Man-in-the-Middle-Angriff

• Bei einem Man-in-the-Middle-Angriff schalten sich Angreifer:innen unbemerkt zwischen zwei Kommunikationspartner und greifen Daten ab oder manipulieren sie.
• Ziel ist das Abfangen von Datenübertragungen durch das Ausnutzen von Schwachstellen in Protokollen, Browsern oder über Schadsoftware.
• Die Angriffe bleiben oft lange unentdeckt und ermöglichen den Diebstahl sensibler Informationen wie Passwörter oder vertraulicher Geschäftsdaten.
• Besonders betroffen sind Online-Banking, geschäftliche Kommunikation und ungesicherte öffentliche WLANs.
• Hinweise auf einen Man-in-the-Middle-Angriff können lange Ladezeiten oder der Wechsel von Webseiten im Browser von HTTPS auf HTTP sein.
• Mit Schutzmaßnahmen wie Firewalls, VPNs, aktuellen Systemen und schnellem Eingreifen im Ernstfall können Sie das Risiko deutlich reduzieren.

• Das Prinzip: Kriminelle positionieren sich mithilfe von Schadsoftware zwischen zwei Kommunikationspartnern. Die Attacken erfolgen meist innerhalb von Netzwerkverbindungen. Sie können aber auch einzelne Rechner betreffen, wenn die Kommunikation zwischen zwei Prozessen auf einem Gerät abgefangen wird.
• Das Vorgehen: Die Angreifer:innen wollen für die Opfer möglichst unsichtbar bleiben, um den gesamten Datenverkehr zu kontrollieren. Hierfür geben sie sich als legitimer Kommunikationspartner aus.
• Das Ziel: Die erlangten Informationen lassen sich anschließend vielfältig missbrauchen. Datendiebstahl und -weiterverkauf, unberechtigte Zugriffe, finanzielle Erpressungen und Identitätsdiebstahl sind die häufigsten Ziele, die Kriminelle bei einem MITM-Angriff verfolgen.

• DHCP: Das Dynamic Host Configuration Protocol (DHCP) vergibt und verwaltet die lokalen IP-Adressen eines Netzwerks und ist leicht zu manipulieren.
• ARP: Das Address Resolution Protocol (ARP) ermittelt die MAC-Adressen der Hardware in einem Netzwerk (MAC = Media-Access-Control) und sammelt sie. Hacker:innen können dort falsche Adressen einspielen.
• Browser: Kriminelle machen sich Sicherheitslücken in veralteten Internet-Browsern zunutze, um diese zu manipulieren.
• Malware: In einen Webbrowser eingeschleuste Schadsoftware kann alles mitlesen, was dort an Kommunikation stattfindet.
• Öffentliches WLAN: Lokale WLAN-Netze, die frei zugänglich sind, bieten oft Möglichkeiten für Angriffe auf unzureichend geschützte Nutzer:innen.

Bei einem Man-in-the-Middle-Angriff stiehlt eine kriminelle Person unbemerkt die Daten einer Kommunikation zwischen einem Opfer und einer Internetressource.

Man-in-the-Browser

Sniffing

ARP-Spoofing

DNS-Spoofing

Ein Opfer bemerkt den Schaden durch einen Man-in-the-Middle-Angriff meist erst dann, wenn es zu spät ist.

Rogue Access Point / „Evil Twin”

SSL-Manipulation

HTTPS-Spoofing

• Einzeltäter:innen mit der Absicht eines schnellen Datendiebstahls
• Gruppen, die Unternehmen im großen Stil angreifen wollen
• Staatlich beauftragte Akteure, die Firmen und Organisationen in Drittstaaten Schaden zufügen wollen

• Bankdaten: Angreifer:innen lesen Aktivitäten beim Online-Banking mit. Dabei können sie beispielsweise die Kontonummer eines Überweisungsziels ändern und den Betrag anpassen. Sie können auch in die Infrastruktur des Bankings eingreifen, indem sie beispielsweise manipulierte Updates für Online-Banking-Apps oder die Zwei-Faktor-Authentifizierung einspielen.
• Geschäftsdaten: Unterlagen zu Projekten, Produkten, Zukunftsplänen oder der Organisation Ihres Unternehmens sind ein lohnendes Ziel für Industriespionage per MITM. Mit diesem Wissen können beispielsweise Mitbewerber einen Marktvorteil erlangen und Ihrem Unternehmen großen Schaden zufügen. Auch der Handel im Darknet oder eine Erpressung sind möglich.
• Kommunikation: Ein lohnendes Ziel für Angreifer:innen ist die interne und externe Kommunikation eines Unternehmen oder anderer Organisationen. Erbeutete E-Mails, Chatnachrichten sowie mitgeschnittene Audio- und Videogespräche können Wissen über Geschäftsgeheimnisse und -strategien sowie kompromittierende Aussagen enthalten. Diese verkaufen Kriminelle beispielsweise im Darknet oder erpressen Opfer mit dem Geheimwissen. In anderen Fällen erhoffen sich staatliche Akteure einen Vorteil in Bezug auf die künftige taktische und strategische Ausrichtung gegenüber einem anderen Staat. Etwa, wenn sie an Informationen zu Sicherheitstechnik und kritischer Infrastruktur gelangen.

