Ein Man-in-the-Middle-Angriff (MITM) ist eine Form des Cyberangriffs, der die Daten- und Informationssicherheit bedroht. Er tritt auf, wenn eine unbefugte Person – ein Cyberkrimineller – sich als Vermittler zwischen zwei Parteien positioniert, um Interaktionen zu überwachen, sensible Informationen zu stehlen und Transaktionen zu manipulieren. So können sie beispielsweise Geschäftsgeheimnisse stehlen, Finanzdaten kompromittieren oder Malware auf den Servern des Unternehmens einschleusen. In diesem Artikel erklären wir Ihnen alles, was Sie über MITM-Angriffe wissen müssen, und stellen Ihnen praktische Präventionsmaßnahmen vor, die Sie ergreifen können.
Was ist ein Man-in-the-Middle (MITM)-Angriff?
Ein Man-in-the-Middle-Angriff liegt vor, wenn ein Cyberkrimineller das Netzwerk zwischen zwei Parteien abfängt, um zu lauschen, zu spionieren oder sensible Informationen zu stehlen. Der Angreifer kann auch die Persönlichkeit einer der beiden Parteien manipulieren, indem er neue Daten in die Kommunikation einschleust.
MITM-Angriffe nutzen Schwachstellen wie schwache Verschlüsselung, unsichere öffentliche WLAN-Netzwerke und nicht überprüfte Website-Zertifikate aus. Lassen Sie uns herausfinden, wie.
Was genau passiert bei MITM-Angriffen?
MITM-Angriffe bestehen in der Regel aus zwei Schritten. Die Einzelheiten hängen von den Zielen des Angreifers und der Art der Kommunikation zwischen den beiden Parteien ab, aber es gibt einige allgemeine Aktivitäten, die einen MITM-Angriff charakterisieren.
Schritt 1: Abfangen
Beim Abfangen sammelt ein Angreifer zunächst Informationen über das Zielnetzwerk oder die Kommunikationskanäle durch Aufklärung. Aufklärungswerkzeuge – wie z. B. Netzwerk-Scanner, decken potenzielle Einstiegspunkte und Schwachstellen auf.
Als Nächstes verwendet der Angreifer Methoden wie Spoofing (weitere Methoden finden Sie im nächsten Abschnitt), um die Kommunikation zwischen den beiden Parteien abzufangen und den Traffic zu „entführen (Hijacking)”, bevor dieser sein Ziel erreicht. Angreifer fangen dann den Inhalt der ausgetauschten Nachrichten ab und lesen ihn.
Schritt 2: Entschlüsselung
Ist das abgefangene Netzwerk verschlüsselt, verwendet der Angreifer Entschlüsselungsmethoden wie RSA, um die Nachrichten im ursprünglichen Klartext zu erfassen und den Inhalt der ausgetauschten Nachrichten zu lesen. Eine Entschlüsselung ist nur möglich, wenn die von beiden Parteien im Netzwerk verwendeten Verschlüsselungstechniken schwach sind. Nach der Entschlüsselung verändert und manipuliert der Angreifer den Inhalt, indem er beispielsweise Malware einschleust oder unter dem Deckmantel einer legitimen Partei sensible Informationen anfordert.
Nachdem der Angreifer sein Ziel erreicht hat, verwischt dieser seine Spuren, indem er den Kommunikationskanal wieder in den ursprünglichen Zustand versetzt.
Welche Methoden werden bei MITM-Angriffen verwendet?
Während der Abfangphase verwenden Man-in-the-Middle-Angreifer verschiedene Methoden, um die Kommunikation zwischen den beiden Parteien abzufangen und den Traffic zu „entführen”, bevor dieser sein Ziel erreicht. Sehen wir uns die sieben häufigsten Methoden an, mit denen Angreifer MITM-Angriffe ausführen.
Phishing
Beim Phishing verwenden Angreifer böswillige Links, E-Mails oder Websites, um eine der beiden Parteien dazu zu bringen, vertrauliche Informationen wie Anmeldedaten oder Kreditkarteninformationen preiszugeben. Die Angreifer erstellen oft gefälschte Anmeldeseiten, die echt erscheinen und beide Parteien auffordern, Anmeldedaten einzugeben, die direkt abgefangen werden.
