--- id: "phishing-011" title: "AiTM Phishing: Warum selbst eingegebene 2FA Codes gestohlen werden" description: "Erfahren Sie, wie AiTM Phishing die Multi-Faktor-Authentifizierung durch Session Hijacking umgeht und wie Sie Ihr Unternehmen wirksam schuetzen." canonical: https://startbrain.io/de/cybersecurity/aitm-phishing-mfa-session-hijacking-schutz/ slug: "aitm-phishing-mfa-session-hijacking-schutz" date: "2026-09-29" category: "phishing" product: "superphisher" lang: de author: "Brain Security · F&E Cyber & Faktor Mensch" frameworks: "BSI IT-Grundschutz · NIS-2 · DORA · DSGVO · ISO 27001" --- # AiTM Phishing: Warum selbst eingegebene 2FA Codes gestohlen werden Über viele Jahre hinweg galt die Einführung von MFA (Multi-Faktor-Authentifizierung) als der ultimative Schutzschild gegen Identitätsdiebstahl. Für CISOs und IT-Sicherheitsverantwortliche genügte die Durchsetzung von SMS-Codes oder Push-Nachrichten, um rund 99 Prozent aller traditionellen Phishing-Angriffe im Keim zu ersticken. Angesichts des rasanten Anstiegs sogenannter AiTM-Angriffe (Adversary-in-the-Middle) gerät diese Gewissheit nun jedoch massiv ins Wanken. Heute kann ein Mitarbeiter sein Kennwort sorgfältig eingeben und die Freigabe auf dem Smartphone wie gewohnt bestätigen, während Angreifer zeitgleich die vollständige Kontrolle über sein Postfach oder die Cloud-Umgebung übernehmen. Kriminelle versuchen schon lange nicht mehr, Passwörter mühsam zu knacken: Sie umgehen die Zugangskontrolle einfach direkt. Für eine zukunftsfähige Verteidigungsstrategie und ein effektives Security Awareness Training ist das Verständnis dieses technischen Mechanismus unerlässlich. --- ## Wie fängt ein AiTM-Phishing-Kit Sitzungs-Tokens trotz Multi-Faktor-Authentifizierung ab? > **Auf den Punkt gebracht: Ein AiTM-Kit fungiert als bösartiger Reverse-Proxy, der alle Anfragen in Echtzeit zwischen dem Opfer und dem echten Zielsystem weiterleitet. Sobald der Nutzer den 2FA-Code bestätigt, generiert der legitime Server ein Session-Cookie, das der Angreifer stiehlt, um die aktive Sitzung sofort zu übernehmen.** Im Unterschied zu herkömmlichen Phishing-Websites, die lediglich das visuelle Layout einer Anmeldeseite kopieren und Tastenanschläge protokollieren, setzt moderne AiTM-Infrastruktur auf einen dynamischen Ansatz: - **Die Spiegel-Weiterleitung:** Der Angreifer betreibt einen Reverse-Proxy unter einer täuschend echt wirkenden Domain. Klickt das Opfer auf den bösartigen Link, lädt dieser Server die reale Anmeldeseite des Cloud-Dienstes und spiegelt sie transparent an das Opfer wider. - **Abfangen des ersten Faktors:** Der Nutzer gibt Benutzernamen und Kennwort ein. Der bösartige Proxy reicht diese Anmeldedaten augenblicklich an den echten Dienst weiter, welcher daraufhin den gewohnten zweiten Faktor anfordert. - **Validierung der MFA:** Das Opfer erhält die Genehmigungsanfrage auf seiner Authentifikator-App oder per Einmalcode und bestätigt diese vertrauensvoll. Aus Sicht des Mitarbeiters verläuft der Login vollkommen normal. - **Extraktion des Session-Cookies:** Nach erfolgreicher MFA-Bestätigung stellt der legitime Server ein Authentifizierungs-Token (Session-Cookie) aus, um die Browsersitzung aufrechtzuerhalten. Genau dieses Token fängt der AiTM-Proxy ab, bevor er das Opfer auf eine