Viele Geschäftsführer haben in den letzten Jahren ein Häkchen gesetzt: Multi-Faktor-Authentifizierung ist aktiv, der Login braucht jetzt einen SMS-Code oder eine App-Bestätigung. Damit galt das Thema als erledigt.

2026 ist diese Annahme gefährlich. Nicht, weil MFA grundsätzlich falsch wäre – sie ist und bleibt eine Grundpflicht. Sondern weil eine ganze Klasse von Angriffen genau die verbreiteten MFA-Verfahren umgeht, ohne dass Ihr Mitarbeiter etwas Ungewöhnliches bemerkt. Dieser Beitrag erklärt, wie das technisch funktioniert, warum SMS, App-Code und Push-Bestätigung alle dasselbe strukturelle Leck haben – und welche Art von MFA tatsächlich schützt.

Was „MFA-Bypass" technisch bedeutet

Die Angriffsklasse heißt Adversary-in-the-Middle, kurz AiTM. Der Angreifer stiehlt nicht Ihr Passwort. Er stiehlt die fertig angemeldete Sitzung.

Der Ablauf im Detail:

  1. Ihr Mitarbeiter klickt auf einen Link – in einer täuschend echten E-Mail, einer Kalendereinladung oder neuerdings oft hinter einem QR-Code (sogenanntes Quishing).
  2. Er landet nicht direkt auf der echten Microsoft-365-Anmeldeseite, sondern auf einem Reverse Proxy des Angreifers. Diese Zwischenstation reicht jede Eingabe in Echtzeit an den echten Microsoft-Server weiter und spiegelt dessen Antwort zurück. Für den Nutzer sieht alles korrekt aus, weil er tatsächlich mit dem echten Dienst spricht – nur eben über einen Mithörer.
  3. Der Mitarbeiter gibt sein Passwort ein. Der Proxy leitet es weiter.
  4. Microsoft fordert den zweiten Faktor an. Der Mitarbeiter bestätigt seinen SMS-Code, tippt den App-Code oder drückt „Genehmigen" in der Authenticator-App. Auch das läuft durch den Proxy.
  5. Microsoft stuft die Anmeldung als erfolgreich ein und sendet ein Session-Token zurück – einen kryptografischen „Türöffner", der die laufende Sitzung repräsentiert. Genau dieses Token fängt der Proxy ab.

Mit dem gestohlenen Token meldet sich der Angreifer ohne Passwort und ohne zweiten Faktor an. Aus Sicht von Microsoft ist es eine ganz normale, bereits authentifizierte Sitzung.

In einem Satz: Der Angreifer klaut nicht den Schlüssel zu Ihrer Tür, sondern die bereits geöffnete Tür selbst.

Warum SMS, App-Code und Push alle dasselbe Leck haben

Der entscheidende Punkt ist nicht die Qualität des Codes, sondern sein Prinzip. SMS-OTP, TOTP (die rotierenden Sechs-stelligen App-Codes) und Push-Bestätigungen sind allesamt übertragbare Geheimnisse: Der Mitarbeiter bekommt etwas mitgeteilt – einen Code oder eine Ja/Nein-Frage – und gibt es weiter. Alles, was weitergegeben wird, kann auf dem Weg abgefangen werden.

Push-Bestätigungen haben zusätzlich das „MFA-Fatigue"-Problem: Werden genug Anfragen geschickt, drückt irgendwann jemand genervt auf „Genehmigen". Number-Matching (die Eingabe einer angezeigten Zahl) entschärft das, schützt aber nicht gegen den AiTM-Proxy, weil die Zahl ebenfalls durch ihn hindurchläuft.

Das ist keine Theorie. Die Bedrohungslage in Zahlen:

Tycoon2FA ist dabei nur ein Beispiel für ein größeres Phänomen: Phishing-as-a-Service. Solche Kits werden auf Telegram für rund 120 US-Dollar (Zehn-Tage-Zugang) vermietet und liefern fertige, gepflegte Angriffsinfrastruktur. Damit kann auch ein technisch wenig versierter Krimineller AiTM-Angriffe fahren.

Wie strukturell das Problem ist, zeigt der Verlauf: Am 4. März 2026 zerschlugen Microsoft, Europol und zahlreiche Partner die Tycoon2FA-Infrastruktur und beschlagnahmten über 330 Domains. Innerhalb weniger Wochen war die Aktivität über neue Infrastruktur zurück, und der Markt verteilte sich auf Nachfolge-Kits. Die Erkenntnis: Einzelne Takedowns helfen kurzfristig, die Angriffstechnik selbst bleibt. Sie müssen sich darauf einstellen, dass AiTM zum Dauerzustand gehört – nicht zu einer Welle, die vorübergeht.

Was wirklich schützt: phishing-resistente MFA

Die Lösung liegt nicht in einem „besseren Code", sondern in einem anderen Prinzip. Phishing-resistente MFA ersetzt das übertragbare Geheimnis durch asymmetrische Kryptografie – den FIDO2-/WebAuthn-Standard, in der Praxis als Hardware-Sicherheitsschlüssel oder als Passkey umgesetzt.