Beispiel: Ein Angreifer tarnt sich als Bank und sendet eine professionell geschriebene E-Mail, in der er den Benutzer auffordert, sich auf der Website der Bank anzumelden, um bestimmte Angaben zu überprüfen. Der Benutzer klickt auf den Link in der E-Mail und gibt seine Bankdaten ein, aber die Seite wird nicht geladen. Der Benutzer hält es für eine Störung im Netzwerk, aber der Angreifer hat die Zugangsdaten erfolgreich erbeutet und sie auf der eigentlichen Website der Bank verwendet.
Session Hijacking
Angreifer können die Anmeldesitzungen der beiden Parteien im Netzwerk abfangen, indem sie gültige Sitzungscookies oder Token ausspähen.
Beispiel: Cookies und Token sind vertrauliche Daten, die von den Netzwerken bei der Anmeldung an den Browser eines Benutzers gesendet werden. Bei dieser Methode späht der Angreifer den Token per Sniffing aus und verwendet ihn als Eintrittskarte in das Netzwerk, auch nachdem der echte Benutzer bereits Zugang erhalten hat.
Spoofing
Spoofing liegt vor, wenn sich Angreifer als eine andere Person oder Informationsquelle tarnen. Spoofing kann über vier Hauptkanäle ausgeführt werden: ARP, IP, DNS und HTTPS.
| ARP-Spoofing | Address Resolution Protocol (ARP) Spoofing ist eine Methode, bei der ein Angreifer die ARP-Tabellen des Netzwerks fälscht, um den Traffic an sein Gerät statt an den vorgesehenen Empfänger umzuleiten. Der Angreifer fälscht ARP-Anfragen/Antworten an Ziele. Die Opfer aktualisieren ihren ARP-Cache mit der MAC-Adresse des Angreifers statt mit der des echten Ziels. Dadurch wird der Traffic zwischen den Zielen aufgeteilt, wobei ein Teil von der ersten Partei zum Angreifer und der andere Teil von der zweiten Partei zum Angreifer geht. |
| IP-Spoofing | Hier manipuliert der Angreifer die Internet Protocol (IP)-Adresse der Systeme in einem Netzwerk, indem er die Paketkopfzeilen der Anwendungen im Netzwerk verändert. Sobald eine der beiden Parteien die Anwendung initialisiert, werden alle Informationen an den Angreifer weitergeleitet. |
| DNS-Spoofing | Beim Domain Name System (DNS) Spoofing leiten die Angreifer den Traffic auf eine gefälschte Website oder eine Phishing-Seite um. Dies wird erreicht, indem der DNS-Cache des Opfers so verändert wird, dass der Domänenname zu einer gefälschten IP-Adresse aufgelöst wird, die vom Angreifer kontrolliert wird und das Opfer auf die gefälschte Website des Angreifers führt. |
| HTTPS-Spoofing | Das HyperText Transfer Protocol Secure (HTTPS) stellt Grundlage der Kommunikation im Internet dar. Beim HTTPS-Spoofing sendet ein Angreifer ein Zertifikat an den Browser seines Ziels, nachdem das Opfer zunächst die Sicherheit der Website angefordert hat. Das gefälschte Zertifikat enthält einen digitalen Fingerabdruck des kompromittierten Browsers oder der Anwendung. Der Browser überprüft dann den Fingerabdruck anhand einer Liste mit anerkannten vertrauenswürdigen Websites. Sobald das Opfer die Website besucht oder Daten über den Browser überträgt, fängt der Angreifer die gewünschten Informationen ab, bevor sie ihr eigentliches Ziel erreichen. |
Wi-Fi Eavesdropping
Angreifer können MITM-Angriffe durchführen, indem sie die Anmeldeinformationen echter WLAN-Zugriffspunkte abfangen oder fälschen und unwissende Benutzer dazu verleiten, sich mit ihren gefälschten WLAN-Hotspots zu verbinden. Bedrohungsakteure können Website-Verbindungen abfangen und durch einen solchen Angriff an unverschlüsselte sensible Informationen gelangen.
