Kann Phishing die Multi-Faktor-Authentifizierung umgehen?
Ja, manche Arten von MFA lassen sich umgehen, deshalb kommt es auf den Typ an. Bei einem Adversary-in-the-Middle-Angriff sitzt die Phishing-Seite zwischen Ihnen und der echten Anmeldeseite: Sie reicht Ihr Passwort und Ihren Einmalcode oder Ihre Push-Bestätigung in Echtzeit an den echten Dienst weiter und behält das Sitzungscookie, das der Dienst zurückschickt. Mit diesem Cookie ist der Angreifer angemeldet, ohne Passwort oder MFA erneut zu brauchen. SMS-Codes, Codes aus Authenticator-Apps und einfache Push-Bestätigungen sind dafür anfällig. Phishingresistente MFA, also FIDO2-Sicherheitsschlüssel und Passkeys, ist es nicht, weil der Schlüssel die Webadresse prüft und einer gefälschten Seite nicht antwortet. MFA jeder Art ist trotzdem weit besser als keine. Praktische Schritte: zuerst Administratoren und Buchhaltung mit Passkeys oder Sicherheitsschlüsseln ausstatten, Anmelderichtlinien aktivieren, die unbekannte Geräte und Orte markieren, und nach jedem Phishing-Vorfall Sitzungen widerrufen, nicht nur Passwörter ändern.