--- id: "phishing-005" title: "MFA Fatigue und Push Bombing : Wie Angreifer die Zwei-Faktor-Authentifizierung ohne Code-Diebstahl umgehen" description: "Verstehen Sie MFA-Fatigue-Attacken und Push Bombing. Schützen Sie Ihr Unternehmen durch gezielte Sensibilisierung und technische Schutzmaßnahmen." canonical: https://startbrain.io/de/cybersecurity/mfa-fatigue-push-bombing-abwehren/ slug: "mfa-fatigue-push-bombing-abwehren" date: "2026-10-02" category: "phishing" product: "superphisher" lang: de author: "Brain Security · F&E Cyber & Faktor Mensch" frameworks: "BSI IT-Grundschutz · NIS-2 · DORA · DSGVO · ISO 27001" --- # MFA Fatigue (Push Bombing) : Wie Angreifer die Zwei-Faktor-Authentifizierung ohne Code-Diebstahl umgehen Es ist 23:42 Uhr. Ihr Mitarbeiter möchte gerade schlafen gehen, als sein Smartphone vibriert: Eine Benachrichtigung von Microsoft Authenticator oder Okta verlangt die Bestätigung einer Anmeldung. In der Annahme, es handle sich um einen Systemfehler, ignoriert er den Bildschirm. Zwei Minuten später folgen drei weitere Benachrichtigungen. Kurz darauf noch fünf. Genervt von den ständigen Tönen, die seine Nachtruhe stören, und in dem Glauben, einen technischen Fehler zu beenden, tippt er mechanisch auf "Genehmigen". Innerhalb von Sekundenbruchteilen hat der Angreifer Zugriff auf Ihr Informationssystem. Dieses Szenario ist keine Fiktion: Es entspricht exakt der Vorgehensweise, mit der in den letzten Jahren globale Technologiekonzerne kompromittiert wurden. Die Multi-Faktor-Authentifizierung (MFA) bleibt ein zentraler Schutzschild, doch sie stützt sich auf den Faktor Mensch, den Cyberkriminelle gezielt durch psychologische Zermürbung ins Visier nehmen. Für CISOs und IT-Sicherheitsverantwortliche ist die Abwehr dieser Bedrohung eine dringende operative Priorität. --- ## Wie funktioniert ein MFA-Fatigue-Angriff und welche Reflexe müssen Mitarbeiter lernen? > **Auf den Punkt gebracht: Bei einer MFA-Fatigue-Attacke (Push Bombing) überfluten Angreifer das Mobiltelefon eines Nutzers so lange mit Anmeldeanfragen, bis dieser aus Frustration oder Unachtsamkeit zustimmt. Der entscheidende Reflex lautet: Jede unaufgeforderte Benachrichtigung konsequent ablehnen und sofort an das IT-Sicherheits-Team melden.** Das Prinzip der **MFA Fatigue Push Bombing Attacke** basiert auf einer einfachen Ausgangslage: Die Kriminellen besitzen bereits gültige Zugangsdaten (Benutzername und Passwort aus Infostealern, Datenlecks oder Phishing-Kampagnen). Die einzige verbleibende Hürde ist die Bestätigung des zweiten Faktors. Statt komplexe Verschlüsselungen zu knacken, starten Angreifer automatisierte Skripte, die Dutzende oder Hunderte Anmeldeanfragen in kürzester Zeit generieren. Diese Taktik nutzt mehrere psychologische Hebel: - **Kognitive Überlastung und Ermüdung:** Das ständige akustische und visuelle Signal erzeugt Stress. Das Opfer will die Störung so schnell wie möglich beenden. - **Technischer Bestätigungsfehler:** Viele Nutzer vermuten hinter wiederholten Anfragen ein Hintergrund-Update oder eine Synchronisation des Mailservers. - **Kombination mit Social Engineering:** In besonders perfiden Fällen rufen Angreifer zeitgleich per Telefon oder Messenger an, geben sich als interner IT-Support aus und weisen den Mitarbeiter an, "den Push zu bestätigen, um einen laufenden Cyberangriff abzuwehren". Die Regel für alle Mitarbeiter im Unternehmen muss unmissverständlich sein: **Eine Push-Benachrichtigung darf nur dann bestätigt werden, wenn der Nutzer im selben Moment selbst aktiv eine Anmeldung durchführt.** Jede unaufgeforderte Anfrage ist als potenzieller Sicherheitsvorfall zu betrachten. --- ## Warum verdrängt Push Bombing traditionelle Angriffsmethoden? > **Auf den Punkt gebracht: Push Bombing umgeht MFA völlig ohne Schadsoftware oder Reverse Engineering. Angreifer missbrauchen den einfachsten Mechanismus der Zwei-Faktor-Authentifizierung, den Klick auf "Genehmigen", und verwandeln Bedienkomfort in eine kritische Sicherheitslücke.