Was ist ein Man-in-the-Middle-Angriff (MITM)? Funktionsweise, Arten und Prävention

Man-in-the-Middle-Angriffe gehören zu den ältesten Tricks in der Netzwerksicherheit und sind auch heute noch wirksam, da sie nicht direkt auf die Verschlüsselung abzielen. Sie zielen auf den Weg ab, den die Daten zurücklegen – sei es ein lokales Netzwerk, eine DNS-Abfrage oder die Routing-Tabellen, über die der Datenverkehr im Internet geleitet wird. Sobald ein Angreifer in diesen Pfad eingedrungen ist, kann er sich unbemerkt zwischen zwei Parteien schieben, die keinen Grund haben, etwas zu vermuten, da beide Seiten weiterhin scheinbar normale Antworten erhalten.

In diesem Leitfaden wird detailliert erläutert, wie diese Angriffe tatsächlich funktionieren, welche verschiedenen Formen sie annehmen, wie man sie erkennen kann, bevor tatsächlicher Schaden entsteht, und welche spezifischen Abwehrmaßnahmen für die einzelnen Ebenen geeignet sind – einschließlich des Aspekts im Zusammenhang mit E-Mails, den die meisten Erklärungen zu diesem Thema gänzlich außer Acht lassen.

Was ist ein Man-in-the-Middle-Angriff?

Ein Man-in-the-Middle-Angriff (MITM) liegt vor, wenn sich ein Angreifer zwischen zwei kommunizierende Parteien schaltet und die zwischen ihnen ausgetauschten Daten abfängt, liest oder verändert. Dabei kann es sich um eine Person und eine Website, zwei E-Mail-Server oder ein Gerät und einen WLAN-Router handeln. Keine der beiden Parteien bemerkt, dass etwas nicht stimmt, da der Angreifer den Datenverkehr in beide Richtungen weiterleitet und die Verbindung völlig normal erscheinen lassen kann.

Die klassische Analogie ist ein Postbeamter, der Ihre Briefe öffnet, sie liest, wieder verschließt und zurück in den Briefkasten wirft. Sie erhalten Ihren Brief. Der Absender glaubt, er sei unversehrt angekommen. Aber jemand hat ihn unterwegs gelesen, und wenn er gewollt hätte, hätte er vor dem Weiterleiten ein paar Wörter ändern können.

MITM-Angriffe sind deshalb bedenklich, weil sie nicht darauf abzielen, Verschlüsselungen durch Brute-Force-Angriffe zu knacken. Sie basieren vielmehr darauf, sich in den Datenpfad einzuschleusen – sei es in ein lokales Netzwerk, eine DNS-Abfrage oder eine Routing-Tabelle – und die Tatsache auszunutzen, dass viele Systeme diesem Pfad standardmäßig vertrauen.

So funktionieren MITM-Angriffe – Schritt für Schritt

Die meisten MITM-Angriffe verlaufen nach einem ähnlichen Schema, unabhängig davon, mit welcher Technik sich der Angreifer in Position bringt:

1. Der Angreifer verschafft sich eine Position zwischen dem Opfer und dem beabsichtigten Ziel. Dies kann bedeuten, dass er sich in dasselbe WLAN-Netzwerk einloggt, einen lokalen Cache manipuliert oder einen Router oder DNS-Resolver irgendwo auf dem Weg kompromittiert.
2. Das Gerät des Opfers sendet eine Anfrage, beispielsweise zum Laden einer Website oder durch einen Mailserver, der eine Verbindung herstellt, um eine E-Mail zu übermitteln.
3. Der Angreifer fängt diese Anfrage ab, bevor sie ihr eigentliches Ziel erreicht.
4. Der Angreifer leitet die Anfrage an das eigentliche Ziel weiter, oft ohne erkennbare Verzögerung, sodass auf beiden Seiten nichts Ungewöhnliches auffällt.
5. Die Antwort wird über den Angreifer zurückgesendet, der sie lesen, protokollieren oder verändern kann, bevor er sie an das Opfer weiterleitet.