neutrale Seite umleitet. Mit diesem erbeuteten Sitzungs-Cookie im Gepäck kann der Angreifer die Session in seinen eigenen Browser einspeisen. Er umgeht somit Passwort, MFA-Aufforderung und nachfolgende Passwortänderungen, da er als bereits authentifizierter Nutzer operiert, ohne sofortige Sicherheitsalarme auszulösen. --- ## Warum klassische 2FA-Verfahren vor Session Hijacking nicht mehr schützen > **Auf den Punkt gebracht: Traditionelle MFA-Verfahren wie SMS, TOTP-Apps und Push-Benachrichtigungen binden die Sitzung nicht kryptografisch an die legitime Webdomain. Sie bestätigen lediglich die Identität des Nutzers zu einem bestimmten Zeitpunkt, verifizieren aber nicht die Echtheit der aufgerufenen URL im Browser.** Einmalcodes aus Apps oder Textnachrichten teilen eine fundamentale Schwachstelle: Sie basieren auf menschlicher Eingabe. Überall dort, wo ein Anwender Zeichenfolgen abliest und manuell in ein Online-Formular eintippt, kann er manipuliert werden, diese Daten auf einer gefälschten Seite einzugeben. ### Die Lücke bei Push-Benachrichtigungen und TOTP-Codes Selbst moderne Push-Freigaben mit Nummernvergleich (Number Matching) bieten keinen vollständigen Schutz vor AiTM-Angriffen. Der zwischengeschaltete Reverse-Proxy leitet die vom Originalserver vorgegebene Zahl direkt an den Bildschirm des getäuschten Nutzers weiter, welcher die passende Zahl auf seinem Smartphone auswählt. ### Die Notwendigkeit von FIDO2 und Passkeys Um diese Sicherheitslücke konsequent zu schließen, führt der Weg der IT-Sicherheit hin zu phishing-resistenten Authentifizierungsverfahren (Phishing-Resistant MFA), die auf FIDO2 und WebAuthn aufbauen: - **Kryptografische Domain-Bindung:** Bei einer FIDO2-Authentifizierung über Hardware-Sicherheitsschlüssel oder Passkeys kommuniziert der Webbrowser direkt mit dem Hardware-Sicherheitschip und übermittelt die exakte URL der besuchten Plattform. - **Automatischer Abbruch bei Fake-Domains:** Befindet sich der Nutzer auf einer bösartigen Domain (etwa `login-sicher-portal.de` statt des offiziellen Unternehmensdienstes), verweigert der kryptografische Schlüssel das Signieren der Anfrage, da die Web-Origin nicht übereinstimmt. Der AiTM-Proxy erhält keine Daten und kann folglich kein Session-Cookie erbeuten. --- ## Wie Sie Ihre Organisation gezielt gegen AiTM-Phishing absichern Die vollständige unternehmensweite Einführung von FIDO2-Sicherheitsschlüsseln oder Passkeys erfordert Zeit und infrastrukturelle Vorbereitung. Flankierend zu dieser technischen Umstellung können Sicherheitsverantwortliche die Angriffsfläche durch gezielte operative Maßnahmen drastisch verkleinern. ### Richtlinien für bedingten Zugriff verschärfen Begrenzen Sie den Handlungsspielraum gestohlener Session-Cookies durch strikte Conditional-Access-Regeln: - **Anforderung konformer Geräte:** Blockieren Sie den Zugriff auf Unternehmensanwendungen, wenn die Web-Sitzung von nicht registrierten Geräten stammt oder nicht den definierten MDM-Compliance-Richtlinien entspricht. - **Standortprüfungen und Anomalieerkennung:** Identifizieren Sie physikalisch unmögliche Reisebewegungen (Impossible Travel), beispielsweise wenn auf einen Login aus Frankfurt wenige Minuten später ein API-Zugriff aus Übersee folgt. - **Reduzierung der Token-Gültigkeitsdauer:** Verkürzen