---
id: CP-004
slug: aitm-angriff-mfa-token-diebstahl
lang: de
title: AiTM-Angriff und Diebstahl von MFA-Token
description: Eine gefälschte Anmeldeseite leitet Passwort und MFA-Code live weiter, dann stiehlt der Angreifer die Sitzung. So funktioniert es, so schützen Sie sich.
canonical_url: https://startbrain.io/cyberpedia/de/articles/aitm-angriff-mfa-token-diebstahl/
markdown_url: https://startbrain.io/cyberpedia/de/articles/aitm-angriff-mfa-token-diebstahl.md
publisher: Brain (https://startbrain.io)
license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/)
cite_as: Brain, „AiTM-Angriff und Diebstahl von MFA-Token“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/aitm-angriff-mfa-token-diebstahl/ (CC BY 4.0)
wing: 1
theme: detect_phishing
reflex: cr-004
schema: G1
updated: "2026-11-03"
translations:
  de: https://startbrain.io/cyberpedia/de/articles/aitm-angriff-mfa-token-diebstahl/
  fr: https://startbrain.io/cyberpedia/fr/articles/attaque-aitm-vol-jeton-mfa/
  en: https://startbrain.io/cyberpedia/en/articles/aitm-attack-mfa-token-theft/
  es: https://startbrain.io/cyberpedia/es/articles/ataque-aitm-robo-token-mfa/
sources:
  - "n": 1
    title: "From cookie theft to BEC: Attackers use AiTM phishing sites as entry point to further financial fraud"
    publisher: Microsoft
    url: https://www.microsoft.com/en-us/security/blog/2022/07/12/from-cookie-theft-to-bec-attackers-use-aitm-phishing-sites-as-entry-point-to-further-financial-fraud/
    published: "2022-07-12"
    accessed: "2026-11-03"
  - "n": 2
    title: "Use Alternate Authentication Material: Web Session Cookie, Sub-technique T1550.004 - Enterprise"
    publisher: MITRE ATT&CK
    url: https://attack.mitre.org/techniques/T1550/004/
    accessed: "2026-11-03"
  - "n": 3
    title: Implementing Phishing-Resistant MFA
    publisher: CISA
    url: https://www.cisa.gov/sites/default/files/publications/fact-sheet-implementing-phishing-resistant-mfa-508c.pdf
    accessed: "2026-11-03"
  - "n": 4
    title: Passkeys (FIDO2) authentication method in Microsoft Entra ID
    publisher: Microsoft
    url: https://learn.microsoft.com/en-us/entra/identity/authentication/concept-authentication-passkeys-fido2
    accessed: "2026-11-03"
  - "n": 5
    title: Adversary-in-the-Middle, Technique T1557 - Enterprise
    publisher: MITRE ATT&CK
    url: https://attack.mitre.org/techniques/T1557/
    accessed: "2026-11-03"
  - "n": 6
    title: "Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise"
    publisher: MITRE ATT&CK
    url: https://attack.mitre.org/techniques/T1566/002/
    accessed: "2026-11-03"
  - "n": 7
    title: Steal Web Session Cookie, Technique T1539 - Enterprise
    publisher: MITRE ATT&CK
    url: https://attack.mitre.org/techniques/T1539/
    accessed: "2026-11-03"
  - "n": 8
    title: Multi-factor authentication for your corporate online services
    publisher: NCSC (Royaume-Uni)
    url: https://www.ncsc.gov.uk/collection/mfa-for-your-corporate-online-services
    published: "2024-09-26"
    accessed: "2026-11-03"
---

# AiTM-Angriff und Diebstahl von MFA-Token

Sie geben Ihr Passwort ein, bestätigen den Code Ihrer Authentifizierungs-App, und Ihr Postfach öffnet sich wie gewohnt. Dennoch war die Anmeldeseite gefälscht. Bei einem sogenannten „Adversary-in-the-Middle“-Angriff (AiTM, der Angreifer in der Mitte) leitet ein Server zwischen Ihnen und dem echten Dienst alles in Echtzeit weiter, und der Angreifer behält dabei den Nachweis Ihrer Anmeldung.