Der Angreifer fungiert im Grunde genommen als unsichtbarer Relaisknoten. Solange beide Seiten weiterhin eine scheinbar normale Antwort erhalten, kann der Angriff so lange andauern, wie der Angreifer diese Position beibehält.

Arten von MITM-Angriffen

MITM ist keine einzelne Technik. Es handelt sich um eine Kategorie von Angriffen, die zwar dasselbe Ziel verfolgen (sich zwischen zwei kommunizierende Parteien zu schalten), dabei jedoch unterschiedliche Methoden anwenden.

ARP-Spoofing

ARP-Spoofing ist die häufigste MITM-Technik in lokalen Netzwerken, wie beispielsweise einem Büro-LAN oder einem ungesicherten öffentlichen Netzwerk. Das Address Resolution Protocol (ARP) ordnet IP-Adressen den physikalischen (MAC-)Adressen von Geräten in einem lokalen Netzwerk zu und verfügt über keine integrierte Überprüfung. Ein Angreifer sendet gefälschte ARP-Nachrichten, die seine eigene MAC-Adresse mit der IP-Adresse eines legitimen Geräts, beispielsweise des Routers des Netzwerks, verknüpfen. Sobald die Geräte im Netzwerk ihre ARP-Tabellen mit dieser falschen Zuordnung aktualisieren, wird der für den Router bestimmte Datenverkehr stattdessen an den Angreifer gesendet.

DNS-Spoofing

Beim DNS-Spoofing (auch als DNS-Cache-Poisoning bezeichnet) wird einem Gerät oder Resolver eine gefälschte DNS-Antwort untergeschoben, die einen legitimen Domainnamen einer vom Angreifer kontrollierten IP-Adresse zuordnet. Gelingt dies, werden Opfer, die versuchen, eine echte Website oder einen echten Mailserver zu erreichen, unbemerkt auf einen vom Angreifer kontrollierten Server umgeleitet, der häufig zum Diebstahl von Zugangsdaten oder für Phishing genutzt wird. An dieser Stelle wird die DNS-Sicherheit auch speziell für E-Mails relevant, da eine manipulierte MX-Eintrag-Abfrage den Senderserver dazu bringen kann, die Adresse des Mail-Servers des Empfängers falsch zuzuordnen.

HTTPS-Spoofing und SSL-Stripping

HTTPS soll MITM-Angriffe verhindern, indem es die Verbindung zwischen einem Browser und einer Website verschlüsselt. SSL-Stripping umgeht dies, indem es die anfängliche Verbindungsanfrage abfängt und sie unbemerkt von HTTPS auf einfaches HTTP herabstuft, bevor der Browser eine verschlüsselte Sitzung aufbaut. So wird der Datenverkehr des Opfers im Klartext übertragen, während die Adressleiste in nicht gepatchten oder älteren Browsern weiterhin täuschend normal aussieht. Moderne Browser und HSTS (HTTP Strict Transport Security) haben die Durchführung dieser Attacke im Vergleich zu vor einem Jahrzehnt erschwert, doch sie bleibt eine dokumentierte Technik gegen Systeme, die HTTPS nicht konsequent durchsetzen.

WLAN-Abhören (Evil-Twin-Angriff)

Bei einem „Evil-Twin“-Angriff wird ein betrügerischer WLAN-Zugangspunkt eingerichtet, der einen legitimen nachahmt und dabei häufig denselben oder einen sehr ähnlichen Netzwerknamen verwendet. Opfer, die sich mit diesem verbinden – manchmal automatisch, weil ihr Gerät sich an ein Netzwerk mit diesem Namen erinnert –, leiten ihren gesamten Datenverkehr über die Geräte des Angreifers. Dies ist einer der häufigsten MITM-Angriffsvektoren in öffentlichen Räumen wie Flughäfen, Cafés und Hotels, gerade weil hierfür weder Zugriff auf das Gerät des Opfers noch auf das echte Netzwerk erforderlich ist.

