Was ist MFA-Müdigkeit (Push-Bombing)?

Um 23:30 Uhr vibriert Ihr Smartphone und zeigt eine Aufforderung zur Multi-Faktor-Authentifizierung (MFA) an. Sie ignorieren sie, doch die Benachrichtigungen reißen nicht ab – Dutzende identischer Aufforderungen vibrieren unerbittlich über eine Stunde lang. Dabei handelt es sich nicht um eine technische Störung, sondern um einen aktiven MFA-Fatigue-Angriff, der auch als „Push-Bombing“ oder „MFA-Prompt-Bombing“ bezeichnet wird.

Genau diese psychologische Schwachstelle ermöglichte es einem Angreifer mit Verbindungen zur Lapsus$-Gruppe, im September 2022 in das System von Uber einzudringen. Nachdem er im Dark Web das gestohlene Passwort eines Auftragnehmers erworben hatte, überschüttete der Angreifer das Gerät des Auftragnehmers mit ununterbrochenen Push-Benachrichtigungen. Erschöpft, genervt und in der Annahme, es handele sich um einen Systemfehler, tippte der Auftragnehmer schließlich auf „Genehmigen“. Innerhalb weniger Minuten erlangte der Hacker vollen Zugriff auf die internen Slack-Kanäle, das VPN und die Quellcode-Repositorys von Uber.

Für Sicherheitsteams ist die Lehre daraus klar: MFA ist eine grundlegende Sicherheitsmaßnahme, doch die üblichen „Genehmigen/Ablehnen“-Aufforderungen sind nur so sicher wie das Urteilsvermögen des erschöpften Menschen, der sie genehmigt. Das Verständnis dieser Angriffskette ist der erste Schritt zum Aufbau einer wirklich widerstandsfähigen Verteidigung.

Was ist MFA-Fatigue / Push-Bombing?

MFA-Fatigue ist eine Social-Engineering-Technik, bei der ein Angreifer, der gestohlene Unternehmenszugangsdaten erlangt hat, das Gerät des Opfers mit wiederholten MFA-Push-Anfragen überflutet. Das Ziel besteht darin, den Mitarbeiter durch Erschöpfung, Verwirrung oder Ablenkung dazu zu zwingen, eine betrügerische Sitzung zu genehmigen. Schließlich genehmigt das Opfer die Anmeldeanfrage, einfach um die Benachrichtigungen zu beenden oder weil es glaubt, es handele sich um einen technischen Systemfehler.

Die Sicherheitsgemeinschaft kategorisiert dieses Verhalten systematisch. Das MITRE ATT&CK-Framework stuft diese Taktik offiziell unter der Technik T1621 (Generierung von Anfragen zur Multi-Faktor-Authentifizierung) ein. Dabei wird keine Software-Sicherheitslücke Ihres Identitätsmanagement-Anbieters ausgenutzt. Vielmehr wird der menschliche Nutzer als letztes Hindernis betrachtet, das durch schiere Menge und Beharrlichkeit umgangen werden muss.

Es ist wichtig, die Terminologie von der eigentlichen Bedrohung zu trennen. Ganz gleich, ob Ihr Sicherheitsteam den Vorgang als „Push-Bombing“, „Prompt-Spamming“ oder „MFA-Müdigkeit“ bezeichnet – der funktionale Mechanismus bleibt derselbe. Bei dem Angriff handelt es sich um eine Umgehungstechnik, die nach dem Diebstahl von Anmeldedaten zum Einsatz kommt. Die zugrunde liegende Sicherheitsarchitektur funktioniert genau wie vorgesehen, doch der menschliche Faktor wird so manipuliert, dass diese Sicherheit irrelevant wird.

Wie nutzen Hacker die MFA-Müdigkeit aus, um sich Zugang zu verschaffen?

Ein MFA-Fatigue-Angriff folgt einem strukturierten, mehrphasigen Ablauf. Er findet niemals isoliert statt. Angreifer müssen zunächst die Grundlagen schaffen, bevor sie mit dem Versenden von Authentifizierungsanfragen beginnen können. Im Folgenden wird die typische Schritt-für-Schritt-Vorgehensweise beschrieben, die bei tatsächlichen Sicherheitsvorfällen beobachtet wurde.