Dieser Nachweis ist das Sitzungscookie, die kleine Datei, die der Dienst nach erfolgreicher Identifizierung an den Browser übergibt. Mit ihm gelangt der Angreifer in Ihr Konto, ohne dass der Dienst ihn noch einmal nach irgendetwas fragt.

## In 30 Sekunden

- Wo es passiert: auf der Anmeldeseite eines Online-Dienstes (E-Mail, Office im Browser), die Sie über einen Link oder einen Anhang in einer E-Mail erreichen [1].
- Was der Angreifer will: das Passwort und vor allem das Sitzungscookie, um sich trotz Multifaktor-Authentifizierung (MFA) an Ihrer Stelle anzumelden [1].
- Der Reflex: Öffnen Sie die Anmeldeseite nicht über eine Nachricht, sondern über Ihr Lesezeichen oder eine Adresse, die Sie selbst eintippen, und melden Sie jede Nachricht, die Sie dorthin schickt.
- Wenn es schon passiert ist: Informieren Sie sofort die IT-Abteilung, denn ein Angreifer kann schon wenige Minuten nach dem Diebstahl im Postfach aktiv werden [1].

## Direkte Fragen

### Schützt die MFA nicht vor Kontodiebstahl?

Sie hält viele Bedrohungen ab. Microsoft schreibt, AiTM sei keine Schwachstelle der MFA: Weil das Sitzungscookie gestohlen wird, ist der Angreifer anstelle des Nutzers authentifiziert, unabhängig von dessen Anmeldemethode [1]. MITRE hält ebenfalls fest, dass die Verwendung eines gestohlenen Sitzungscookies manche MFA-Protokolle umgeht, da die Sitzung bereits authentifiziert ist [2].

### Wie sieht die präparierte Seite aus?

Wie die echte. Der Server des Angreifers leitet jeden Austausch an die nachgeahmte Seite weiter: Die Seite sieht dem Original zum Verwechseln ähnlich, und die Adresse ist der einzige sichtbare Unterschied [1]. Hat die Organisation ihre Azure-AD-Anmeldeseite angepasst, übernimmt die gefälschte Seite dieselbe Anpassung [1].

### Genügt ein sechsstelliger Code als Schutz?

Nein. Die CISA beschreibt eine verbreitete Phishing-Technik: Die Nachricht führt auf eine Seite, die das Anmeldeportal eines Unternehmens nachahmt, und dort geben die Nutzer ihren Benutzernamen, ihr Passwort und den 6-stelligen Code ihrer Authentifizierungs-App ein [3].

### Welcher Schutz hält wirklich stand?

FIDO2-Schlüssel und Passkeys. Microsoft erklärt, sie schützen vor dem Vortäuschen der prüfenden Stelle: Der Authenticator gibt seine Geheimnisse nur an den Dienst weiter, bei dem der Schlüssel registriert wurde, nicht an einen Angreifer, der sich als dieser Dienst ausgibt [4]. Die CISA zählt FIDO/WebAuthn und die Authentifizierung über eine Public-Key-Infrastruktur (PKI) zu den phishing-resistenten MFA-Verfahren [3].

## In der Haut des Angreifers

Der Angreifer muss keine gefälschte Seite bauen: Er richtet einen Webserver ein, der HTTP-Pakete zwischen dem Opfer und dem anvisierten Dienst in beide Richtungen weiterreicht [1]. Die Seite enthält zwei getrennte TLS-Sitzungen, eine mit dem Opfer, eine mit der echten Website, sodass er aus den Anfragen Passwörter und, wichtiger noch, Sitzungscookies auslesen kann [1].

