Man-in-the-Middle-Angriffe

• Bei einem Man-in-the-Middle-Angriff schalten sich Angreifende unbemerkt zwischen zwei Kommunikationspartner und greifen Daten ab oder manipulieren sie.
• Ziel ist die Infiltration von Datenübertragungen durch das Ausnutzen von Schwachstellen in Protokollen, Browsern oder über Schadsoftware.
• Die Angriffe bleiben oft lange unentdeckt und ermöglichen den Diebstahl sensibler Informationen wie Passwörter oder vertraulicher Geschäftsdaten.
• Besonders betroffen sind Online-Banking, geschäftliche Kommunikation und ungesicherte öffentliche WLANs. Hinweise können lange Ladezeiten oder der Wechsel von HTTPS auf HTTP sein.
• Mit Schutzmaßnahmen wie Firewalls, VPNs, aktuellen Systemen und schnellem Eingreifen im Ernstfall lässt sich das Risiko deutlich reduzieren.

• DHCP: Das „Dynamic Host Configuration Protocol” vergibt und verwaltet die lokalen IP-Adressen eines Netzwerks und ist leicht zu manipulieren.
• ARP: Das „Address Resolution Protocol” ermittelt die MAC-Adressen der Hardware in einem Netzwerk (MAC = Media-Access-Control) und sammelt sie. Hacker:innen können dort falsche Adressen einspielen.
• Browser: Hacker:innen machen sich Sicherheitslücken in veralteten Internetbrowsern zunutze, um diese zu manipulieren.
• Malware: In einen Webbrowser eingeschleuste Schadsoftware kann alles mitlesen, was dort an Kommunikation stattfindet.
• Öffentliches WLAN: Drahtlose lokale Netzwerke („Wireless Local Area Network”), die frei zugänglich sind, bieten häufig Möglichkeiten zum Angriff auf unzureichend geschützte Nutzer:innen.

Bei einem Man-in-the-Middle-Angriff stiehlt eine kriminelle Person unbemerkt die Daten einer Kommunikation zwischen einem Opfer und einer Internetressource.

• Einzeltäter:innen mit der Absicht eines schnellen Datendiebstahls
• Gruppen, die Unternehmen im großen Stil angreifen wollen
• Staatlich beauftragte Akteure, die Firmen und Organisationen in Drittstaaten Schaden zufügen wollen

• Bankdaten: Hierbei lesen Angreifer:innen die Aktivitäten von Nutzer:innen beim Online-Banking mit. Dabei können sie etwa die Kontonummer eines Überweisungsziels ändern und den Betrag anpassen. Auch in die Infrastruktur des Bankings können sie eingreifen, indem sie beispielsweise manipulierte Updates für Online-Banking-Apps oder die Zwei-Faktor-Authentifizierung einrichten.
• Geschäftsdaten: Unterlagen zu Projekten, Produkten, Zukunftsplänen oder der Organisation Ihres Unternehmens stellen ein lohnendes Ziel für Industriespionage per MITM dar. Mit diesem Wissen können beispielsweise Mitbewerber einen Marktvorteil erlangen und Ihrem Unternehmen großen Schaden zufügen. Auch der Handel im Darknet oder eine Erpressung sind hiermit möglich.
• Kommunikation: Ein lohnendes Ziel für Angreifer:innen ist die interne und externe Kommunikation in Unternehmen und anderen Organisationen. Erbeutete E-Mails, Chatnachrichten sowie mitgeschnittene Audio- und Videogespräche können Wissen über Geschäftsgeheimnisse und -strategien sowie kompromittierende Aussagen einbringen. Diese verkaufen Kriminelle beispielsweise im Darknet oder erpressen das Opfer mit dem Geheimwissen. In anderen Fällen erhoffen sich staatliche Akteure einen Vorteil in Bezug auf die künftige taktische und strategische Ausrichtung gegenüber einem anderen Staat, etwa, wenn sie an Informationen zu Sicherheitstechnik und kritischer Infrastruktur gelangen.

Man-in-the-Browser

Sniffing

ARP-Spoofing

DNS-Spoofing

Ein Opfer bemerkt den Schaden durch einen Man-in-the-Middle-Angriff meist erst dann, wenn es zu spät ist.