Schritt 1. Diebstahl von Zugangsdaten

Ein Angreifer kann keine Authentifizierungsabfrage auslösen, ohne zuvor die primären Anmeldedaten des Ziels zu kennen. Diese Phase ist Schritt Null. Angreifer beschaffen sich diese Anmeldedaten mithilfe von Phishing-E-Mails, Infostealer-Malware oder Credential-Stuffing-Angriffen. In vielen Fällen kaufen Angreifer aktive Anmeldepakete einfach direkt auf Dark-Web-Marktplätzen. Diese validierten Anmeldedaten für Unternehmenszugänge können laut Untersuchungen von Dark-Web-Bedrohungsanalysen bereits für 10 bis 50 US-Dollar pro Satz verkauft werden.

Schritt 2. Die Push-Flut

Sobald der Angreifer den gültigen Benutzernamen und das Passwort erhalten hat, gibt er diese in das Anmeldeportal des Unternehmens ein. Diese Aktion löst automatisch eine legitime Push-Benachrichtigung an die registrierte Authentifizierungs-App des Mitarbeiters aus. Der Angreifer wiederholt diese Aktion systematisch. Oft generiert er Dutzende von Anfragen in schneller Folge. Diese Flut von Anfragen wird häufig auf Zeiträume mit geringer kognitiver Aufmerksamkeit abgestimmt, beispielsweise spät in der Nacht oder während des hektischen Pendelverkehrs am frühen Morgen.

Schritt 3. Der Social-Engineering-Assistent

Um ihre Erfolgschancen zu erhöhen, kombinieren raffinierte Gruppen die digitale Flut mit direkter Kommunikation. Bei einem gezielten Identitätsbetrugsangriff kann ein Angreifer einen Anruf tätigen oder eine SMS senden und dabei vorgeben, ein Mitarbeiter des IT-Helpdesks zu sein. Er teilt dem Mitarbeiter mit, dass die Benachrichtigungen Teil eines laufenden Sicherheitsupdates oder einer Systemprüfung sind. Anschließend weist der Angreifer das Opfer an, die Aufforderung zu bestätigen, um das Problem zu beheben. Diese als „Vishing“ bezeichnete Technik verleiht der digitalen Belästigung eine zusätzliche Ebene der Autorität.

Schritt 4. Genehmigung und Kurswechsel

Sobald das Opfer auch nur eine einzige Benachrichtigung bestätigt, ist die Anmeldephase erfolgreich abgeschlossen. Die Websitzung des Angreifers wird sofort validiert. Sobald der erste Zugriff hergestellt ist, kann der Angreifer lokale Sicherheitskontrollen umgehen und sich seitlich im Unternehmensnetzwerk ausbreiten. Einmal im System, versucht er, seine Berechtigungen zu erweitern, sensible Dateien zu entwenden oder verheerende Ransomware-Payloads zu installieren.

Warum ist „MFA-Fatigue“ eine wirksame Angriffsmethode?

Der Hauptgrund dafür, dass dieser Angriff nach wie vor äußerst erfolgreich ist, liegt darin, dass es sich um eine Form des Social Engineering handelt: Er stützt sich auf die menschliche Psychologie und nicht auf Software-Schwachstellen. Herkömmliche Cybersicherheitssysteme betrachten menschliche Entscheidungsprozesse als rational und konsistent. In der Praxis lässt die kognitive Leistungsfähigkeit jedoch unter Stress, hoher kognitiver Belastung und Müdigkeit rapide nach.

Erstens leiden moderne Berufstätige unter einer ausgeprägten „Benachrichtigungsblindheit“. Der durchschnittliche Büroangestellte verarbeitet jeden Tag Dutzende von Push-Benachrichtigungen auf seinen privaten und beruflichen Geräten. Diese ständige Reizflut trainiert unser Gehirn darauf, Pop-ups mit minimalem analytischem Aufwand wegzuklicken. Mit der Zeit wandelt sich die physische Handlung, auf „Genehmigen“ zu tippen, von einer bewussten Sicherheitsentscheidung zu einem automatisierten Muskelreflex.

Zweitens nutzen Angreifer den richtigen Zeitpunkt aus. Das Auslösen einer Flut von Aufforderungen um 2:00 Uhr morgens zwingt das Opfer dazu, sich zwischen kritischem Denken und sofortigem Schlaf zu entscheiden. Wenn ein Smartphone neben dem Bett eines Mitarbeiters ununterbrochen vibriert, ist der schnellste Weg zurück in den Schlaf, der Aufforderung des Geräts nachzukommen. Verhaltensanalysen belegen, dass die Abwehrkräfte des Menschen unter solchem Druck nachlassen.

