Zwei-Faktor-Authentifizierung gehackt

Zuletzt aktualisiert am 1. Juni 2026

­Die Zwei-Faktor-Authentifizierung (auch 2FA genannt) dient der zusätzlichen Sicherheit bei der Anmeldung, die sonst meist nur mit Passwort und Benutzername abgesichert ist. Zum Teil wird dafür auch die Multi-Faktor-Authentifizierung (MFA) benutzt. Bei einigen dieser Systeme zeigen sich nun Sicherheitslücken, die die Ransomwaregruppe Lapsus$ ausgenutzt hat. Opfer der Angriffe waren unter anderem Microsoft, Okta, Nvidia und Samsung.

Auf einen Blick: Die Zwei-Faktor-Authentifizierung ist eine der wichtigsten Schutzmaßnahmen gegen unbefugten Zugriff auf digitale Konten und Systeme. Doch auch MFA-Systeme können durch Methoden wie MFA-Bombing ausgehebelt werden. Unternehmen müssen ihre Authentifizierungsverfahren regelmäßig überprüfen und an aktuelle Bedrohungen anpassen, um den Schutz personenbezogener Daten nach DSGVO zu gewährleisten.

Was dahinter steckt, erfahren Sie hier.

So funktioniert die Zwei- oder Multi-Faktor-Authentifizierung

Bei einer Authentifizierung über einen weiteren Faktor neben Passwort und Benutzernamen setzen viele Anbieter auf das Akzeptieren einer Push-Benachrichtigung einer entsprechenden App auf dem Smartphone. Andere lassen den Kunden auch einen Anruf empfangen, bei dem der Kunde eine bestimmte Taste als weiteren Faktor drücken muss.

Da es kein Limit für die Authentifizierungsversuche gibt, setzt die Gruppe Lapsus$ genau hier an.

Hacking über „MFA-Bombing“

Das sogenannte „MFA-Bombing“ bezeichnet einen Vorgang, bei dem der Angreifer so viele MFA-Anfragen an das entsprechende Gerät des Nutzers sendet, bis dieser die Authentifizierung akzeptiert. So erlangt ein Nichtberechtigter mit wenig Auffand Zugang zum Konto über ein von ihm neu registriertes Gerät.

„Rufe den Angestellten 100-mal um 1 Uhr nachts an, während er versucht zu schlafen, und er wird ihn höchstwahrscheinlich irgendwann annehmen. Sobald der Mitarbeiter einen Anruf annimmt, kann auf das MFA-Registrierungsportal zugegriffen und ein weiteres Gerät registriert werden“, schrieb angeblich ein Mitglied der Lapsus$-Gruppe in einem Chat.

Das grundsätzliche Vorgehen des „MFA-Bombing“ ist altbekannt. Umso erschreckender ist es, dass es so häufig funktioniert hat und das scheinbar sogar unbemerkt. So unter anderem auch bei Microsoft.

Schäden bei Microsoft, Okta, Nvidia und Samsung

Erst vor kurzem überprüften Microsoft und Okta unberechtigte Server-Zugriffe.

Microsoft bestätigte zunächst keine unberechtigten Zugriffe. Zunächst wurde davon ausgegangen, dass hier ein Repository mit Source Code von Azure DevOps Ziel der Angreifer war. Vor kurzem meldete Microsoft dann doch Angriffe, bei dem die Täter unter anderem ein großer Teil des Quellcodes von Bing, Bing Maps und Cortana veröffentlichten. Es handele sich insgesamt um 37 GByte aus 250 verschiedenen Softwareprojekten.

Okta wird als Identitäts- und Zugriffsmanagement-Dienstleister unter anderem von Cloudflare eingesetzt. Cloudflare berichtete zwar von dem Vorfall, versicherte aber, dass es keinen Anhaltspunkt für eine Kompromittierung gebe.

Sicherheitsforscher wiesen auch darauf hin, dass Ziel der Angreifer Daten von Okta-Kunden sein könnten. Es kursierten bereits angeblich geleakte interne Daten. Später bestätigte Okta, dass es bereits Ende Januar Zugriffsversuche gab. Wer der Angreifer war, konnte nicht geklärt werden, jedenfalls soll es seitdem keine weiteren Versuche gegeben haben.

Nvidia und Samsung erkannten bereits Schadcode, der mit einem Zertifikat von Nvidia signiert war, sodass Betriebssysteme diesem vertrauen. Von Nvidia haben die Angreifer angeblich 1 TByte an Daten abgegriffen. Nvidia reagierte mit einer Gegenattacke. Lapsus$ hatte aber bereits ein Backup der Daten erstellt, welche die Gruppe nach erfolglosen Erpressungsversuchen gegenüber Nvidia nun Stück für Stück veröffentlichen will. Die insgesamt 190 GByte erbeutete Daten von Samsung veröffentlichte die Gruppe über Torrents.