Beispiel: Der Angreifer platziert einen WLAN-Hotspot in der Nähe von McDonald’s. Der Punkt heißt „McDonald’s” und hat kein Passwort. In dem Glauben, es handele sich um das WLAN des Restaurants, stellen die Benutzer eine Verbindung her und greifen über diese auf das Internet zu. Der Angreifer erhält Zugriff auf alle gesendeten und empfangenen Daten.
SSL-Hijacking
Secure Sockets Layers (SSL) verschlüsseln die Verbindung zwischen einem Browser und einem Webserver. Beim Secure Sockets Layers (SSL) Hijacking fängt der Angreifer den SSL/TLS-Verkehr zwischen dem Gerät des Senders und des Empfängers ab und gibt sich als Server aus. Der Angreifer erzwingt eine herabgestufte SSL-Verbindung, stiehlt das SSL-Zertifikat und den Schlüssel und imitiert die echte Website, sodass das Opfer glaubt, mit einem echten Server zu kommunizieren.
Der Angreifer kann dann den abgefangenen SSL/TLS-Verkehr entschlüsseln und erhält so vollen Zugriff auf die zwischen dem Benutzer und dem Server ausgetauschten Daten. Dazu können sensible Informationen wie Anmeldedaten, Kreditkartendaten oder persönliche Informationen gehören, die sie für bösartige Zwecke missbrauchen können.
SSL BEAST
SSL Browser Exploit Against SSL/TLS (BEAST) zielt auf eine bestimmte Transport Layer Security (TLS)-Schwachstelle in SSL ab. Der Angreifer infiziert den Computer seines Ziels mit böswilligem JavaScript, um verschlüsselte Cookies zu erbeuten, die von einer Webanwendung gesendet wurden. Die Cipher Block Chaining (CBC) der Anwendung wird dann kompromittiert, so dass der Angreifer die Cookies und Authentifizierungs-Tokens entschlüsseln kann. Dann kann sich der Angreifer als das Opfer ausgeben und Zugang zu dessen Webanwendungskonten erhalten. Infolgedessen können sie dem Opfer Schaden zufügen, indem sie sensible Daten stehlen oder betrügerische Transaktionen durchführen.
SSL Stripping
Diese Man-in-the-Middle-Methode fängt die von einer Anwendung an einen Benutzer gesendete TLS-Authentifizierung ab und stuft eine HTTPS-Verbindung auf HTTP herunter. Der Angreifer sendet dem Benutzer eine unverschlüsselte Version der Website der Anwendung. Selbst wenn das Opfer eine sichere Sitzung innerhalb der Anwendung aufrechterhält, ist die Sitzung für den Hacker sichtbar, was bedeutet, dass sensible Informationen wie Passwörter oder Finanzdaten offengelegt werden.
Beispiel: example.com, eine HTTPS-fähige Website, sendet normalerweise eine sichere TLS-Authentifizierung an jeden Browser. Aber in diesem Fall fängt der Angreifer diese TLS-Authentifizierung ab, die von example.com an den Browser des Benutzers gesendet wird, entfernt die von HTTPS zusätzliche aktiviert Sicherheitsebene, und leitet die ungesicherte Version an den Browser des Benutzers weiter. Dies setzt den Benutzer der Gefahr von Ausbeutung und Diebstahl aus.
Hat es schon einmal MITM-Angriffe gegeben? Was sind einige Beispiele für MITM-Angriffe?
