Was ist MFA-Fatigue?
MFA-Fatigue, auch Push-Bombing genannt, ist ein Angriff auf Konten, die für die Multi-Faktor-Authentifizierung Push-Benachrichtigungen nutzen. Der Angreifer hat das Passwort bereits, oft aus Phishing oder einem Leak, und löst immer wieder Anmeldeversuche aus, sodass das Handy des Nutzers ständig um Bestätigung bittet, manchmal mitten in der Nacht. Irgendwann tippt die Person auf Bestätigen, damit es aufhört, oder ein Anrufer, der sich als IT ausgibt, überredet sie dazu. Abwehr: Push-Bestätigungen auf Zahlenabgleich umstellen, bei dem der Nutzer eine auf dem Anmeldebildschirm gezeigte Zahl eintippen muss, was Microsoft Authenticator inzwischen standardmäßig verlangt; die Zahl der Aufforderungen pro Zeitraum begrenzen; das Melden unerwarteter Aufforderungen mit einem Tippen ermöglichen; und Konten mit hohem Risiko auf phishingresistente Verfahren wie Sicherheitsschlüssel oder Passkeys umstellen. Sagen Sie der Belegschaft klar: Eine MFA-Anfrage, die man nicht selbst ausgelöst hat, heißt, dass jemand das Passwort kennt. Ablehnen und die IT anrufen.