Die Angriffe zeigen auch, dass kein Unternehmen zu groß oder zu gut geschützt ist, um nicht Opfer eines Cyberangriffs zu werden. Selbst Technologiekonzerne mit hochspezialisierten Sicherheitsabteilungen und Milliarden-Budgets für IT-Sicherheit können durch geschicktes Social Engineering kompromittiert werden. Dies unterstreicht die Bedeutung einer umfassenden Sicherheitsstrategie, die technische Maßnahmen, organisatorische Prozesse und die Sensibilisierung der Mitarbeiter gleichermaßen umfasst. Für Unternehmen jeder Größe gilt: Die beste technische Absicherung ist nur so stark wie das schwächste Glied in der Kette — und das ist häufig der Mensch.

Wie groß das Schadenspotential für Kunden dieser Großkonzerne noch werden kann wird die Zeit zeigen. Bei Angriffen über legitime Accounts von Mitarbeitern ist es immer schwer zu sagen ob die Angreifer wirklich nicht mehr in den Netzwerken und komplexen Systeme der Konzerne Ihr Unwesen treiben oder sich dort für zukünftige Angriffe bereits Backdoors hinterlegt haben.

Schutz vor MFA-Bombing und ähnlichen Angriffen

Trotz der beschriebenen Schwachstellen bleibt die Zwei-Faktor-Authentifizierung eine der wichtigsten Sicherheitsmaßnahmen im digitalen Zeitalter. Es kommt jedoch wichtig darauf an, wie sie implementiert wird. Push-basierte Systeme, die lediglich ein Akzeptieren oder Ablehnen erfordern, sind anfälliger für MFA-Bombing als Systeme, die eine aktive Eingabe verlangen.

Moderne Authentifizierungslösungen setzen daher zunehmend auf sogenannte Number-Matching-Verfahren. Dabei wird dem Nutzer auf dem Anmeldebildschirm eine Zahl angezeigt, die er in der Authenticator-App bestätigen muss. Ein blindes Akzeptieren von Push-Benachrichtigungen wird dadurch verhindert. Microsoft hat dieses Verfahren mittlerweile als Standard für den Microsoft Authenticator eingeführt.

Empfohlene MFA-Methoden nach aktuellem Stand der Technik

Nicht alle Methoden der Zwei-Faktor-Authentifizierung bieten denselben Schutz. Hardwarebasierte Sicherheitsschlüssel wie FIDO2-Token gelten als die sicherste Variante, da sie physischen Besitz erfordern und gegen Phishing-Angriffe resistent sind. Authenticator-Apps mit Number Matching oder zeitbasierten Einmalpasswörtern (TOTP) bieten ebenfalls ein hohes Sicherheitsniveau.

SMS-basierte Verfahren gelten dagegen als weniger sicher, da SMS-Nachrichten abgefangen oder durch SIM-Swapping umgeleitet werden können. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt daher, wo möglich auf hardwarebasierte oder App-basierte Verfahren zu setzen.

Bedeutung für Unternehmen und den Datenschutz

Für Unternehmen hat die Wahl der richtigen Authentifizierungsmethode auch datenschutzrechtliche Relevanz. Nach Art. 32 DSGVO sind Verantwortliche verpflichtet, geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten zu treffen. Die Implementierung einer robusten Mehr-Faktor-Authentifizierung gehört dabei zu den grundsätzlichen technisch-organisatorischen Maßnahmen (TOM).

Unternehmen sollten ihre MFA-Implementierung regelmäßig überprüfen und an aktuelle Bedrohungsszenarien anpassen. Dazu gehört auch die Festlegung von Richtlinien, wie Mitarbeiter mit unerwarteten Authentifizierungsanfragen umgehen sollen. Eine klare Anweisung, verdächtige MFA-Anfragen nicht zu bestätigen und sofort die IT-Abteilung zu informieren, kann MFA-Bombing-Angriffe effektiv verhindern.

Außerdem empfiehlt es sich, ein Limit für fehlgeschlagene Authentifizierungsversuche einzurichten und bei auffälligen Mustern automatische Warnungen auszulösen. In Kombination mit einer regelmäßigen Datenschutz-Schulung der Mitarbeiter lässt sich das Sicherheitsniveau deutlich erhöhen.

Zero-Trust-Architektur als Ergänzung zur MFA

Neben der Verbesserung der MFA-Methoden setzen immer mehr Unternehmen auf das Zero-Trust-Sicherheitsmodell. Das Grundprinzip lautet: Vertraue niemandem, überprüfe alles. In einer Zero-Trust-Architektur wird jeder Zugriff auf Unternehmensressourcen — unabhängig davon, ob er von innerhalb oder außerhalb des Netzwerks erfolgt — als potenziell unsicher behandelt und muss authentifiziert und autorisiert werden.