BGP-Hijacking

Das Border Gateway Protocol (BGP) wird von Internetdienstanbietern verwendet, um bekannt zu geben, für welche IP-Adressbereiche sie für das Routing zuständig sind. BGP verfügt über keine integrierte Authentifizierung, sodass ein Netzwerkbetreiber – sei es durch eine Fehlkonfiguration oder aus böswilliger Absicht – fälschlicherweise behaupten kann, dass ihm IP-Adressbereiche gehören, die eigentlich jemand anderem gehören. Andere Netzwerke, die diese falsche Ankündigung akzeptieren, leiten den Datenverkehr für diese Adressen stattdessen über das Netzwerk des Angreifers weiter. Hierbei handelt es sich um einen Angriff auf der Routing-Ebene und nicht um einen lokalen Angriff, der große Datenmengen auf einmal betreffen kann.

Im April 2018 nutzten Angreifer genau diese Schwachstelle aus, um IP-Präfixe des DNS-Dienstes „Route 53“ von Amazon zu kapern, Suchanfragen für die Kryptowährungs-Wallet-Website „MyEtherWallet“ auf einen bösartigen Server umzuleiten und Ethereum im Wert von rund 150.000 US-Dollar von Nutzern zu stehlen, die auf eine Phishing-Seite weitergeleitet wurden.

SMTP-Downgrade-Angriffe: MITM bei E-Mails

Auch bei E-Mails gibt es eine ähnliche Problematik. Wenn ein Mailserver eine Nachricht an einen anderen übermittelt, stellt er die Verbindung in der Regel mithilfe eines Befehls namens STARTTLS auf eine verschlüsselte Verbindung um.

Der Haken daran ist, dass STARTTLS standardmäßig opportunistisch funktioniert: Wenn die Verbindung nicht auf ein höheres Sicherheitsniveau angehoben werden kann, versenden die meisten Mailserver die Nachricht dennoch im Klartext, anstatt die Zustellung abzubrechen. Ein Angreifer, der sich auf dem Netzwerkpfad zwischen zwei Mailservern befindet, kann die STARTTLS-Verhandlung abfangen und unterbinden, sodass der sendende Server das Verschlüsselungsangebot nie zu Gesicht bekommt und darauf zurückgreift, die Nachricht unverschlüsselt zu versenden. Dies wird als STARTTLS-Downgrade-Angriff bezeichnet und gilt ausdrücklich als Bedrohung, die durch MTA-STS (RFC 8461) abgewehrt werden soll. Ein Absender, der eine MTA-STS-Richtlinie durchsetzt, lehnt die Zustellung ab, anstatt auf Klartext zurückzugreifen, wenn TLS nicht verifiziert werden kann.

Beispiele für MITM-Angriffe aus der Praxis

Lenovo Superfish (2015)

Lenovo lieferte eine Charge von Consumer-Laptops mit vorinstallierter Adware namens „Superfish“ aus, die das Surfverhalten der Nutzer abfing, um gezielte Werbung einzublenden – auch auf HTTPS-Seiten. Zu diesem Zweck installierte das Unternehmen auf jedem betroffenen Gerät ein eigenes, selbstsigniertes Stammzertifikat, wobei dieses Zertifikat für alle Installationen denselben privaten Schlüssel verwendete.

Sobald Forscher den Schlüssel extrahiert hatten, konnte sich jeder als beliebige HTTPS-Website gegenüber jedem betroffenen Lenovo-Laptop ausgeben, ohne dass eine Browserwarnung ausgelöst wurde. Dadurch wurde aus einem Adware-Programm ein fertiges MITM-Tool für Angreifer in öffentlichen WLAN-Netzwerken. Die CISA veröffentlichte eine Sicherheitsempfehlung, in der sie die Sicherheitslücke bestätigte und die Nutzer anwies, sowohl die Software als auch das Zertifikat zu entfernen.

Der BGP-Hijack bei MyEtherWallet im Jahr 2018

Wie oben beschrieben, nutzten Angreifer einen BGP-Hijack gegen die Route-53-DNS-Infrastruktur von Amazon, um den Datenverkehr einer Kryptowährungs-Wallet-Website auf einen von ihnen kontrollierten Server umzuleiten und dabei die Gelder der Nutzer zu stehlen.