• Virtual Private Network: Mit einem Virtual Private Network (VPN) sorgen Sie innerhalb eines lokalen Netzwerks für eine sichere Umgebung. Auf Basis einer in der Regel mehrstufigen Verschlüsselung kommunizieren Sie in einem sicheren Subnetz. Angreifer:innen können den Datenfluss innerhalb eines VPNs nicht entschlüsseln.
• Aktuelle WPA-Verschlüsselung: Verwenden Sie beim Betrieb von WLAN-Routern stets aktuelle Verschlüsselungsmechanismen. Besser als die längst veralteten Standards WEP und WPA ist der Algorithmus Wi-Fi Protected Access 2 (WPA2). Noch besser ist das aktuelle Protokoll WPA3, das es seit 2018 gibt.
• Hoher Router-Schutz: Zur WLAN-Sicherheit in Ihrem Unternehmen gehören nicht nur zeitgemäße Verschlüsselungsprotokolle, sondern auch möglichst sichere Anmeldeinformationen. Das umfasst die regelmäßige Aktualisierung des WLAN-Passworts und der Router-Zugangsdaten. Außerdem sollten Sie auf dem Router stets die aktuelle Firmware installieren. Die meisten Router updaten ihre Firmware glücklicherweise automatisch, sodass hier kaum händische Eingriffe notwendig sind.
• Öffentliches WLAN meiden: Mit öffentlich frei zugänglichen WLAN-Netzen (z.B. in Hotels, Bahnhöfen oder Flughäfen) sollten Sie sich grundsätzlich nicht verbinden. Wenn es sich nicht vermeiden lässt, nutzen Sie ein VPN für den Zugang zu Unternehmensdaten.
• Force HTTPS: Wenn Sie Websites betreiben, sollten Sie die Kommunikation zwischen der Seite und den Benutzer:innen zwingend auf HTTPS-Basis ablaufen lassen. Der öffentlich-private Schlüsseltausch gewährleistet eine sichere Kommunikation und verhindert die Umwandlung von HTTPS in HTTP durch eine MITM-Attacke.
• Authentifizierung über öffentliche Schlüsselpaare: Bei MITM-Angriffen geben sich die Angreifenden häufig als authentischer Kommunikationspartner aus. Nur eine Authentifizierung der beiden beteiligten Schlüsselpaare, beispielsweise mittels eines RSA-Kryptosystems, kann bestätigen, dass dies tatsächlich der Fall ist.
• Wirksame Sicherheitseinstellungen: Sicherheitsvorkehrungen in Ihrem Firmennetzwerk und auf den Geräten, die in Ihrem Unternehmen zum Einsatz kommen, erschweren Angreifer:innen den Zugriff enorm. Dies umfasst beispielsweise eine leistungsfähige Firewall, stets aktuelle Antivirenprogramme, strenge Datenschutzeinstellungen in Ihrem Webbrowser sowie regelmäßige Sicherheitsüberprüfungen von Webseiten.

• Trennen Sie betroffene Geräte sofort vom Internet.
• Melden Sie sich manuell aus allen Anwendungen ab, etwa aus Collaboration Tools wie Slack und Microsoft Teams sowie aus Cloud-Diensten.
• Informieren Sie Ihre IT-Administration, dass Ihr Datenverkehr möglicherweise mitgelesen wurde.
• Leiten Sie interne Sicherheitsmaßnahmen ein: Dazu zählen das Ändern kritischer Passwörter, Malware-Scans im Firmennetzwerk und bei Bedarf die Einbindung externer Expert:innen für Cybersecurity, um Umfang und Folgen des Angriffs zu analysieren.
• Informieren Sie auch Mitarbeitende und weitere Netzwerknutzer:innen transparent über Maßnahmen, Hintergründe und nächste Schritte.
• Binden Sie frühzeitig Ihren Rechtsbeistand ein. Da es sich um eine meldepflichtige Datenpanne handeln kann, müssen Sie ggf. betroffene Kund:innen sowie zuständige Behörden informieren. Lesen Sie dazu auch unseren separaten Artikel zum korrekten Umgang mit Datenpannen.