Die Telemetriedaten bestätigen diese physiologischen Erkenntnisse. Laut den von Microsoft veröffentlichten Telemetriedaten haben deren automatisierte Erkennungssysteme für Sicherheitsbedrohungen innerhalb eines Zeitraums von nur 12 Monaten mehr als 382.000 Versuche registriert, bei denen die Nutzer aufgrund von MFA-Müdigkeit nachlässig wurden. Erschreckenderweise zeigten die Daten, dass etwa 1 % aller betroffenen Nutzer die allererste unerwartete Push-Benachrichtigung, die sie auf ihrem Bildschirm erhielten, sofort bestätigten.

Sicherheitsvorfälle aus der Praxis: Wie die „MFA-Müdigkeit“ zu einem historischen Schaden führte

Wir müssen nicht darüber spekulieren, welchen Schaden solche Angriffe anrichten können. In den letzten Jahren wurden einige der bekanntesten Marken der Welt in die Knie gezwungen, weil ein einziger Mitarbeiter es satt hatte, dass sein Handy ständig vibrierte.

Uber (September 2022)

Bei diesem Vorfall erwarb ein Angreifer im Dark Web die Zugangsdaten eines Auftragnehmers, nachdem diese mithilfe von Infostealer-Malware abgegriffen worden waren. Der Angreifer meldete sich wiederholt an und löste damit eine einstündige Flut von Push-Benachrichtigungen aus. Um die Pattsituation zu durchbrechen, schickte der Hacker dem Auftragnehmer eine Nachricht über WhatsApp und gab sich dabei als IT-Administrator von Uber aus. Der Auftragnehmer genehmigte schließlich die Anfrage und verschaffte der Hackergruppe „Lapsus$“ damit Zugang zum internen Netzwerk.

Cisco (2022)

Die Angreifer hinter dem Cisco-Hack nutzten eine äußerst strukturierte Kombination aus Vishing und Push-Benachrichtigungen. Zunächst extrahierten sie die primären Anmeldedaten aus den Browser-Profilen eines Mitarbeiters. Anschließend lösten sie eine Reihe von Push-Benachrichtigungen aus. Während diese Benachrichtigungen aktiv waren, tätigten die Angreifer Telefonanrufe, bei denen sie sich als vertrauenswürdige Support-Mitarbeiter ausgaben, und überredeten den Mitarbeiter, die Verbindung zu genehmigen. Auf diese Weise konnten die Angreifer eine authentifizierte VPN-Sitzung herstellen.

Lapsus$ gegen die Tech-Giganten (2022)

Im Rahmen einer groß angelegten Kampagne machte die Gruppe „Lapsus$“ diese Social-Engineering-Technik zu einer Standardvorgehensweise. Sie setzte ähnliche „Push-Bombing“-Mechanismen ein, um bei Microsoft, Okta, Nvidia und Samsung einzudringen. Durch die Kombination der technischen Generierung von Eingabeaufforderungen mit direkter, unter hohem Druck ausgeübter Kommunikation, bei der sie sich als IT-Abteilungen ausgaben, gelang es ihnen innerhalb weniger Monate, die MFA-Systeme am Perimeter mehrerer Unternehmen zu umgehen.

MGM Resorts & Caesars Entertainment (2023)

Ende 2023 demonstrierte die Hackergruppe „Scattered Spider“ eine gefährliche Weiterentwicklung dieses Angriffs. Die Hacker starteten eine gezielte Kampagne, indem sie zunächst auf LinkedIn Erkundungen durchführten und anschließend den IT-Helpdesk des Unternehmens anriefen. Es gelang ihnen, sich als hochrangige Mitarbeiter auszugeben und die Helpdesk-Mitarbeiter davon zu überzeugen, die MFA-Profile für privilegierte Konten zurückzusetzen. Anschließend nutzten sie Push-Bombing, um sich den authentifizierten Zugriff zu sichern. Während Caesars Berichten zufolge ein Lösegeld in Höhe von 15 Millionen US-Dollar zahlte, wie unter anderem von Reuters und der BBC ausführlich berichtet wurde, entschied sich MGM für einen Neuaufbau und musste dabei massive betriebliche und finanzielle Verluste hinnehmen.