Sie die Lebensdauer von Web-Sitzungen für sensible Arbeitsbereiche, um erbeutete Sitzungsschlüssel schneller unbrauchbar zu machen. ### Das Bewusstsein für verdächtige URLs schärfen Die Achillesferse eines AiTM-Angriffs bleibt die Webadresse: Angreifer können die originale Domain des legitimen Anbieters nicht fälschen. Der aufmerksame Blick auf die Adressleiste des Browsers bleibt daher eine tragende Verteidigungslinie. Um diesen Reflex nachhaltig im Arbeitsalltag zu verankern, ist praxisnahes Training unerlässlich. Mit [Super Phisher](/de/katalog/super-phisher/), unserem praxisorientierten Simulator für Phishing-Kampagnen, der gemeinsam mit unseren Experten bereitgestellt wird, konfrontieren Sie Ihre Belegschaft mit modernen Angriffsmustern und trainieren die sichere Erkennung manipulierter URLs vor jeder Dateneingabe. --- ## Moderne Cyberabwehr: Technik und menschlicher Faktor im Einklang Angriffe, die die Multi-Faktor-Authentifizierung aushebeln, verdeutlichen das Tempo, mit dem Cyberkriminelle ihre Methoden verfeinern. Wer sich blind auf technische Schutzmechanismen verlässt, ohne das Verhalten der Mitarbeiter mitzuentwickeln, wiegt sich in trügerischer Sicherheit. Eine widerstandsfähige Sicherheitsarchitektur kombiniert phishing-resistente FIDO2-Standards, feinjustierte Zugriffskontrollen und ein kontinuierliches Training der Mitarbeiter gegen neuartige Social-Engineering-Taktiken. Möchten Sie die Resilienz Ihrer Organisation gegenüber aktuellen Angriffsmethoden messen und ein passgenaues Trainingsprogramm aufbauen? [Kontaktieren Sie uns für ein persönliches Gespräch](/de/termin/), um sich mit unserem Team auszutauschen und unsere immersiven Lernformate kennenzulernen. ### 15 / 30 / 60 / 90-Day Rollout Plan: AiTM Phishing: Warum selbst eingegebene 2FA Codes gestohlen werden | Horizon | Priority Workstream | Operational Implementation | Reference Section | | --- | --- | --- | --- | | **D+15 · Scope** | Die Spiegel-Weiterleitung | Der Angreifer betreibt einen Reverse-Proxy unter einer täuschend echt wirkenden Domain. Klickt das Opfer auf den bösartigen Link, lädt dieser Server… | Wie fängt ein AiTM-Phishing-Kit Sitzungs-Tokens trotz… | | **D+30 · Pilot** | Kryptografische Domain-Bindung | Bei einer FIDO2-Authentifizierung über Hardware-Sicherheitsschlüssel oder Passkeys kommuniziert der Webbrowser direkt mit dem… | Warum klassische 2FA-Verfahren vor Session Hijacking nicht mehr… | | **D+60 · Rollout** | Anforderung konformer Geräte | Blockieren Sie den Zugriff auf Unternehmensanwendungen, wenn die Web-Sitzung von nicht registrierten Geräten stammt oder nicht den definierten… | Wie Sie Ihre Organisation gezielt gegen AiTM-Phishing absichern | | **D+90 · Audit** | Abfangen des ersten Faktors | Der Nutzer gibt Benutzernamen und Kennwort ein. Der bösartige Proxy reicht diese Anmeldedaten augenblicklich an den echten Dienst weiter, welcher… | Wie fängt ein AiTM-Phishing-Kit Sitzungs-Tokens trotz… | --- ## Weiterführende Artikel und Lösungen von Brain Security ### Verwandte Artikel zu diesem Thema - **[Social Engineering auf Business-Netzwerken: Wenn Fake-Jobs zum Einfallstor werden](/de/cybersecurity/social-engineering-business-netzwerke-fake-jobangebote/)** (Phishing & Social Engineering) : Erfahren Sie, wie Angreifer