MFA Fatigue: Das Risiko hinter Push-Bestätigungen

Multi-Faktor-Authentifizierung (MFA) gehört zu den wichtigsten Schutzmaßnahmen für Benutzerkonten. Ein kompromittiertes Passwort allein reicht damit nicht mehr aus, um Zugriff auf ein durch MFA geschütztes Konto zu erhalten.

Doch auch MFA kann umgangen werden. Bei sogenannten MFA-Fatigue-Angriffen steht nicht eine technische Schwachstelle im Mittelpunkt, sondern die Freigabe einer Anmeldung durch Anwendende.

Was ist MFA Fatigue?

MITRE ATT&CK führt die Angriffstechnik als „Multi-Factor Authentication Request Generation“ (T1621). Dabei werden gezielt MFA-Anfragen für ein Benutzerkonto erzeugt, um eine gültige Freigabe zu provozieren. [1]

Im typischen Szenario verfügen sie bereits über gültige Zugangsdaten, beispielsweise aus Phishing, Infostealer-Malware, Datenlecks oder Credential Stuffing. In bestimmten Konfigurationen lassen sich MFA-Anfragen auch über Self-Service-Password-Reset-Prozesse erzeugen. [1]

Bei einem klassischen MFA-Fatigue-Angriff werden wiederholt Anmeldeversuche gestartet. Jeder Versuch kann eine neue Push-Benachrichtigung auf dem Smartphone des betroffenen Users auslösen.

Folgen die Anfragen in kurzer Zeit aufeinander, steigt die Wahrscheinlichkeit einer Fehlentscheidung. Eine davon wird bestätigt – versehentlich, aus Gewohnheit oder schlicht mit dem Ziel, die Benachrichtigungen zu beenden. Die Technik wird deshalb auch als „MFA Bombing“ oder „Push Bombing“ bezeichnet. Sie betrifft vor allem Verfahren mit einfachen Approve/Deny-Abfragen.

Warum einfache Push-Freigaben problematisch sind

Eine einzelne unerwartete MFA-Anfrage fällt wahrscheinlich auf. Bei einer Serie von Benachrichtigungen sieht die Situation anders aus. Benutzer:innen können die Anfragen für einen technischen Fehler halten, eine legitime Anmeldung vermuten oder unter Zeitdruck eine Benachrichtigung bestätigen, ohne deren Ursache zu prüfen. Auf diese Fehlentscheidung zielt der Angriff ab.

MFA Fatigue ist nicht ausschließlich ein Awareness-Problem. Auch das Design des Authentifizierungsverfahrens entscheidet darüber, ob eine Fehlentscheidung unmittelbar zur Freigabe einer Anmeldung führt.

Ein dokumentierter Fall: Uber 2022

Wie effektiv MFA Bombing sein kann, zeigte der Sicherheitsvorfall bei Uber im September 2022.

Nach Angaben des Unternehmens gelangten Angreifende zunächst an die Zugangsdaten einer externen Arbeitskraft. Anschließend versuchten sie wiederholt, sich mit diesem Konto anzumelden. Die betroffene Person erhielt mehrfach Zwei-Faktor-Authentifizierungsanfragen und bestätigte schließlich eine davon. [3]

Der Fall zeigt: Die Multi-Faktor-Authentifizierung funktionierte technisch wie vorgesehen. Der Angriff setzte bei der Freigabe an.

Phishing-resistente MFA als Zielbild

CISA empfiehlt Organisationen, wo möglich auf phishing-resistente Authentifizierungsverfahren umzusteigen. Dazu zählen insbesondere Verfahren auf Basis von FIDO beziehungsweise WebAuthn. Ist das noch nicht möglich, ist Number Matching eine stärkere Alternative zu einfachen Push-Freigaben. [2]

Dabei wird eine beim Login angezeigte Zahl mit der Authenticator-App abgeglichen, statt die Anfrage lediglich zu genehmigen. Number Matching erschwert damit gerade jene versehentlichen Freigaben, auf die MFA-Fatigue-Angriffe abzielen. Es ist jedoch nicht das stärkste verfügbare MFA-Verfahren.