** Jahrelang haben IT-Abteilungen Push-basierte MFA-Verfahren empfohlen, weil sie gegenüber SMS-Codes oder TOTP-Generatoren deutlich anwenderfreundlicher sind. Genau diese Einfachheit wurde jedoch zum Einfallstor für Kriminelle. ### Fehlender Kontext bei der Bestätigung Bei einfachen Standardkonfigurationen zeigt die Authentifizierungs-App oft nur die Frage: "Sind Sie das? Ja / Nein". Ohne geografische Standortdaten oder weiterführende Validierung tippen unaufmerksame Mitarbeiter aus reiner Gewohnheit auf "Ja", ähnlich wie bei Cookie-Bannern im Browser. Moderne Architekturen setzen deshalb auf *Number Matching* (Zahlenabgleich). Hierbei muss der Anwender eine zweistellige Zahl, die auf dem Login-Bildschirm des PCs angezeigt wird, manuell auf seinem Smartphone eintippen. Diese Hürde reduziert das Risiko signifikant, schützt aber nicht vollständig: Bei gezielten Angriffen versuchen Täter, den Mitarbeitern den Code telefonisch zu entlocken. Um die Wachsamkeit Ihrer Belegschaft gegenüber solchen Druckszenarien und Identitätsdiebstählen realistisch zu überprüfen, sind praxisnahe Trainings erforderlich. Unser Phishing-Kampagnen-Simulator [Super Phisher](/de/katalog/super-phisher/) konfrontiert Teams mit aktuellen Social-Engineering-Taktiken und macht das Reaktionsverhalten unter realistischen Bedingungen messbar. --- ## Welche technischen und organisatorischen Maßnahmen neutralisieren dieses Risiko? Die Abwehr von Push Bombing erfordert ein Zusammenspiel aus Systemhärtung und Sicherheitskultur. Brain Security empfiehlt folgende Maßnahmen zur Absicherung Ihrer Organisation: - **Number Matching verpflichtend aktivieren:** Erzwingen Sie die Eingabe des dynamischen Codes, der auf dem Quellbildschirm erscheint. Ein entfernter Angreifer kann diesen Code ohne visuellen Zugriff nicht erraten. - **Anfragehäufigkeit begrenzen (Rate Limiting):** Konfigurieren Sie Richtlinien für bedingten Zugriff (Conditional Access) so, dass Accounts nach drei abgelehnten oder ignorierten Push-Anfragen temporär gesperrt werden. - **Kontextbasierte Zugriffsregeln implementieren:** Blockieren Sie Login-Versuche aus ungewöhnlichen Ländern oder von verdächtigen IP-Adressen (anonymisierte VPNs, Tor-Netzwerke). - **Barrierefreie Meldewege etablieren:** Mitarbeiter müssen verdächtige Push-Anfragen mit einem Klick melden können, ohne Sorge haben zu müssen, das Bereitschaftsteam unnötig zu stören. - **FIDO2-Sicherheitsschlüssel für privilegierte Konten:** Nutzen Sie für Administratoren, Führungskräfte und Finanzabteilungen physische Sicherheitsschlüssel, die gegen MFA-Fatigue-Angriffe immun sind. Die Multi-Faktor-Authentifizierung ist kein Selbstläufer: Ihre Wirksamkeit hängt maßgeblich vom Verhalten der Anwender ab. Durch die Kombination aus restriktiven technischen Vorgaben und kontinuierlichem Sicherheitstraining verliert die Zermürbungstaktik durch Push Bombing ihre Wirkung. Möchten Sie die Widerstandskraft Ihrer Teams gegen moderne Social-Engineering-Methoden nachhaltig stärken? [Sprechen Sie mit uns](/de/termin/), um einen passgenauen Trainingsplan für Ihr Risikoprofil zu entwickeln. ### 15 / 30 / 60 / 90-Day Rollout Plan: MFA Fatigue und Push Bombing : Wie Angreifer die Zwei-Faktor-Authentifizierung ohne Code-Diebstahl umgehen | Horizon | Priority Workstream | Operational Implementation | Reference Section | | --- | --- | --- | --- | | **D+15 · Scope** | Kognitive Überlastung und Ermüdung | Das ständige akustische und visuelle Signal erzeugt Stress. Das Opfer will die Störung so schnell wie möglich beenden. | Wie funktioniert ein MFA-Fatigue-Angriff und welche Reflexe… | | **D+30 · Pilot** | Number Matching verpflichtend aktivieren | Erzwingen Sie die Eingabe des dynamischen Codes, der auf dem Quellbildschirm erscheint. Ein entfernter Angreifer kann diesen Code ohne visuellen… | Welche technischen und organisatorischen Maßnahmen… | | **D+60 · Rollout** | Technischer Bestätigungsfehler | Viele Nutzer vermuten hinter wiederholten Anfragen ein Hintergrund-Update