Security · 22.9.2026
Sicherheitsforscher zeigen, wie Angreifer mit administrativen Rechten gefälschte MFA-Anbieter einschleusen, um Zugangsdaten direkt beim Login abzufangen.
Sicherheitsforscher haben eine neue Angriffsmethode demonstriert, bei der Angreifer mit privilegierten Rechten einen manipulierten, externen Multi-Faktor-Authentifizierungs-Provider (MFA) im System registrieren. Über diesen gefälschten Dienst können die Akteure bei regulären Anmeldevorgängen die Passwörter der Benutzer im Klartext abfangen. Dieser Ansatz hebelt die eigentliche Schutzfunktion der Mehrfaktor-Authentifizierung aus und missbraucht die Sicherheitsinfrastruktur als Werkzeug zum Datendiebstahl.
Für Unternehmen in der DACH-Region ist diese Erkenntnis von hoher Relevanz, da MFA weithin als Standard zur Absicherung von Konten gilt. Die Methode verdeutlicht jedoch ein zentrales Problem: Wenn administrative Konten erst einmal kompromittiert sind, kann die gesamte Authentifizierungskette manipuliert werden. Angreifer nutzen das Vertrauen der Nutzer in MFA-Abfragen aus, um unbemerkt Zugangsdaten zu stehlen. Diese können sie für spätere, tiefere Angriffe oder zur Etablierung eines dauerhaften Zugriffs im Netzwerk verwenden. Dies betrifft insbesondere hybride IT-Infrastrukturen und Cloud-Umgebungen, in denen externe Identitätsdienste integriert sind.
IT-Verantwortliche und Administratoren sollten umgehend Maßnahmen ergreifen, um die Integrität ihrer Authentifizierungsdienste zu sichern:
Die Entdeckung zeigt, dass MFA kein Freifahrtschein für die Vernachlässigung der administrativen Sicherheit ist. Nur durch die konsequente Überwachung der Konfigurationsebene und den Schutz hochprivilegierter Konten bleibt die Integrität der Authentifizierungsprozesse im Unternehmen gewahrt.
Quelle: BleepingComputer