Cloudflare, dessen eigener DNS-Resolver von den durchgesickerten Routen betroffen war, hat den Vorfall kurz nach seinem Auftreten ausführlich dokumentiert. Dies ist eines der deutlichsten Beispiele dafür, wie sich ein MITM-Angriff auf Routing-Ebene auf Nutzer auswirken kann, die auf ihren eigenen Geräten nichts falsch gemacht haben.

Diebstahl von Zugangsdaten für öffentliche WLAN-Netze

Diese Methode ist zwar banaler, kommt im Alltag aber weitaus häufiger vor. Ein Angreifer richtet in einem öffentlichen Raum ein offenes WLAN-Netzwerk oder ein sogenanntes „Evil-Twin“-Netzwerk ein, wartet darauf, dass sich Nutzer damit verbinden, und hört dann entweder den unverschlüsselten Datenverkehr direkt ab oder nutzt Techniken wie ARP-Spoofing und SSL-Stripping, um die über die Verbindung übermittelten Anmeldedaten abzufangen.

Die CISA führt dies als ein konkretes Risiko beim Verbindungsaufbau mit öffentlichen Hotspots auf und empfiehlt, sensible Anmeldungen oder Transaktionen über diese ohne VPN zu vermeiden.

So erkennen Sie einen MITM-Angriff

MITM-Angriffe sind darauf ausgelegt, unsichtbar zu bleiben, hinterlassen jedoch in der Regel einige Spuren, wenn man weiß, wo man suchen muss:

• Unerwartete SSL/TLS-Zertifikatswarnungen: Eine Warnung des Browsers oder E-Mail-Clients, dass ein Zertifikat nicht übereinstimmt, selbst signiert ist oder von einer unbekannten Zertifizierungsstelle ausgestellt wurde, ist eines der zuverlässigsten Anzeichen für eine Datenübernahme.
• Plötzliche Verlangsamungen oder Verbindungsabbrüche: Die Umleitung des Datenverkehrs über das System eines Angreifers führt zu einer erhöhten Latenz und kann dazu führen, dass sich die Verbindungen im Vergleich zur normalen Nutzung unregelmäßig verhalten.
• Anomalien in der ARP-Tabelle: Wenn in einem lokalen Netzwerk zwei Geräte dieselbe MAC-Adresse beanspruchen oder eine MAC-Adresse plötzlich mit einer anderen IP-Adresse als üblich verknüpft ist, deutet dies auf ARP-Spoofing hin.
• Unerwartete DNS-Antworten: Wenn eine Domain auf eine IP-Adresse aufgelöst wird, die nicht dem bekannten, erwarteten Bereich entspricht, ist dies ein Anzeichen für DNS-Spoofing oder Cache-Poisoning.
• Fehler bei der SMTP-TLS-Aushandlung: Speziell bei E-Mails sind TLS-Meldungsdaten (über TLS-RPT), die zeigen, dass STARTTLS fehlschlägt oder auf eine niedrigere Sicherheitsstufe herabgestuft wird, obwohl es zuvor funktioniert hat, ein deutlicher Hinweis auf einen Versuch, die Sicherheitsstufe auf dem Zustellpfad herabzustufen.

So beugen Sie MITM-Angriffen vor

Keine einzelne Sicherheitsmaßnahme kann jede Art von MITM-Angriff verhindern, da die Techniken auf verschiedenen Ebenen zum Einsatz kommen – vom lokalen Netzwerk bis hin zum Internet-Routing. Ein mehrschichtiger Ansatz deckt einen größeren Bereich ab:

• Verwenden Sie überall HTTPS in Verbindung mit HSTS, damit Browser eine Verbindung über unverschlüsseltes HTTP ablehnen, selbst wenn ein Angreifer versucht, ein Downgrade zu erzwingen.
• Verwenden Sie „Certificate Pinning“ für sensible Anwendungen, damit eine App nur einem bestimmten, bekannten Zertifikat vertraut und nicht irgendeinem Zertifikat, das von einer kompromittierten oder böswilligen Zertifizierungsstelle ausgestellt wurde.
• Vermeiden Sie unverschlüsselte öffentliche WLAN-Netze oder nutzen Sie ein VPN, wenn dies nicht möglich ist, da ein VPN den Datenverkehr verschlüsselt, bevor er das lokale Netzwerk erreicht, das möglicherweise von einem Angreifer kontrolliert wird.
• Aktivieren Sie die Multi-Faktor-Authentifizierung für alle Konten, damit ein Angreifer nicht allein mit einem abgefangenen Passwort Zugriff erlangen kann.
• Setzen Sie DNSSEC ein, um DNS-Antworten mit einer kryptografischen Signatur zu versehen, wodurch es wesentlich schwieriger wird, gefälschte DNS-Einträge unbemerkt einzuschleusen.
• Aktivieren Sie MTA-STS, um TLS für eingehende E-Mails zu erzwingen und so den zuvor beschriebenen SMTP-Downgrade-Angriff zu verhindern.
• Setzen Sie DMARC zusammen mit SPF und DKIM ein, um Angreifer daran zu hindern, Ihre Domain in Phishing-E-Mails zu fälschen, die häufig mit dem Diebstahl von Anmeldedaten mittels Man-in-the-Middle-Angriffen einhergehen.
• Überwachen Sie Ihr Netzwerk auf ARP- und DNS-Anomalien mithilfe von Tools, die unerwartete Änderungen an Adresszuordnungen melden.

Schutz von E-Mails vor MITM-Angriffen mit MTA-STS

Die meisten Anleitungen zu MITM-Angriffen konzentrieren sich auf den Web-Datenverkehr und belassen es dabei. E-Mails sind ebenfalls dieser Art von Angriffen ausgesetzt, was jedoch häufig übersehen wird. Da STARTTLS opportunistisch funktioniert, kann ein Angreifer, der die Verbindung zwischen zwei Mailservern abfängt, das Verschlüsselungsangebot unterbinden und die Nachricht im Klartext durchschleusen – ohne dass einer der beiden Mailserver dies zwangsläufig als Fehler meldet.

MTA-STS schließt diese Lücke. Durch die Veröffentlichung einer MTA-STS-Richtlinie im „Enforce“-Modus teilt eine Domain jedem sendenden Mailserver mit, dass sie stets TLS unterstützt, und listet genau auf, welche Server zum Empfang ihrer E-Mails berechtigt sind. Wenn ein sendender Server keine TLS-Verbindung zu einem Server herstellen kann, der der Richtlinie entspricht, lehnt er die Zustellung ab, anstatt stillschweigend auf Klartext zurückzugreifen. Da die Richtlinie selbst über HTTPS abgerufen und nicht während des SMTP-Handshakes ausgehandelt wird, kann ein Angreifer sie nicht auf dieselbe Weise manipulieren, wie er ein STARTTLS-Angebot entfernen könnte.

DANE erweitert dies noch um eine weitere Ebene. Anstatt sich auf das herkömmliche Zertifizierungsstellensystem zu stützen, veröffentlicht DANE einen TLSA-Eintrag im DNS, der genau angibt, welches Zertifikat ein Mailserver vorweisen soll. Da DANE auf DNSSEC basiert, ist der TLSA-Eintrag selbst vor der Art von DNS-Spoofing geschützt, die weiter oben in diesem Artikel beschrieben wurde. Dadurch erhalten sendende Server eine kryptografische Möglichkeit, zu überprüfen, ob sie tatsächlich mit dem Mailserver des beabsichtigten Empfängers kommunizieren.

Gemeinsam lösen MTA-STS und DANE die beiden Probleme, für deren Gewährleistung opportunistisches STARTTLS nie konzipiert wurde: dass die Verschlüsselung tatsächlich angewendet wird und dass es sich bei dem Server am anderen Ende um den richtigen handelt. PowerDMARC bietet beides, sodass Domains eine verschlüsselte, verifizierte E-Mail-Zustellung durchsetzen können, ohne DNS-Einträge oder im Web gehostete Richtliniendateien manuell verwalten zu müssen.