Diese Arbeit lässt sich mit Open-Source-Kits automatisieren. Microsoft nennt Evilginx2, Modlishka und Muraena [1]. MITRE führt aus, dass Evilginx2 als AiTM-Relay zwischen einer legitimen Website und einer angephishten Person dienen kann, um Zugangsdaten, Authentifizierungstoken und Sitzungscookies abzugreifen [5]. Hat der Angreifer das Cookie, fügt er es in seinen eigenen Browser ein, um die Authentifizierung zu überspringen, auch wenn die MFA des Ziels aktiviert ist [1].

## Was Sie auf dem Bildschirm sehen

Am Anfang steht eine Nachricht. MITRE beschreibt die E-Mail mit präpariertem Link, die unter anderem dazu dient, Schutzmaßnahmen zu umgehen, die Anhänge prüfen [6]. In der von Microsoft untersuchten Kampagne enthielt die E-Mail einen HTML-Anhang und kündigte eine Sprachnachricht an [1]. Die Seite zeigte eine Download-Leiste für die Nachricht, doch die Leiste war fest in die Datei geschrieben: Es wurde keine Audiodatei heruntergeladen [1]. Anschließend wurde das Opfer auf eine Seite weitergeleitet, die seine E-Mail-Adresse vorausfüllte, was die Glaubwürdigkeit der Falle erhöhte [1].

Dann folgt die Anmeldeseite, eine Kopie des Microsoft-Portals. Nachdem die Zugangsdaten eingegeben und die Authentifizierung erfolgreich war, landete das Opfer auf der echten Seite office.com [1]. Nichts deutet auf das Abfangen hin: Im Hintergrund hatte der Angreifer die Zugangsdaten bereits abgefangen und seinerseits eine Sitzung geöffnet [1].

Hier eine neutralisierte Illustration der Form einer solchen Adresse, die zeigt, dass nur die Adresse die Falle verrät:

```text
Illustration (neutralisierte Adresse, für das Beispiel erfunden):
hxxps://login[.]exemple-portail[.]invalid/[Kennung des Opfers]
Angezeigte Seite: [Kopie des Microsoft-Anmeldeformulars]
Erwartete Adresse: [die offizielle Adresse des Dienstes, von Ihnen eingetippt oder gespeichert]
```

## Unter der Haube

Ein Webdienst eröffnet nach der Authentifizierung eine Sitzung, um nicht auf jeder Seite erneut nach der Identität zu fragen. Diese Sitzung beruht auf einem Cookie, das der Authentifizierungsdienst ausstellt und das dem Server belegt, dass der Nutzer angemeldet ist [1]. MITRE hält fest, dass solche Cookies oft lange gültig bleiben, auch wenn die Anwendung nicht aktiv genutzt wird [7]. Ein Angreifer, der eines besitzt, kann es in einen Browser importieren, den er kontrolliert, und sich bei der Anwendung anmelden [2].

In der Kampagne von 2022 trugen die Cookies eine MFA-Angabe: Der Angreifer nutzte sie daher, um trotz der MFA-Richtlinie der Organisation auf das Konto zuzugreifen [1]. MITRE nennt außerdem einen Fall, in dem APT29 gestohlene Cookies für den Zugriff auf Cloud-Ressourcen nutzte, sowie ein gefälschtes duo-sid-Cookie, mit dem bei der Kompromittierung von SolarWinds die MFA eines E-Mail-Kontos umgangen wurde [2].

Auf der Abwehrseite ordnet die CISA die MFA-Formen von der stärksten zur schwächsten. Einmalcodes aus einer App sind anfällig für Phishing, ebenso SMS und Sprachanrufe [3]. Push-Benachrichtigungen mit Zahleneingabe widerstehen dem „Push Bombing“, aber nicht dem Phishing [3]. Nur FIDO/WebAuthn ist laut CISA die weithin verfügbare phishing-resistente Authentifizierung [3]. Das britische NCSC widmet den stärksten MFA-Methoden einen Leitfaden [8]. Microsoft empfiehlt zudem Richtlinien für bedingten Zugriff, die bei jedem Versuch, ein gestohlenes Cookie zu verwenden, ausgewertet werden (konformes Gerät, vertrauenswürdige IP-Adresse) [1].