oder eine Synchronisation des Mailservers. | Wie funktioniert ein MFA-Fatigue-Angriff und welche Reflexe… | | **D+90 · Audit** | Anfragehäufigkeit begrenzen (Rate Limiting) | Konfigurieren Sie Richtlinien für bedingten Zugriff (Conditional Access) so, dass Accounts nach drei abgelehnten oder ignorierten Push-Anfragen… | Welche technischen und organisatorischen Maßnahmen… | --- ## Weiterführende Artikel und Lösungen von Brain Security ### Verwandte Artikel zu diesem Thema - **[Smishing: So sensibilisieren Sie Ihre Teams gegen SMS-Angriffe](/de/cybersecurity/smishing-sensibilisierung-sms-angriffe-unternehmen/)** (Phishing & Social Engineering) : Schützen Sie Ihr Unternehmen vor Smishing. Verstehen Sie mobile Schwachstellen und etablieren Sie wirksame Verhaltensweisen für Ihre Teams. - **[Vishing: Wie Cyberkriminelle Helpdesk und Mitarbeiter am Telefon manipulieren](/de/cybersecurity/vishing-social-engineering-angriffe-telefon-helpdesk/)** (Phishing & Social Engineering) : Erfahren Sie, wie Vishing-Angriffe Helpdesks austricksen, MFA aushebeln und wie Sie Teams mit interaktiven Methoden gezielt schützen können. - **[Typosquatting und Homoglyphen: Teams das Lesen von URLs beibringen](/de/cybersecurity/typosquatting-homoglyphen-url-erkennen-phishing-schutz/)** (Phishing & Social Engineering) : Erkennen Sie Typosquatting und Homoglyphen-Angriffe zuverlässig. Trainieren Sie Ihre Teams im Entlarven gefälschter URLs gegen Phishing. - **[Kanzleien und Consulting: Berufsgeheimnis vor gezielten Cyberangriffen schützen](/de/cybersecurity/kanzleien-consulting-berufsgeheimnis-cyberangriffe-schuetzen/)** (Branchen & Rollen) : Erfahren Sie, warum Kanzleien und Beratungsunternehmen im Fokus von Cyberkriminellen stehen und wie Sie Ihre Teams vor Spear-Phishing schützen. ### Lösungen von Brain Security entdecken - **Passende Lösung : [Super Phisher](/de/katalog/super-phisher/)** : Der Phishing-Simulator, der Ihre Teams auf reale Angriffe trainiert, von der gefälschten E-Mail bis zum präparierten QR-Code, in einem kontrollierten Rahmen, der niemals ein Passwort erfasst. - **[Anwendungsfälle nach Bedarf und Branche ansehen](/de/anwendungsfaelle/)** - **[Unsere Formate für Cyber- und KI-Sensibilisierung vergleichen](/de/vergleich/)** - **[Den gesamten interaktiven Katalog von Brain Security entdecken](/de/katalog/)** - **[Sprechen Sie mit unserem Team über Ihren Bedarf (Demo & Beratung)](/de/termin/)** --- - https://startbrain.io/de/cybersecurity/mfa-fatigue-push-bombing-abwehren/ - [Français](https://startbrain.io/fr/cybersecurite/fatigue-mfa-push-bombing-authentification/) - [English (UK)](https://startbrain.io/en-gb/cybersecurity/mfa-fatigue-push-bombing-security-guide/) - [English (US)](https://startbrain.io/en-us/cybersecurity/mfa-fatigue-push-bombing-bypass-guide/) - [Español](https://startbrain.io/es/cyberseguridad/mfa-fatigue-push-bombing-ataque-doble-autenticacion/) - [Italiano](https://startbrain.io/it/sicurezza-informatica/mfa-fatigue-push-bombing-autenticazione-sicurezza/) - [Nederlands](https://startbrain.io/nl/cybersecurity/mfa-fatigue-push-bombing-tweefactorauthenticatie-omzeilen/) - [Português](https://startbrain.io/pt/ciberseguranca/fadiga-mfa-push-bombing-contornar-autenticacao/) - [日本語](https://startbrain.io/ja/cybersecurity/mfa-fatigue-push-bombing-mitigation-ciso-japan/) - [Polski](https://startbrain.io/pl/cyberbezpieczenstwo/mfa-fatigue-push-bombing-atak-uwierzytelnianie/) - [Svenska](https://startbrain.io/sv/cybersakerhet/mfa-fatigue-push-bombing-guide-ciso/) - [Dansk](https://startbrain.io/da/cybersikkerhed/mfa-fatigue-push-bombing-totrinsgodkendelse-ciso/) - [Suomi](https://startbrain.io/fi/kyberturvallisuus/mfa-fatigue-push-bombing-kaksivaiheinen-tunnistautuminen/) - [Norsk](https://startbrain.io/no/cybersikkerhet/mfa-fatigue-push-bombing-sikkerhet-ciso/) - [English (Canada)](https://startbrain.io/en-ca/cybersecurity/mfa-fatigue-push-bombing-identity-defence-canada/) - [llms.txt](https://startbrain.io/llms.txt)