es dabei genau geht und worauf besonders Dienstleister und IT Abteilungen achten müssen, darüber berichten wir in einem eigenen Beitrag.

Wie wir Sie unterstützen

Welche Maßnahmen für Ihr Unternehmen sinnvoll sind, hängt von Ihrer IT-Landschaft, Ihren Daten, Ihren Prozessen und Ihrem Risiko ab. Genau deshalb lohnt sich eine bedarfsgerechte Sicherheitsberatung.

Unser Team ist dafür ausgebildet, eine umfassende Analyse durchzuführen und gemeinsam mit Ihnen eine passende Strategie zu entwickeln:

• Wir beraten und verkaufen nichts.
• Für die Umsetzung können wir auf unser Netzwerk an Partnern zurückgreifen oder mit Ihrem bestehenden Dienstleister/IT Abteilung zusammenarbeiten.
• Wir begleiten die Umsetzung, denn eine gute Strategie wirkt nur, wenn sie auch sauber umgesetzt und langfristig kontrolliert wird. Warum diese Begleitung so wichtig ist, erfahren Sie in einem separaten Beitrag.

Unsere Meinung

MFA ist Pflicht, aber nur der Anfang. Wer sich darauf verlässt, hat bereits verloren. Sicherheit entsteht durch mehrere Schichten: Technik, Prozesse und Menschen. Und gehen Sie nie davon aus, dass ein Angreifer „schon nicht weiterkommt“. Er kommt weiter, wenn man ihm Zeit lässt!