## Fallanalysen

### Juli 2022: eine Kampagne gegen mehr als 10.000 Organisationen

Am 12. Juli 2022 veröffentlicht Microsoft die Analyse einer groß angelegten AiTM-Phishing-Kampagne. Sie stahl Passwörter, übernahm Sitzungen und umging die Authentifizierung auch bei aktivierter MFA. Nach Angaben von Microsoft versuchte sie seit September 2021, mehr als 10.000 Organisationen ins Visier zu nehmen [1]. Die Angreifer ahmten die Online-Anmeldeseite von Office nach, mit dem Kit Evilginx2 [1].

### Nach dem Diebstahl: Betrug mit Überweisungen

Die Angreifer nutzten die gestohlenen Zugangsdaten und Cookies anschließend, um auf Postfächer zuzugreifen und Überweisungsbetrug (BEC) gegen andere Ziele zu starten [1]. Microsoft stellte fest, dass zwischen Diebstahl und Beginn des Betrugs fünf Minuten genügen konnten [1]. In den folgenden Tagen sah der Angreifer alle paar Stunden die finanzbezogenen E-Mails und Anhänge durch, suchte nach laufenden Gesprächen und löschte dann die ursprüngliche Phishing-Mail [1].

Danach legte er eine Posteingangsregel an, die Nachrichten aus der Domäne des Betrugsziels als gelesen markiert in den Ordner „Archiv“ verschob, damit der Kontoinhaber nichts bemerkte [1]. Schließlich antwortete er auf Gesprächsverläufe zu Zahlungen und Rechnungen und löschte seine Antworten aus den gesendeten Elementen [1]. Einmal führte er mehrere Versuche parallel aus demselben Postfach durch [1].

## Quellen

1. Microsoft, „From cookie theft to BEC: Attackers use AiTM phishing sites as entry point to further financial fraud“, 12. Juli 2022. https://www.microsoft.com/en-us/security/blog/2022/07/12/from-cookie-theft-to-bec-attackers-use-aitm-phishing-sites-as-entry-point-to-further-financial-fraud/ (abgerufen am 3. November 2026)
2. MITRE ATT&CK, „Use Alternate Authentication Material: Web Session Cookie, Sub-technique T1550.004 - Enterprise“. https://attack.mitre.org/techniques/T1550/004/ (abgerufen am 3. November 2026)
3. CISA, „Implementing Phishing-Resistant MFA“. https://www.cisa.gov/sites/default/files/publications/fact-sheet-implementing-phishing-resistant-mfa-508c.pdf (abgerufen am 3. November 2026)
4. Microsoft, „Passkeys (FIDO2) authentication method in Microsoft Entra ID“. https://learn.microsoft.com/en-us/entra/identity/authentication/concept-authentication-passkeys-fido2 (abgerufen am 3. November 2026)
5. MITRE ATT&CK, „Adversary-in-the-Middle, Technique T1557 - Enterprise“. https://attack.mitre.org/techniques/T1557/ (abgerufen am 3. November 2026)
6. MITRE ATT&CK, „Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise“. https://attack.mitre.org/techniques/T1566/002/ (abgerufen am 3. November 2026)
7. MITRE ATT&CK, „Steal Web Session Cookie, Technique T1539 - Enterprise“. https://attack.mitre.org/techniques/T1539/ (abgerufen am 3. November 2026)
8. NCSC (Royaume-Uni), „Multi-factor authentication for your corporate online services“, 26. September 2024. https://www.ncsc.gov.uk/collection/mfa-for-your-corporate-online-services (abgerufen am 3. November 2026)

---

Originalquelle: Cyberpedia, die öffentliche Enzyklopädie zu Cybersicherheit und KI von Brain. Kanonische Version: https://startbrain.io/cyberpedia/de/articles/aitm-angriff-mfa-token-diebstahl/
Sie dürfen diesen Text unter der Lizenz CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) frei weiterverwenden, sofern Sie „Brain, Cyberpedia“ mit einem Link auf die obige Adresse nennen.