So funktioniert es:

In einem Satz: Ein Passkey prüft nicht „Kennen Sie den Code?", sondern „Bin ich wirklich mit der echten Seite verbunden?" – und auf einer gefälschten Seite gibt es keine Antwort zu stehlen.

Deshalb stuft das BSI SMS-basierte MFA inzwischen als unzureichend ein und empfiehlt bereits seit Ende 2024 ausdrücklich phishing-resistente Verfahren wie FIDO2 und Passkeys für Konten mit erhöhtem Schutzbedarf. Die US-Behörde CISA bewertet das identisch.

Hardware-Schlüssel oder Passkey – wo ist der Unterschied?

Beide beruhen auf demselben FIDO2-Fundament und sind beide phishing-resistent. Der Unterschied liegt darin, wo der private Schlüssel lebt:

Für die meisten Mitarbeitenden sind Passkeys der pragmatische Weg, für privilegierte Konten der dedizierte Hardware-Schlüssel. Beides lässt sich kombinieren.

Für ein KMU mit Microsoft 365: der realistische Weg

Die gute Nachricht für einen typischen Betrieb am Niederrhein mit 30 bis 100 Mitarbeitenden: Das ist kein Sechs-Monats-Projekt und kein Infrastruktur-Umbau. Microsoft Entra ID (das frühere Azure AD) unterstützt FIDO2 und Passkeys nativ – es kommt keine zusätzliche Server-Landschaft hinzu.

Was es braucht, ist eine saubere Reihenfolge:

  1. Priorisieren statt Gießkanne. Zuerst die Konten mit dem höchsten Schaden im Missbrauchsfall: Geschäftsleitung, Administratoren, Buchhaltung, Personal. Diese gehören als Erstes auf FIDO2 oder Passkey.
  2. Conditional-Access-Regeln nachziehen. Sonst meldet sich der Nutzer freiwillig sicher an – nur lässt das System parallel weiter die alte SMS-MFA zu, und die Lücke bleibt offen.
  3. Notfallzugang (Break-Glass) anlegen und testen. Ein dokumentiertes, abgesichertes Administratorkonto für den Fall, dass die normale Anmeldung ausfällt. Ohne diesen Schritt sperren sich Unternehmen im Ernstfall selbst aus.
  4. Rollout in zwei Wochen-Wellen statt großem Knall, mit kurzer Einweisung der Mitarbeitenden.

Die Kosten sind überschaubar: Hardware-Schlüssel beginnen bei etwa 25 € pro Stück. Sinnvoll sind zwei pro Person für privilegierte Konten – ein Haupt- und ein Backup-Schlüssel. Für ein 100-Personen-Unternehmen liegt das Hardware-Budget damit grob bei 5.000 €; Passkeys auf vorhandenen Geräten kosten gar nichts extra.

Der Aufwand steckt nicht im Einkauf, sondern in den Details: historisch gewachsene Berechtigungen, Legacy-Authentifizierung, die noch im Hintergrund läuft, geteilte Geräte in der Werkstatt oder am Empfang, und die Frage, welche Altanmeldewege wirklich abgeschaltet werden können, ohne den Betrieb zu stören. Genau an diesen Stellen entscheidet sich, ob die Umstellung tatsächlich schützt oder nur ein zweites Verfahren neben dem alten, löchrigen herläuft.

Warum das 2026 auch eine Compliance- und Versicherungsfrage ist

Der Druck kommt nicht mehr nur aus der IT. Mit NIS2 sind starke Authentifizierungs- und Zugriffskontrollen für viele Unternehmen – direkt oder über die Lieferkette – zur nachweispflichtigen Anforderung geworden. Parallel unterscheiden Cyberversicherer bei der Prämienberechnung zunehmend zwischen einfacher und phishing-resistenter MFA. Es gibt dokumentierte Fälle, in denen Schadenersatz verweigert wurde, weil MFA nicht durchgängig umgesetzt war. Wer hier sauber aufgestellt ist, verbessert nicht nur seine Sicherheit, sondern auch seine Versicherbarkeit und seine Position gegenüber größeren Auftraggebern.

Der nächste Schritt

Die ehrlichste erste Maßnahme ist eine Liste: Welche Ihrer Mitarbeitenden haben heute noch ausschließlich SMS- oder App-Code-MFA – und welche dieser Konten haben Zugriff auf Geld, Daten oder Administratorrechte? Mit dieser Liste fängt jede sinnvolle Umstellung an.

Wenn Sie wissen möchten, wo Ihr Unternehmen beim Identitätsschutz konkret steht und wie ein phishing-resistenter Rollout in Ihrer Microsoft-365-Umgebung realistisch aussieht, schauen wir uns das gemeinsam an – persönlich, vor Ort in NRW. Eine erste Einordnung gibt es in unserem kostenlosen Erstgespräch. Mehr zu unserem Vorgehen bei Cybersecurity und NIS2 finden Sie auf unserer Leistungsseite Cybersecurity & NIS2.

Quellen

Hinweis: Microsoft- und herstellernahe Auswertungen (Microsoft, Proofpoint, WatchGuard) sind methodisch solide, aber als Anbieter- bzw. Plattform-Telemetrie zu lesen. Die behördlichen Quellen (BSI, LSI Bayern) liefern den herstellerneutralen Rahmen.