Hinweis: Die Transportverschlüsselung schützt lediglich die Verbindung. Sie verhindert nicht, dass jemand Ihre Domain im „Von“-Feld einer E-Mail fälscht, die Ihre Mailserver überhaupt nicht berührt. Dafür ist DMARC da, und die beiden Schutzmaßnahmen funktionieren am besten zusammen und nicht als Ersatz füreinander.

Erfahren Sie mehr über DMARC

Häufig gestellte Fragen

Was ist der Zweck eines MITM-Angriffs?

Das Ziel besteht fast immer darin, Kommunikation abzufangen, zu lesen oder zu verändern, die beide Parteien für privat halten. Je nach Motiv des Angreifers kann dies bedeuten, Anmeldedaten zu stehlen, Finanztransaktionen umzuleiten, schädliche Inhalte in eine legitime Verbindung einzuschleusen oder den Datenverkehr einfach ohne Wissen beider Parteien zu überwachen.

Kann HTTPS MITM-Angriffe verhindern?

HTTPS erschwert MITM-Angriffe erheblich, indem es den Datenverkehr zwischen einem Browser und einer Website verschlüsselt, bietet jedoch für sich genommen keine vollständige Sicherheit. Techniken wie SSL-Stripping, gefälschte oder kompromittierte Zertifikate sowie „Evil-Twin“-WLAN-Netzwerke, die den Datenverkehr abfangen, bevor eine HTTPS-Verbindung hergestellt wird, können weiterhin Schwachstellen schaffen. Die Kombination von HTTPS mit HSTS und Zertifikats-Pinning schließt die meisten dieser Lücken.

Was ist die häufigste Art von MITM-Angriff?

In lokalen Netzwerken ist ARP-Spoofing die gängigste Technik, da hierfür außer der Zugehörigkeit zum selben Netzwerk keine besonderen Zugriffsrechte erforderlich sind. In öffentlichen Bereichen kommen „Evil-Twin“-WLAN-Angriffe häufiger vor, da hierfür nicht einmal ein bestehendes Netzwerk kompromittiert werden muss.

Wie verhindert MTA-STS MITM-Angriffe auf E-Mails?

MTA-STS verhindert STARTTLS-Downgrade-Angriffe, indem es einer Domain ermöglicht, über HTTPS – und nicht über den SMTP-Handshake selbst – zu deklarieren, dass sie für eingehende E-Mails stets TLS verlangt. Sendende Server, die MTA-STS unterstützen, lehnen die Zustellung von E-Mails im Klartext an eine Domain mit einer solchen Richtlinie ab und schließen damit die Sicherheitslücke, die STARTTLS von sich aus offen lässt.

Ist ein MITM-Angriff dasselbe wie Abhören?

Beide Begriffe sind verwandt, aber nicht identisch. Unter „Abhören“ versteht man in der Regel das passive Mithören von Datenverkehr, ohne diesen zu verändern. Ein MITM-Angriff geht noch einen Schritt weiter: Der Angreifer schaltet sich aktiv in den Kommunikationspfad ein und kann den Datenverkehr in beide Richtungen lesen, verändern, Daten einfügen oder blockieren – er beschränkt sich nicht nur darauf, ihn zu beobachten.

• Über
• Neueste Beiträge

Ahona Rudra

Experte für Domain- und E-Mail-Sicherheit bei PowerDMARC

Ahona ist Marketing-Managerin bei PowerDMARC und verfügt über mehr als 5 Jahre Erfahrung im Schreiben über Cybersicherheitsthemen, insbesondere im Bereich Domain- und E-Mail-Sicherheit. Ahona hat einen Postgraduierten-Abschluss in Journalismus und Kommunikation und ist seit 2019 in der Sicherheitsbranche tätig.

Neueste Beiträge von Ahona Rudra (alle anzeigen)

• Die besten E-Mail-Reputationsdienste im Jahr 2026 – 6. August 2026
• Fax-Sicherheit: Ein umfassender Leitfaden zum Schutz sensibler Dokumente im Jahr 2026 – 30. Juli 2026
• Was ist ein E-Mail-Filterdienst? – 29. Juli 2026