Ja, es hat mehrere markante MITM-Angriffe gegeben. Lassen Sie uns einige der umfangreichsten und berüchtigtsten Fälle Revue passieren:
| Firma | Auswirkung |
| DarkHotel (2017) | DarkHotel ist eine Gruppe, die sich auf das Hacken von Hotelgästen spezialisiert hat. Im Jahr 2017 nutzten sie MITM-Angriffe, um sensible Daten von Geschäftsreisenden zu stehlen, die in Luxushotels übernachten. |
| Der Superfish-Skandal (2015) | Dieser Skandal ereignete sich im Jahr 2015, als Lenovo-Laptops mit Adware ausgeliefert wurden, die persönliche Informationen — wie z.B. Anmeldedaten — für Phishing-Angriffe mit MITM-Methoden preisgab. |
| Hacking Team (2015) | Das italienische Cybersicherheitsunternehmen Hacking Team verkauft Überwachungs- und Einbruchssoftware an Regierungen und Strafverfolgungsbehörden weltweit. Im Jahr 2015 kam es zu einer Datenschutzverletzung, bei der Angreifer mit Hilfe eines MITM-Angriffs den Zwei-Faktor-Authentifizierungscode eines Mitarbeiters erbeuteten, wodurch sie Zugang zu den Servern des Unternehmens und zu sensiblen Unternehmensdaten erhielten. |
| Der Jackpotting-Angriff (2014) | Bei diesem Angriff im Jahr 2014 nutzten Cyberkriminelle unsichere WLAN-Verbindungen, um MITM-Angriffe auf Geldautomaten durchzuführen. Sie hatten es auf die Netzwerkinfrastrukturen von Geldautomaten abgesehen und infizierten sie mit Malware, die es ihnen ermöglichte, die Automaten zu kapern, Kartendaten abzufangen und illegal Bargeld auszugeben. Dieser Angriff führte zu einem Diebstahl von Millionen von Dollar bei Banken. |
| Target Corporation (2013) | Im Jahr 2013 kam es bei der Target Corporation zu einer massiven Datenschutzverletzung, von der über 110 Millionen Kunden betroffen waren. Die Angreifer nutzten die Variante eines MITM-Angriffs, der als RAM-Scraping bekannt ist, um sensible Informationen, wie z. B. Kreditkartendaten, während Transaktionen an Kassensystemen (POS) zu stehlen. |
| Der 333.000 GBP-Angriff 2015 | Im Jahr 2015 wurde der E-Mail-Austausch von Paul und Ann Lupton mit ihrem Immobilienanwalt von Cyberkriminellen abgefangen. Die Cyberkriminellen forderten die Bankkonten der Luptons für die Überweisung von Geldern aus einem Hausverkauf an. Der Anwalt überwies die Gelder im Wert von knapp über 330.000 GBP auf die Konten der Kriminellen. Es dauerte ein paar Tage, bis eine der beiden Parteien die Datenschutzverletzung entdeckte. |
Können MITM-Angriffe verhindert werden?
Ja, MITM-Angriffe können in vielen Fällen verhindert werden. Facebook und Apple nennen Fallstudien von Unternehmen, die MITM-Angriffe erfolgreich abgewehrt haben, sowie die Präventivtechniken, die sie anschließend eingesetzt haben, um den Schutz vor MITM-Angriffen zu verstärken.
Die Tatsache, dass Tech-Giganten unter MITM-Angriffen leiden, zeigt, dass MITM-Angriffe jeden treffen können – und dass die verwendeten Techniken von Unternehmen jeder Art und Größe anwendbar sind.
Im Jahr 2011 entdeckten Forscher eine Schwachstelle in der SSL/TLS-Implementierung von Facebook, die es Angreifern ermöglicht hätte, einen MITM-Angriff auf Facebook-Nutzer durchzuführen. Facebook führte darauf die „Forward Secrecy”-Technologie ein, um solche Angriffe für alle SSL/TLS-Verbindungen zu verhindern. Das heißt, wenn ein Angreifer die SSL/TLS-Sitzung erfolgreich abfängt, können frühere Benutzerinteraktionen nicht entschlüsselt werden.
Als Folge der Entdeckung dieser Schwachstelle hat Facebook zusätzlich eine DNSSEC-Erweiterung (Domain Name System Security Extension) implementiert, die DNS-Manipulationen und Spoofing verhindert. Sie führten zudem den Secure Hash Algorithm 2 (SHA-256) ein, um ihre SSL/TLS-Zertifikate zu sichern.