Marks & Spencer (April 2025)

Genau dasselbe Vorgehen wurde Anfang 2025 gegen den Einzelhandelsriesen Marks & Spencer angewendet. Mitglieder der Hackergruppe „Scattered Spider“ erlangten Zugriff auf primäre Zugangsdaten, täuschten Helpdesk-Mitarbeiter und führten eine aggressive Kampagne zur Überlastung der Multi-Faktor-Authentifizierung (MFA) durch. Der dadurch gewonnene Zugriff wurde genutzt, um die Ransomware „DragonForce“ zu installieren. Der Angriff führte zu Betriebsstörungen in rund 1.049 Filialen und trug laut zeitgleichen Berichten der BBC und von Reuters zu einem sofortigen Kursrückgang der Unternehmensaktie um 7 % bei.

MFA-Ermüdung in Zahlen

Lange Zeit betrachteten viele Sicherheitsexperten den sofortigen Versand von Spam-Mails als seltenen Sonderfall. Daten zu Vorfällen in der Branche aus den Jahren 2025 und 2026 zeigen jedoch, dass sich diese Methode mittlerweile zu einem gängigen Werkzeug der Cyberkriminalität entwickelt hat:

• Laut dem „Verizon Data Breach Investigations Report (DBIR) 2025“ traten „Prompt-Bombing“-Angriffe bei rund 14 % aller weltweit analysierten Social-Engineering-Vorfälle auf.
• Im DBIR 2025 wurde festgestellt, dass bei mehr als 20 % der Social-Engineering-Angriffe, die sich speziell gegen Organisationen des öffentlichen Sektors richteten, ein sofortiger Angriff erfolgreich war.
• Mit Blick auf Angriffe, die speziell auf Microsoft 365-Umgebungen abzielten, stellte der DBIR fest, dass MFA-Unterbrechungen (einschließlich Ermüdungsangriffe) 22 % aller erfolgreichen Versuche zur Umgehung der MFA ausmachten. Der Diebstahl von Tokens, eine damit verbundene Technik, machte 31 % der Umgehungstechniken aus.
• Mehrere Berichte zur Reaktion auf Sicherheitsvorfälle aus dem Jahr 2025 ergaben, dass bei etwa 79 % der untersuchten Opfer von Business-Email-Compromise-Angriffen (BEC) die MFA auf ihren Systemen bereits aktiviert war, was belegt, dass einfache MFA-Konfigurationen umgangen werden können.
• Trotz des offensichtlichen Risikos ergab eine von Cisco Duo gesponserte Unternehmensumfrage, dass nur 19 % der Unternehmen phishing-resistente Authentifizierungsmethoden wie FIDO2-Schlüssel für ihre gesamte Belegschaft vollständig eingeführt haben.

Welche MFA-Verfahren sind am anfälligsten (und am wenigsten anfällig)?

Nicht alle Methoden der Multi-Faktor-Authentifizierung sind gleichwertig. Wenn die Sicherheitsrichtlinie Ihres Unternehmens alle Formen der sekundären Verifizierung gleich behandelt, haben Sie eine kritische Schwachstelle. Im Folgenden finden Sie eine praktische Übersicht darüber, wie sich verschiedene Authentifizierungsprotokolle bei Push-Bombing-Angriffen bewähren.

So schützen Sie sich vor MFA-Müdigkeit und Push-Bombing

Um Push-Bombing abzuwehren, müssen Sie Ihre Identitätsinfrastruktur nicht komplett aufgeben. Sie müssen jedoch intelligente Schutzmaßnahmen einrichten. Durch die Umsetzung einer mehrschichtigen Verteidigungsstrategie können Sie die technischen und psychologischen Angriffsvektoren dieser Angriffsmethode systematisch neutralisieren.

1. Umstellung auf „Number Matching“ oder phishingresistente MFA

Wenn Sie nicht sofort auf Standard-Push-Benachrichtigungen von mobilen Apps verzichten können, aktivieren Sie die Nummernabgleichsfunktion. Diese Funktion wird in Microsoft Entra ID, Okta und Cisco Duo nativ unterstützt. Wenn sie aktiviert ist, kann ein Benutzer nicht einfach auf „Genehmigen“ tippen. Er muss sich eine auf dem Anmeldebildschirm angezeigte Ziffernfolge ansehen und diese in seine Authentifizierungs-App eingeben. Diese einfache Hürde verhindert blindes, reflexartiges Klicken vollständig. Für Ihre Konten mit den höchsten Berechtigungen sollten Sie vorrangig auf FIDO2-/WebAuthn-Sicherheitsschlüssel oder Passkeys umstellen, wodurch der Schritt „Zum Bestätigen antippen“ vollständig entfällt.