Business-Netzwerke nutzen, um Mitarbeiter über fingierte Jobangebote zu täuschen und Netzwerkzugänge zu kapern. - **[Phishing Melderate: Warum CISOs die Klickrate aufgeben sollten](/de/cybersecurity/phishing-melderate-ciso-klickrate-ersetzen/)** (Phishing & Social Engineering) : Erfahren Sie, warum die Phishing Melderate die Klickrate übertrifft, um das Risiko zu senken und das Unternehmen in Minuten aktiv zu schützen. - **[Baiting und präparierte USB-Sticks: Warum Neugier ein enormes Einfallstor bleibt](/de/cybersecurity/baiting-usb-stick-social-engineering-gefahr/)** (Phishing & Social Engineering) : Erfahren Sie, wie USB-Baiting Ihre Mitarbeiter austrickst und welche physischen Sicherheitsreflexe Ihr Unternehmen wirksam vor Angriffen schützen. - **[Kanzleien und Consulting: Berufsgeheimnis vor gezielten Cyberangriffen schützen](/de/cybersecurity/kanzleien-consulting-berufsgeheimnis-cyberangriffe-schuetzen/)** (Branchen & Rollen) : Erfahren Sie, warum Kanzleien und Beratungsunternehmen im Fokus von Cyberkriminellen stehen und wie Sie Ihre Teams vor Spear-Phishing schützen. ### Lösungen von Brain Security entdecken - **Passende Lösung : [Super Phisher](/de/katalog/super-phisher/)** : Der Phishing-Simulator, der Ihre Teams auf reale Angriffe trainiert, von der gefälschten E-Mail bis zum präparierten QR-Code, in einem kontrollierten Rahmen, der niemals ein Passwort erfasst. - **[Anwendungsfälle nach Bedarf und Branche ansehen](/de/anwendungsfaelle/)** - **[Unsere Formate für Cyber- und KI-Sensibilisierung vergleichen](/de/vergleich/)** - **[Den gesamten interaktiven Katalog von Brain Security entdecken](/de/katalog/)** - **[Sprechen Sie mit unserem Team über Ihren Bedarf (Demo & Beratung)](/de/termin/)** --- - https://startbrain.io/de/cybersecurity/aitm-phishing-mfa-session-hijacking-schutz/ - [Français](https://startbrain.io/fr/cybersecurite/attaque-aitm-adversary-in-the-middle-vol-session/) - [English (UK)](https://startbrain.io/en-gb/cybersecurity/aitm-phishing-session-cookie-theft-mfa-bypass/) - [English (US)](https://startbrain.io/en-us/cybersecurity/aitm-phishing-session-cookie-bypass-mfa/) - [Español](https://startbrain.io/es/cyberseguridad/phishing-aitm-robo-sesion-mfa-doble-autenticacion/) - [Italiano](https://startbrain.io/it/sicurezza-informatica/phishing-aitm-furto-codice-2fa-cookie-sessione/) - [Nederlands](https://startbrain.io/nl/cybersecurity/aitm-phishing-mfa-bypass-sessiecookie-beveiliging/) - [Português](https://startbrain.io/pt/ciberseguranca/phishing-aitm-roubo-sessao-mfa-protecao/) - [日本語](https://startbrain.io/ja/cybersecurity/aitm-phishing-mfa-bypass-session-cookie-theft/) - [Polski](https://startbrain.io/pl/cyberbezpieczenstwo/phishing-aitm-omijanie-2fa-kradziez-sesji-mfa/) - [Svenska](https://startbrain.io/sv/cybersakerhet/aitm-phishing-kringga-mfa-sessionsstold/) - [Dansk](https://startbrain.io/da/cybersikkerhed/aitm-phishing-session-cookie-omgaaelse-mfa-2fa/) - [Suomi](https://startbrain.io/fi/kyberturvallisuus/aitm-phishing-mfa-istuntotietojen-kaappaus/) - [Norsk](https://startbrain.io/no/cybersikkerhet/aitm-phishing-mfa-sesjonskapsler-sikkerhet/) - [English (Canada)](https://startbrain.io/en-ca/cybersecurity/aitm-phishing-session-cookie-bypass-mfa/) - [llms.txt](https://startbrain.io/llms.txt)