Bei einem Man-in-the-Middle-Angriff schaltet sich ein Angreifer unbemerkt in eine Kommunikation zwischen zwei Parteien, um sie mitzulesen oder zu manipulieren.
Bei einem Man-in-the-Middle-Angriff (MITM) schaltet sich ein Angreifer unbemerkt zwischen zwei Kommunikationspartner. Beide glauben, direkt miteinander zu sprechen – tatsächlich läuft der gesamte Verkehr über den Angreifer, der mitlesen und bei Bedarf verändern kann. Das Bild vom „Mann in der Mitte“ beschreibt genau diese Position: nah genug an der Leitung, um alles zu sehen, unsichtbar genug, um nicht aufzufallen. Für identitätsbezogene Angriffe hat sich zunehmend der treffendere Begriff Adversary-in-the-Middle (AiTM) durchgesetzt.
In MITRE ATT&CK ist die Technik als „Adversary-in-the-Middle“ (T1557) erfasst. Praktisch relevant ist MITM heute vor allem in zwei Formen: klassisch im lokalen Netz, etwa durch Manipulation von ARP oder gefälschte Netzwerkdienste, und modern als AiTM-Phishing, das selbst Multi-Faktor-Authentifizierung aushebelt.
Varianten
- AiTM-Phishing: Der Angreifer betreibt einen Reverse-Proxy, der die echte Anmeldeseite in Echtzeit durchreicht. Das Opfer gibt Zugangsdaten und MFA-Code auf der echten Seite ein – der Proxy greift jedoch das entstehende Sitzungs-Cookie ab und übernimmt die angemeldete Sitzung. Fertige Werkzeugkästen machen diesen Angriff breit verfügbar; er ist der Hauptgrund, warum Codes und Push-Bestätigungen keine Phishing-Resistenz mehr bieten.
- Angriffe im lokalen Netz: Durch ARP-Spoofing, gefälschte DHCP- oder DNS-Antworten oder bösartige Antworten auf Windows-Namensauflösung (LLMNR/NBT-NS) leitet der Angreifer Verkehr über sich um und fängt etwa NTLM-Authentifizierungen ab.
- Downgrade und TLS-Abfangen: Der Versuch, eine verschlüsselte Verbindung auf eine unverschlüsselte herabzustufen oder ein untergeschobenes Zertifikat zu nutzen – wirksam nur bei fehlender oder fehlkonfigurierter TLS-Absicherung.
In offenen WLANs und schlecht segmentierten Netzen sind die lokalen Varianten besonders ergiebig; im Kontext von Cloud-Anmeldungen ist AiTM-Phishing die derzeit relevanteste Form.
Bedeutung für Unternehmen
Die wichtigste Entwicklung für Entscheider ist, dass MITM die Schutzwirkung vieler MFA-Verfahren aufhebt. Ein Unternehmen, das sich auf SMS-Codes oder einfache Push-Bestätigungen verlässt, ist gegen AiTM-Phishing nur begrenzt geschützt. Im internen Netz zeigt MITM, wie viel Vertrauen flache, unsegmentierte Netze implizit gewähren – ein Angreifer mit einem Fuß im LAN kann Authentifizierungen Dritter abfangen, ohne deren Systeme überhaupt zu berühren.
In unseren Penetrationstests im internen Netz gehören diese Techniken zum Standard und liefern oft schnell erste privilegierte Zugänge. Bei Social-Engineering-Einsätzen setzen wir AiTM-Szenarien ein, um die Wirksamkeit der eingesetzten MFA realistisch zu prüfen.
Schutz und Prüfung
- Phishing-resistente Authentifizierung: FIDO2 und Passkeys binden die Anmeldung an die echte Domäne und laufen damit gegen AiTM-Proxys ins Leere – die wirksamste Gegenmaßnahme.
- Sitzungen absichern: Token an Gerät und Bedingungen binden (Conditional Access), kurze Gültigkeit, erneute Prüfung bei kritischen Aktionen.
- Lokale Protokolle härten: LLMNR und NBT-NS abschalten, SMB-Signierung erzwingen, DHCP-Snooping und dynamische ARP-Prüfung auf Switches aktivieren.
- Verschlüsselung durchsetzen: TLS mit HSTS, keine Downgrade-Möglichkeiten, Zertifikate konsequent prüfen.
- Segmentieren und testen: Netzwerksegmentierung begrenzt die Reichweite lokaler Angriffe; ein Penetrationstest zeigt, welche davon in Ihrem Netz funktionieren.