2. Begrenzung der Anzahl und Obergrenze für Push-Benachrichtigungen

Lassen Sie nicht zu, dass Ihre Authentifizierungsserver endlos viele Anfragen bearbeiten. Konfigurieren Sie die Richtlinien Ihres Identitätsanbieters (IdP) so, dass Konten gesperrt werden oder vorübergehende Sperrfristen verhängt werden, nachdem drei bis fünf Push-Benachrichtigungen abgelehnt oder ignoriert wurden. Wenn ein Angreifer vor der Sperrung des Profils nicht mehr als einige wenige Aufforderungen generieren kann, entfällt der Faktor der psychologischen Ermüdung.

3. Stärken Sie Ihren IT-Helpdesk

Die spektakulären Sicherheitsvorfälle bei MGM und Caesars waren keine Softwarefehler. Es handelte sich um Kompromittierungen des Helpdesks. Ihre Support-Mitarbeiter müssen strenge Protokolle zur Identitätsprüfung anwenden, bevor sie die MFA-Konfiguration eines Mitarbeiters zurücksetzen. Führen Sie obligatorische Rückrufe an vorab registrierte Telefonnummern ein, verlangen Sie eine zweite Genehmigung durch Vorgesetzte oder überprüfen Sie die Identität persönlich, bevor Sie die Sicherheitseinstellungen eines privilegierten Kontos ändern.

4. Warnmeldung bei aufeinanderfolgenden Ablehnungen

Behandeln Sie Benachrichtigungen über abgelehnte Authentifizierungsversuche als ernstzunehmendes Signal und nicht als Hintergrundrauschen. Wenn ein Mitarbeiter innerhalb kurzer Zeit mehrmals auf „Ablehnen“ tippt, sollte Ihr Security Operations Center (SOC) eine automatische Warnmeldung erhalten. Diese Aktion deutet darauf hin, dass ein Angreifer die primäre Passwort-Sicherheitsstufe bereits umgangen hat und aktiv versucht, die sekundäre Verteidigungslinie zu durchbrechen.

5. Den Angriff an seinem eigentlichen Ausgangspunkt unterbinden: Diebstahl von Zugangsdaten

Sagen wir es ganz offen: Ein „Push-Bombing“ ist nur möglich, wenn ein Angreifer Ihren Benutzernamen und Ihr Passwort bereits gestohlen hat. Zwar steuern E-Mail-Protokolle die MFA-Infrastruktur nicht direkt, doch die Absicherung Ihrer Kommunikationsschicht verhindert den anfänglichen Angriff. Die überwiegende Mehrheit der Unternehmenszugangsdaten wird über Phishing-E-Mails gestohlen, die sich als interne Plattformen oder vertrauenswürdige Partner ausgeben und häufig mithilfe von „E-Mail-Spoofing-as-a-Service“-Kits erstellt werden, die in Untergrundforen verkauft werden.

Die Durchsetzung von Sicherheitsprotokollen wie DMARC (Domain-based Message Authentication, Reporting, and Conformance) mit der Richtlinie „p=reject“ ist von entscheidender Bedeutung. Die Implementierung von DMARC in Verbindung mit SPF (Sender Policy Framework) und DKIM (DomainKeys Identified Mail) verhindert, dass böswillige Akteure Ihre Unternehmensdomänen fälschen, um Passwörter von Mitarbeitern zu erbeuten. Durch das Blockieren von E-Mails, die unter falscher Identität versendet werden, reduzieren Sie die primären Angriffsvektoren, die im „Step Zero“ des Angriffszyklus genutzt werden, erheblich.

6. Schulen Sie die Mitarbeiter in der Vorgehensweise „Ablehnen und Melden“

Beschränken Sie Ihre Schulungen zur Cybersicherheit nicht auf langweilige, allgemeine Präsentationen. Führen Sie simulierte Szenarien durch, in denen die Mitarbeiter mit der Multi-Faktor-Authentifizierung (MFA) überfordert sind. Machen Sie den Mitarbeitern klar, dass das Vibrieren ihres Smartphones mit unerwarteten Aufforderungen ein Anzeichen für einen Sicherheitsverstoß ist und kein Systemfehler. Richten Sie einen einfachen, reibungslosen Mechanismus ein, mit dem Mitarbeiter verdächtige Aktivitäten mit einem einzigen Fingertipp direkt an die Sicherheitsteams melden und ablehnen können.