Apple
Im Jahr 2014 sah sich Apple aufgrund einer kritischen Sicherheitslücke in der API der App mit möglichen Man-in-the-Middle-Angriffen auf iOS-Geräte konfrontiert. Um solche Angriffe zu verhindern, hat Apple Patches für seine iOS-Geräte veröffentlicht. Mit den Patches wurden Funktionen wie Application Transport Security (ATS) eingeführt, die sicherstellen, dass eine mit dem Internet oder einem lokalen Netzwerk verbundene App sichere Kommunikationsprotokolle (HTTPS) verwenden muss, um die Kommunikation zwischen einem Server und einer App zu schützen.
Apple-Geräte verfügen außerdem über Wi-Fi Assist, um die WLAN-Netzwerkkommunikation zu sichern und MITM-Angriffe zu verhindern. Diese Funktion schaltet automatisch die Verbindung zu ungesicherten Netzwerken ab und wechselt zu Mobilfunknetzen, wenn die Zuverlässigkeit des WLANs unzureichend ist.
7 bewährte Praktiken zur Verhinderung von MITM-Angriffen
Wenn sich die Tech-Lizenzgeber in einem Schlamassel von MITM-Angriffen verheddern können, dann muss jede einzelne Organisation präventive Best Practices anwenden, um sicherzustellen, dass sie dieser Gefahr aus dem Weg geht. Diese Best Practices sind nicht narrensicher, aber sie geben Ihnen einen wichtigen Vorsprung, um Angriffe abzuschrecken, bevor sie beginnen, und machen einen erfolgreichen Angriff weniger wahrscheinlich. Hier sind acht Best Practices die Sie sofort umsetzen können.
1. Verschlüsseln Sie Ihre Netzwerke und Kanäle
Bei der Verschlüsselung werden Daten in einen Code verschlüsselt, auf den nur der Absender und der Empfänger Zugriff haben. Im Zeitalter von Homeoffice ist es wichtig, dass Sie verschlüsselte WLAN-Netzwerke verwenden und sicherstellen, dass Ihre Online-Transaktionen HTTPS-fähig sind. Eine Verschlüsselung sowohl der Daten als auch des Kommunikationskanals bietet einen hervorragenden Schutz. Sie können Daten sowohl bei der Übertragung (d.h. Daten, die von einem Gerät zu einem anderen übertragen werden) als auch im Ruhezustand (d.h. Daten, die auf Geräten gespeichert sind) verschlüsseln. Beide Formen der Verschlüsselung sind mit SSL und TLS möglich.
Schwache Verschlüsselungen können, wie bereits erwähnt, immer noch von Angreifern entschlüsselt werden. Umso wichtiger ist deshalb eine starke Verschlüsselung, um MITM-Angriffe zu vermeiden und zu verhindern.
2. Starke Authentifizierungsprotokolle verwenden
Verwenden Sie starke Authentifizierungsprotokolle wie die Multi-Faktor-Authentifizierung (MFA), die nur schwer zu umgehen sind und die Vorlage von zwei oder mehr Authentizitätsnachweisen erfordern. Wenn Hacker Anmeldedaten wie Benutzernamen und Passwörter abfangen, können sie ohne den zweiten Authentifizierungsfaktor, der aus biometrischen Daten, Smartcards oder Hardware-Token bestehen kann, keinen Zugang erhalten.
Die Token-basierte Authentifizierung ist eine weitere MFA-Lösung, die Sie in Betracht ziehen sollten. Durch die Verwendung eines eindeutigen Geräts, das einen temporären Passcode generiert, wird beiden Parteien im Netzwerk der Zugriff auf sensible Daten und Netzwerksysteme gewährt.
3. VPNs verwenden
Virtuelle private Netzwerke (VPNs) stellen einen sicheren Tunnel zwischen dem Gerät eines Benutzers und dem Internet her, so dass es für Angreifer schwierig ist, Daten abzufangen. Durch die Verschlüsselung der Daten während der Übertragung können Angreifer den Inhalt der Daten nicht lesen, selbst wenn sie sie abfangen.