In Kombination mit einer robusten MFA-Implementierung bietet Zero Trust einen deutlich höheren Schutz als traditionelle perimeterbasierte Sicherheitskonzepte. Selbst wenn ein Angreifer eine MFA-Hürde überwinden sollte, begrenzt das Zero-Trust-Modell den Schaden, da jeder weitere Zugriff erneut überprüft wird und der Angreifer sich nicht frei im Netzwerk bewegen kann.

Für die Umsetzung einer Zero-Trust-Strategie empfiehlt es sich, mit einer Bestandsaufnahme aller Zugangspunkte und Datenflüsse zu beginnen. Auf dieser Basis können dann schrittweise Zugangskontrollen, Mikrosegmentierung und kontinuierliches Monitoring implementiert werden. Ein erfahrener Datenschutzbeauftragter kann diesen Prozess begleiten und sicherstellen, dass alle Maßnahmen nicht nur technisch wirksam, sondern auch datenschutzkonform sind.

Passkeys als Zukunft der Authentifizierung

Eine vielversprechende Weiterentwicklung der Authentifizierungstechnologie sind sogenannte Passkeys. Diese basieren auf dem FIDO2-Standard und ersetzen das klassische Passwort vollständig durch eine kryptographische Authentifizierung. Der private Schlüssel verbleibt dabei auf dem Gerät des Nutzers und wird durch biometrische Verfahren wie Fingerabdruck oder Gesichtserkennung freigeschaltet.

Der große Vorteil von Passkeys liegt darin, dass sie prinzipbedingt nicht durch Phishing oder MFA-Bombing kompromittiert werden können. Es gibt kein Passwort, das gestohlen werden könnte, und die Authentifizierung ist an die konkrete Website gebunden, sodass gefälschte Anmeldeseiten wirkungslos bleiben. Große Technologieunternehmen wie Apple, Google und Microsoft unterstützen Passkeys bereits flächendeckend. So hat beispielsweise Microsoft die Passkey-Anmeldung für neue Nutzer standardmäßig eingeführt.

Für Unternehmen empfiehlt es sich, die Umstellung auf Passkeys in ihre IT-Sicherheitsstrategie einzuplanen. Auch wenn eine vollständige Ablösung klassischer Passwörter noch einige Zeit dauern wird, können Passkeys bereits jetzt als zusätzliche oder alternative Authentifizierungsmethode angeboten werden. Die Unterstützung durch den Datenschutzbeauftragten bei der Einführung neuer Authentifizierungsverfahren stellt sicher, dass alle datenschutzrechtlichen Aspekte — insbesondere bei der Verarbeitung biometrischer Daten — berücksichtigt werden.

Die Investition in moderne Sicherheitskonzepte lohnt sich: Die Kosten eines erfolgreichen Cyberangriffs — einschließlich Betriebsunterbrechung, Datenverlust, Reputationsschaden und möglicher DSGVO-Bußgelder — übersteigen die Kosten für präventive Sicherheitsmaßnahmen in aller Regel um ein Vielfaches.

Die Angriffe der Lapsus$-Gruppe zeigen eindrücklich, dass selbst bewährte Sicherheitsmaßnahmen ständig weiterentwickelt werden müssen. Was gestern als sicher galt, kann morgen bereits überwunden sein. Ein kontinuierlicher Verbesserungsprozess in der IT-Sicherheit ist daher nötig.

Mitarbeitersensibilisierung als Schlüssel zur IT-Sicherheit

Technische Sicherheitsmaßnahmen allein reichen nicht aus, wenn die Mitarbeiter nicht entsprechend geschult sind. Social-Engineering-Angriffe wie MFA-Bombing setzen gezielt auf menschliche Schwächen. Regelmäßige Schulungen und Sensibilisierungsmaßnahmen können das Sicherheitsbewusstsein der Mitarbeiter stärken und die Erfolgsquote solcher Angriffe erheblich reduzieren. Simulierte Phishing-Angriffe und praktische Übungen helfen dabei, das Gelernte zu vertiefen und Schwachstellen im Verhalten der Mitarbeiter aufzudecken. Unternehmen, die in die Sensibilisierung ihrer Belegschaft investieren, profitieren langfristig von einer deutlich verbesserten Sicherheitslage und einem geringeren Risiko für erfolgreiche Cyberangriffe.

Unternehmen sollten zudem ihre bestehenden Authentifizierungssysteme einer kritischen Prüfung unterziehen und veraltete Verfahren durch moderne, phishing-resistente Methoden ersetzen. Die Implementierung von Passkeys und FIDO2-Sicherheitsschlüsseln sollte als strategisches Ziel in die IT-Sicherheitsplanung aufgenommen werden.

Wollen Sie Ihre Informationssicherheit in guten Händen wissen? Wenden Sie sich gerne an unser Team aus Experten!