MFA-Ermüdung im Vergleich zu anderen MFA-Umgehungstechniken

Zwar ist das Versenden von Prompt-Spam unglaublich effektiv, doch ist es nur ein Werkzeug im Arsenal moderner Cyberkrimineller. Um Ihr Unternehmen zu schützen, müssen Sie verstehen, wie sich diese Bedrohung im Vergleich zu anderen gängigen Techniken zur Umgehung der Authentifizierung darstellt.

• „Adversary-in-the-Middle“ (AiTM)-Phishing: Im Gegensatz zur MFA-Müdigkeit, die auf der Mitwirkung des Benutzers beruht, wird bei AiTM-Angriffen ein Proxy-Server zwischen dem Opfer und dem legitimen Anmeldeportal geschaltet. Der Proxy erfasst sowohl die primären Anmeldedaten des Benutzers als auch das validierte Sitzungs-Cookie in Echtzeit und umgeht so die MFA vollständig, ohne das Gerät des Opfers mit Nachrichten überfluten zu müssen.
• SIM-Swapping: Bei diesem Angriff bringt der Angreifer einen Mobilfunkanbieter durch Social Engineering dazu, die Telefonnummer des Opfers auf eine gefälschte SIM-Karte zu übertragen. Auf diese Weise kann er SMS-basierte Einmalcodes abfangen, wobei er Mobilfunknetze ins Visier nimmt, anstatt Push-Benachrichtigungen auszunutzen.
• Diebstahl von Sitzungstoken: Bei dieser Technik werden spezielle Infostealer-Malware oder kompromittierte Browser-Erweiterungen eingesetzt, um aktive Sitzungstoken direkt aus dem lokalen Speicher zu extrahieren. Auf diese Weise kann der Angreifer eine aktive Unternehmenssitzung kapern und dabei das Anmeldeportal sowie die sekundären Verifizierungsschritte vollständig umgehen.

Es ist wichtig zu verstehen, dass Angreifer sich nicht auf eine einzige Methode beschränken. Fortgeschrittene Hackergruppen kombinieren diese Techniken häufig miteinander. So könnte eine Gruppe beispielsweise Phishing einsetzen, um Zugangsdaten zu erbeuten, versuchen, AiTM zu umgehen, und dann auf Vishing mit Fokus auf den Helpdesk sowie Push-Spam zurückgreifen, falls die ersten Versuche scheitern.

MFA-Müdigkeit überwinden: Der Weg in die Zukunft

Seien wir ehrlich: Die Push-basierte Multi-Faktor-Authentifizierung wurde entwickelt, um schnell und reibungslos zu funktionieren, doch die „MFA-Müdigkeit“ und das „Push-Bombing“ zeigen, dass gerade diese Benutzerfreundlichkeit zu ihrer größten Schwachstelle geworden ist. Die viel beachteten Sicherheitsvorfälle bei Uber, Cisco, MGM und Marks & Spencer belegen, dass es ein erhebliches Sicherheitsrisiko darstellt, sich darauf zu verlassen, dass ein menschlicher Nutzer während eines laufenden Angriffs die richtige Entscheidung trifft.

Um die Sicherheit Ihres Unternehmens zu gewährleisten, müssen Sie über einfache „Genehmigen/Ablehnen“-Einstellungen hinausgehen. Die Implementierung von Nummernabgleich und Ratenbegrenzung bei Push-Benachrichtigungen ist ein entscheidender erster Schritt, doch die Absicherung Ihrer Zugangspunkte ist ebenso wichtig. Durch die Kombination von phishing-resistenten Authentifizierungsmethoden mit strengen Domänensicherheitsprotokollen können Sie Ihre Nutzer in jeder Phase des Bedrohungszyklus schützen.

Sind Sie bereit, Ihre Domain zu sichern und das „Credential Harvesting“ an der Quelle zu unterbinden? Beginnen Sie noch heute damit, Ihre E-Mail-Authentifizierung zu überprüfen. Lesen Sie unsere Leitfäden zum Thema „Credential Harvesting“, um zu verstehen, wie Hacker es auf Ihre Passwörter abgesehen haben, und erfahren Sie, wie der PowerDMARC Analyzer betrügerische Phishing-E-Mails aus den Posteingängen Ihrer Mitarbeiter fernhalten kann.