Rogue Access Point / „Evil Twin”

SSL-Manipulation

HTTPS-Spoofing

• Virtual Private Network: Mittels eines Virtual Private Networks (VPN) sorgen Sie innerhalb eines lokalen Netzwerks für eine sichere Umgebung. Auf Basis einer in der Regel mehrstufigen Verschlüsselung kommunizieren Sie in einem sicheren Subnetz. Angreifende können den Datenfluss innerhalb eines VPNs nicht entziffern.
• Aktuelle WPA-Verschlüsselung: Verwenden Sie beim Betrieb eigener WLAN-Router stets aktuelle Verschlüsselungsmechanismen. Besser als die längst veralteten Standards WEP und WPA ist der Algorithmus „Wi-Fi Protected Access 2“ (WPA2) und besser noch das aktuelle Protokoll WPA3, das es seit 2018 gibt.
• Hoher Router-Schutz: Zur WLAN-Sicherheit in Ihrem Unternehmen gehören nicht nur zeitgemäße Verschlüsselungsprotokolle, sondern auch möglichst sichere Anmeldeinformationen. Dazu zählen die regelmäßige Aktualisierung des WLAN-Passworts und der Router-Zugangsdaten. Außerdem sollten Sie auf dem Router stets die aktuelle Firmware installieren. Die meisten Router updaten ihre Firmware jedoch glücklicherweise automatisch, sodass hier kaum händische Eingriffe notwendig sind.
• Öffentliches WLAN meiden: Mit öffentlich zugänglichen WLAN-Zugangspunkten (zum Beispiel in Hotels, Bahnhöfen oder Flughäfen) sollten Sie sich grundsätzlich nicht verbinden. Wenn es sich nicht vermeiden lässt, nutzen Sie ein VPN für den Zugang zu Unternehmensdaten.
• Force HTTPS: Betreiben Sie Websites, sollten Sie die Kommunikation zwischen der Seite und den Benutzer:innen zwingend auf HTTPS-Basis ablaufen lassen. Der öffentlich-private Schlüsseltausch gewährleistet eine sichere Kommunikation und verhindert die Umwandlung von HTTPS in HTTP durch eine MITM-Attacke.
• Authentifizierung über öffentliche Schlüsselpaare: Bei MITM-Angriffen geben sich die Angreifenden häufig als authentischer Kommunikationspartner aus. Nur eine Authentifizierung der beiden beteiligten Schlüsselpaare, beispielsweise mittels eines RSA-Kryptosystems, kann bestätigen, dass dies tatsächlich der Fall ist.
• Wirksame Sicherheitseinstellungen: Sicherheitsvorkehrungen in Ihrem Firmennetzwerk und auf den Geräten, die in Ihrem Unternehmen zum Einsatz kommen, erschweren Angreifenden den Zugriff enorm. Dies umfasst beispielsweise eine leistungsfähige Firewall, stets aktuelle Antivirenprogramme, strenge Datenschutzeinstellungen in Ihrem Webbrowser sowie regelmäßige Sicherheitsüberprüfungen von Webseiten.

• Stellen Sie keine Direktverbindungen zu öffentlichen WLANs her (Hotel, Flughafen usw.).
• Nutzen Sie VPNs zur Verbindung mit Netzwerken.
• Nutzen Sie auf allen Unternehmensgeräten aktuelle Antiviren-Software.
• Verwenden Sie bei unbekannten Webseiten eine Sicherheitsprüfung, z.B. mittels Google Safe Browsing.
• Aktivieren Sie die Sicherheitstools Ihres Browsers, zu finden in den Datenschutzeinstellungen.
• Überprüfen Sie stets, ob Webseiten das HTTPS-Protokoll verwenden.
• Meiden Sie Webseiten mit viel Spam, Pop-ups oder Umleitungsfunktionen.
• Öffnen Sie keine Links oder Anhänge in verdächtigen E-Mails und in persönlichen Nachrichten unbekannter Absender:innen.

• Trennen Sie betroffene Geräte sofort vom Internet.
• Melden Sie sich manuell aus allen Anwendungen ab, etwa aus Collaboration Tools wie Slack und Microsoft Teams sowie aus Cloud-Diensten.
• Informieren Sie Ihre IT-Administration, da Ihr Datenverkehr möglicherweise mitgelesen wurde.
• Leiten Sie interne Sicherheitsmaßnahmen ein: Dazu zählen das Zurücksetzen kritischer Passwörter, Malware-Scans im Firmennetzwerk und bei Bedarf die Einbindung externer Expert:innen für Cybersecurity, um Umfang und Folgen des Angriffs zu analysieren.
• Informieren Sie auch Mitarbeitende und weitere Netzwerknutzer:innen transparent über Maßnahmen, Hintergründe und nächste Schritte.
• Binden Sie frühzeitig Ihren Rechtsbeistand ein. Da es sich um eine meldepflichtige Datenpanne handeln kann, müssen Sie ggf. betroffene Kund:innen sowie zuständige Behörden informieren. Je nach Schwere der Datenpanne müssen Sie zudem die zuständigen Behörden einbeziehen. Lesen Sie dazu auch unseren separaten Artikel zum korrekten Umgang mit Datenpannen.