Phishing-Kits knacken jetzt auch Zwei-Faktor-Authentifizierung

Sicherheitsforscher warnen vor Phishing-as-a-Service-Plattformen, die komplexe Angriffe wie AiTM für technische Laien ermöglichen und so die etablierte Zwei-Faktor-Authentifizierung umgehen.

Eine neue Generation von Phishing-Angriffen macht die als sicher geltende Zwei-Faktor-Authentifizierung (MFA) wirkungslos. Sicherheitsforscher warnen aktuell vor sogenannten Phishing-as-a-Service-Plattformen, die selbst technisch unerfahrenen Kriminellen den Zugriff auf Konten ermöglichen. Die Angriffe zielen vor allem auf Microsoft 365 und Google Workspace ab.

Anzeige

Diese fiesen Hacker-Methoden führen aktuell zu Rekord-Schäden in deutschen Unternehmen. Ein kostenloser Report zeigt, wie Kriminelle fertige Schadprogramme aus dem Netz laden und zuschlagen. Jetzt Anti-Phishing-Paket gratis herunterladen

So funktioniert der "Mann-in-der-Mitte"-Angriff

Die neue Methode heißt Adversary-in-the-Middle (AiTM). Dabei agiert der Angreifer als unsichtbarer Vermittler zwischen Opfer und legitimer Website. Klickt ein Nutzer auf einen Phishing-Link, landet er auf einer gefälschten Seite, die im Hintergrund die echte Login-Seite lädt.

Für das Opfer sieht alles normal aus. Es gibt seine Daten ein – und das Phishing-Kit leitet sie in Echtzeit an den echten Dienst weiter. Kommt dann die MFA-Abfrage, etwa per App, wird auch diese durchgeschleust. Bestätigt das Opfer, fängt der Angreifer das anschließende Sitzungs-Token ab. Er hat nun vollen Zugriff, ohne Passwort oder Code zu kennen.

"Starkiller" und Voice-Phishing: Die neuen Werkzeuge

Sicherheitsexperten identifizierten kürzlich mehrere neue Plattformen. Eine davon heißt "Starkiller" und wird als Phishing-as-a-Service angeboten. Sie macht die komplexe AiTM-Technik für jedermann zugänglich.

Gleichzeitig warnen Experten vor Voice-Phishing-Kits. Hier rufen Täter ihre Opfer an und geben sich als Support aus. Unter einem Vorwand leiten sie das Opfer auf eine gefälschte Seite. Das Perfide: Während des Telefonats kann der Angreifer die Seite live manipulieren und eingegebene Daten sofort nutzen. Diese Kombination aus sozialer Manipulation und Technik ist besonders erfolgreich.

Cyberkriminalität wird zur Massenware

Phishing-as-a-Service-Modelle wie "Starkiller" senken die Einstiegshürde für Kriminelle drastisch. Die Plattformen werden auf Untergrund-Marktplätzen verkauft oder vermietet – oft zu geringen Preisen. Was früher tiefgreifendes technisches Wissen erforderte, können heute auch Laien durchführen.

Die Betreiber entwickeln ihre Tools ständig weiter, um Erkennungsmechanismen zu umgehen. Sie setzen auf Browser-Fingerprinting oder spezielle Verschleierungstechniken. Das Ergebnis: eine Industrialisierung des Phishings mit immer ausgefeilteren Angriffen.

Anzeige

Da 73% der deutschen Unternehmen nicht ausreichend auf solche Cyberangriffe vorbereitet sind, raten Experten zur proaktiven Stärkung der IT-Sicherheit. Dieser kostenlose Leitfaden zeigt, wie Sie Ihre Organisation mit einfachen Maßnahmen effektiv schützen. Kostenloses E-Book zur Cyber Security sichern

Ist die Zwei-Faktor-Authentifizierung jetzt wertlos?

Jahrelang galt MFA als eine der wirksamsten Schutzmaßnahmen. Die neuen AiTM-Angriffe demontieren diesen Mythos. Sie brechen MFA nicht, sondern umgehen sie, indem sie den legitimen Anmeldeprozess missbrauchen.

Hergebrachte Methoden wie SMS-Codes oder einfache Push-Benachrichtigungen bieten keinen ausreichenden Schutz mehr. Die Bedrohung verlagert sich vom Passwortdiebstahl zum Abfangen aktiver Sitzungs-Token. Das erfordert ein Umdenken in der Verteidigung.

Welche Schutzmaßnahmen wirklich helfen

Experten fordern den Übergang zu phishing-resistenter Authentifizierung. Als Goldstandard gelten FIDO2-basierte Methoden wie Hardware-Sicherheitsschlüssel oder Passkeys. Diese bauen eine kryptografische Verbindung zwischen Gerät und Website auf, die ein "Mann in der Mitte" nicht fälschen kann.

Solange die Authentifizierung auf übertragbaren Informationen wie Passwörtern beruht, bleibt das Problem bestehen. Unternehmen müssen ihre Sicherheitsstrategien überdenken und Mitarbeiter für die neuen Social-Engineering-Taktiken sensibilisieren.