Häufig gestellte Fragen

Was versteht man unter MFA-Müdigkeit, einfach ausgedrückt?

„MFA-Fatigue“ ist eine Art von Cyberangriff, bei dem ein Hacker, der Ihr Passwort bereits kennt, wiederholt Authentifizierungsanfragen auf Ihrem Smartphone auslöst. Er überschwemmt Ihr Gerät mit „Bestätigen“-Benachrichtigungen in der Hoffnung, dass Sie diese schließlich aus purer Verärgerung, Verwirrung oder einfach nur, um das ständige Summen der Benachrichtigungen zu beenden, anklicken.

Ist „MFA-Fatigue“ dasselbe wie „MFA-Bombing“ oder „Push-Bombing“?

Ja, diese Begriffe beschreiben genau dieselbe Angriffstechnik. Ganz gleich, ob Sicherheitsexperten sie als „MFA-Fatigue“, „Prompt-Spamming“, „MFA-Bombing“ oder „Push-Bombing“ bezeichnen – die zugrunde liegende Vorgehensweise bleibt dieselbe. Angreifer überschütten das Gerät eines Opfers mit wiederholten Authentifizierungsaufforderungen, bis dieses nachgibt.

Wie nutzen Hacker die MFA-Müdigkeit aus, um sich Zugang zu verschaffen?

Zunächst stehlen Hacker Ihre Zugangsdaten mittels Phishing, Infostealer-Malware oder über Marktplätze im Dark Web. Anschließend versuchen sie wiederholt, sich in Ihr Konto einzuloggen, wodurch endlose Push-Benachrichtigungen auf Ihrem Smartphone ausgelöst werden. Sobald Sie aus lauter Verzweiflung auf „Genehmigen“ tippen, erhält der Angreifer sofort Zugriff auf Ihr Unternehmensnetzwerk.

Warum ist die MFA-Müdigkeit eine wirksame Angriffsmethode?

Diese Methode ist äußerst effektiv, da sie sich die menschliche Psychologie zunutze macht, anstatt technische Softwarefehler auszunutzen. Sie nutzt gängige kognitive Zustände wie Benachrichtigungsmüdigkeit, Ablenkung und Erschöpfung spät in der Nacht aus und verwandelt eine gewöhnliche Sicherheitsüberprüfung in ein Ausdauer-Spiel, das der Angreifer nur einmal gewinnen muss.

Können DMARC oder E-Mail-Authentifizierung Angriffe durch MFA-Müdigkeit verhindern?

DMARC kann Push-Benachrichtigungen nicht direkt unterbinden, sobald ein Angreifer Ihre Zugangsdaten in seinen Händen hält. Es blockiert jedoch die gefälschten Phishing-E-Mails, mit denen Angreifer diese Zugangsdaten überhaupt erst abgreifen. Dadurch wird der entscheidende „Schritt Null“, der für die Durchführung des Angriffs erforderlich ist, systematisch unterbunden.

Was ist die wirksamste Einzelmaßnahme zur Abwehr von Push-Bombing?

Der absolut wirksamste Schutz ist die Umstellung auf eine passwortlose, phishing-resistente Multi-Faktor-Authentifizierung, wie beispielsweise FIDO2-Hardware-Sicherheitstoken oder Plattform-Passkeys. Diese Technologien verknüpfen Anmeldungen kryptografisch mit Ihrer Browsersitzung und verhindern so vollständig Remote-Push-Bombing und den Diebstahl von Anmeldedaten.

• Über
• Neueste Beiträge

Ahona Rudra

Experte für Domain- und E-Mail-Sicherheit bei PowerDMARC

Ahona ist Marketing-Managerin bei PowerDMARC und verfügt über mehr als 5 Jahre Erfahrung im Schreiben über Cybersicherheitsthemen, insbesondere im Bereich Domain- und E-Mail-Sicherheit. Ahona hat einen Postgraduierten-Abschluss in Journalismus und Kommunikation und ist seit 2019 in der Sicherheitsbranche tätig.

Neueste Beiträge von Ahona Rudra (alle anzeigen)

• Was ist MFA-Müdigkeit (Push-Bombing)? – 21. Juli 2026
• DMARC-MSP-Fallstudie: Wie Adoptive Technologies seinen Kunden mit PowerDMARC zentralisierte E-Mail-Sicherheit bietet – 17. Juli 2026
• So richten Sie DMARC für Google Workspace (Gmail) ein – 14. Juli 2026