FIDO/WebAuthn geht einen Schritt weiter: Durch die kryptografische Bindung an den legitimen Dienst schützt das Verfahren auch vor Angriffen, bei denen Anwendende auf einer gefälschten Login-Seite zur Authentifizierung verleitet werden.

Für Unternehmen muss daraus keine sofortige Umstellung sämtlicher Konten folgen. Sinnvoll ist ein risikobasiertes Vorgehen, beginnend mit administrativen und anderen privilegierten Konten sowie besonders schützenswerten Remote- und Cloud-Zugängen.

Conditional Access ergänzt die Authentifizierung

MFA sollte nicht isoliert betrachtet werden. Identity-Plattformen können zusätzliche Kontextinformationen in die Zugriffsentscheidung einbeziehen – etwa den Gerätestatus, die Herkunft eines Login-Versuchs oder erkannte Anmelderisiken.

MITRE empfiehlt zur Eindämmung von MFA-Request-Angriffen unter anderem Conditional-Access-Regeln, mit denen Anmeldungen beispielsweise von nicht konformen Geräten oder außerhalb definierter Netzwerkbereiche eingeschränkt werden können. Auch die Anzahl der MFA-Anfragen innerhalb eines bestimmten Zeitraums lässt sich begrenzen. [1]

Damit hängt die Zugriffsentscheidung nicht allein davon ab, ob eine Push-Anfrage bestätigt wird.

MFA Fatigue lässt sich erkennen

Wiederholte Authentifizierungsanfragen hinterlassen Spuren. MITRE nennt unter anderem folgende Indikatoren:

• ungewöhnlich viele MFA-Anfragen für ein einzelnes Konto,
• wiederholt erzeugte MFA-Challenges innerhalb kurzer Zeit,
• Anmeldeversuche von ungewöhnlichen IP-Adressen oder geografischen Standorten,
• MFA-Anfragen, die nicht zu einer vom Benutzer initiierten Sitzung passen. [1]

Authentication- und Identity-Logs sollten daher Teil des Security-Monitorings sein. Je nach Plattform können die Ereignisse über ein SIEM oder über native Detection- und Alerting-Funktionen ausgewertet werden.

Eine Häufung abgelehnter oder unbeantworteter MFA-Anfragen ist dabei nicht nur lästig. Sie kann ein Hinweis darauf sein, dass ein Konto aktiv angegriffen wird.

Sechs Punkte für den Admin-Check

1. Gibt es noch einfache Approve/Deny-Push-Verfahren?
2. Wird Number Matching eingesetzt?
3. Welche Konten benötigen phishing-resistente MFA?
4. Sind Conditional-Access-Regeln sinnvoll konfiguriert?
5. Werden ungewöhnliche MFA-Ereignisse überwacht?
6. Gibt es einen Meldeprozess für unerwartete MFA-Anfragen?

Anwendende sollten nur MFA-Anfragen bestätigen, die sie selbst ausgelöst haben. Unerwartete Anfragen sollten abgelehnt und an die zuständige IT- oder Security-Stelle gemeldet werden. Eine solche Meldung kann für IT-Verantwortliche ein früher Hinweis auf einen laufenden Angriff sein.

MFA ist nicht gleich MFA

Multi-Faktor-Authentifizierung bleibt eine wesentliche Schutzmaßnahme für digitale Identitäten. MFA Fatigue ist kein Argument gegen MFA – sondern ein Grund, die eingesetzten Authentifizierungsverfahren genauer zu betrachten.

Für IT-Verantwortliche reicht deshalb die Frage ‚Ist MFA aktiviert?‘ nicht aus. Entscheidend ist, wie eine Anmeldung bestätigt wird, welche Konten besonders geschützt sind und ob auffällige MFA-Aktivitäten erkannt werden. Number Matching, phishing-resistente Verfahren, Conditional Access und Monitoring setzen genau an diesen Punkten an.

Quellen: