MFA Prompt Bombing: Warum Ihr zweiter Faktor nicht schützt

MFA Prompt Bombing umgeht Ihren zweiten Faktor. Erfahren Sie, wie Angreifer Nutzer zur Freigabe manipulieren und wie Sie sich schützen.

Was ist MFA Prompt Bombing?

Multi-Faktor-Authentifizierung (MFA) sollte eine kritische Lücke in der Identitätssicherheit schließen. Selbst wenn ein Angreifer die Anmeldedaten besitzt, kann er sich ohne zweiten Faktor nicht einloggen. Das war die Theorie. Doch Angreifer haben nun einen Weg gefunden: Sie stehlen den zweiten Faktor nicht – sie lassen sich ihn vom Nutzer aushändigen.

Prompt Bombing ist eine Angriffsmethode, bei der der Angreifer wiederholt MFA-Anfragen an das Gerät des Opfers sendet. Der Nutzer wird mit Push-Benachrichtigungen bombardiert. Irgendwann, aus Frustration oder Ablenkung, klickt er auf „Zustimmen“. Das reicht dem Angreifer.

Es klingt absurd. Aber es funktioniert.

Warum funktioniert Prompt Bombing so gut?

Der menschliche Faktor ist die Schwachstelle. Niemand sitzt den ganzen Tag da und denkt: „Das könnte ein Angriff sein.“ Stattdessen denkt man: „Ich will diese nervigen Pop-ups loswerden.“ Ein Microsoft-Bericht zeigte, dass bis zu 20 % der Nutzer bei einer ersten MFA-Abfrage unbedacht zustimmen. Bei wiederholten Abfragen steigt die Quote drastisch.

Hinzu kommt: Viele Unternehmen setzen auf reine Push-Benachrichtigungen ohne Kontext. Der Nutzer sieht nur: „Möchten Sie sich anmelden?“ – ohne Orts- oder Geräteangabe. Da fehlt die Grundlage für eine informierte Entscheidung.

Das Problem liegt nicht in der Technologie. Es liegt im Design der Authentifizierungsprozesse.

Wie schützen Sie sich? Keine Standardlösungen

Sie können etwas tun. Aber nicht das Offensichtliche. Die gängige Empfehlung „Schulen Sie Ihre Mitarbeiter“ allein reicht nicht. Menschen machen Fehler – das ist menschlich.

Setzen Sie stattdessen auf kontextbasierte MFA. Die Abfrage sollte zeigen: von welchem Gerät, von welchem Standort, zu welcher Uhrzeit. Wenn ein Login aus Russland kommt, obwohl der Nutzer in Berlin sitzt, sollte die App das anzeigen.

Zweitens: Begrenzen Sie die Anzahl der MFA-Versuche. Drei Fehlversuche, und das Konto wird temporär gesperrt. Das verhindert das Bombardement.

Drittens: Verwenden Sie passwortlose Authentifizierung oder FIDO2-Sicherheitsschlüssel. Diese Methoden lassen sich nicht durch Push-Benachrichtigungen umgehen.

Was Unternehmen jetzt tun müssen

Sie können nicht auf die Vernunft Ihrer Mitarbeiter bauen. Sie müssen Systeme entwerfen, die Fehler verzeihen. MFA-Richtlinien sollten abgestuft sein: Für sensible Aktionen eine separate Bestätigung, für Standard-Logins eine vereinfachte Abfrage.

Ein weiterer Punkt: Überwachen Sie die Anzahl der MFA-Abfragen pro Nutzer. Ein plötzlicher Anstieg ist ein Warnsignal. Automatisierte Alarme können hier Leben retten – im übertragenen Sinne.

Und ja, Schulung ist wichtig. Aber nicht als Alibi. Schulen Sie konkret für Prompt Bombing. Zeigen Sie, dass so ein Angriff aussieht. Machen Sie Übungen.

Fazit: Ihr zweiter Faktor ist nicht genug

MFA ist kein Allheilmittel. Die Sicherheit hängt davon ab, wie Sie es implementieren. Prompt Bombing zeigt eine grundlegende Schwäche: Die Technologie ist sicher, der Prozess nicht. Sie müssen beides betrachten.

Überlegen Sie: Wann haben Sie zuletzt Ihre MFA-Einstellungen überprüft? Wenn die Antwort „lange her“ lautet, wird es Zeit. Denn die Angreifer warten nicht.