4. Intrusion Detection/Prevention-Systeme (IDS/IPS) installieren
Die Systeme IDS und IPS überwachen den Netzwerkverkehr und alarmieren Administratoren bei ungewöhnlichen Aktivitäten, wie z. B. das Traffic-Hijacking in einem Netzwerk. Intrusion Prevention-Systeme können auch Angriffe verhindern, indem sie den böswilligen Traffic blockieren oder Maßnahmen zur Schadensbegrenzung ergreifen.
5. Regelmäßige Audits der Netzwerksicherheit durchführen
Regelmäßige Audits der Netzwerksicherheit können dazu beitragen, potenzielle MITM-Schwachstellen frühzeitig zu erkennen und Unternehmen bei der Ergreifung proaktiver Maßnahmen zur Behebung dieser Schwachstellen zu unterstützen. SSL/TLS-Zertifikate schützen E-Mails während der Übertragung, und PGP/GPG-Verschlüsselung schützt sie im Ruhezustand.
Darüber hinaus ist die Festlegung von Segmentierungsrichtlinien – wie z. B. die Mikrosegmentierung von Endpunkten – wichtig, da Benutzer dadurch in eine geschützte Umgebung versetzt und vom lokalen Netzwerk isoliert werden. Einige Segmentierungsrichtlinien fungieren als bidirektionale Firewall, um Datenverluste zu verhindern und den Datenverkehr innerhalb des Netzwerk-Gateways sicher zu halten.
6. Software aktualisieren und patchen
Trennen Sie sensible Daten von anderen Daten, die sich in einem hybriden Speicher befinden. Implementieren Sie eine effiziente Patch-Verwaltung, indem Sie die Software und die Antiviren-Sicherheitssysteme regelmäßig aktualisieren, Software-Patches umgehend auf allen Geräten anwenden und Audits und Überwachungen einplanen, um Sie über normale und ungewöhnliche Aktivitäten in Ihrem Netzwerk zu informieren. Zu einer effizienten Patch-Verwaltung gehört auch, dass Sie Ihre Firewalls überprüfen und aktualisieren, wenn Ihr Datenvolumen wächst.
7. Bieten Sie Ihren Mitarbeitern Sensibilisierungsmaßnahmen zum Thema Sicherheitsbewusstsein und Schulungen an
Eine der häufigsten Methoden für Man-in-the-Middle-Angriffe ist das Phishing. Mit dieser Methode bringen die Angreifer einzelne Mitarbeiter dazu, ihre Anmeldedaten preiszugeben oder Malware auf ihren Geräten zu installieren. Laut dem 2022 Cost of Data Breach Report von IBM war Phishing mit 16 % der Fälle die zweithäufigste Ursache für eine Datenschutzverletzung. In Zahlen ausgedrückt verursachte es mit durchschnittlich 4,91 Millionen US-Dollar für die Behebung von Datenschutzverletzungen die höchsten Kosten.
Mitarbeiter müssen daher geschult werden, nicht auf verdächtige Links und E-Mails zu klicken. Unternehmen sollten ihre Mitarbeiter im Rahmen von Sicherheitsschulungen auch davor warnen, öffentliche WLAN-Netzwerke für ihre Arbeit zu nutzen.
8. Schutzlösung von Drittanbietern verwenden
Ihre hauseigenen Cybersecurity-Tools können auch anfällig für MITM-Angriffe sein, die durch Social Engineering-Methoden wie Phishing inszeniert werden. Der Einsatz von Diensten von Drittanbietern wie Gcore erhöht durch zusätzliche Sicherheit den Schutz vor MITM-Angriffen.
Aber nicht alle Lösungen sind so effizient. Suchen Sie nach Bewertungen und Feedback von anderen Kunden. Vergewissern Sie sich, dass die Lösung, die Sie einsetzen, schon eine Zeitlang angeboten wird und die neueste Technologie wie ML-gestützte Datenverschlüsselung verwendet. Vergewissern Sie sich schließlich, dass die Lösung über ein reaktionsschnelles Kundendienstteam und eine Vereinbarung zum Servicelevel (SLA) verfügt, in der die zu erwartende Servicequalität festgelegt ist.
Mit den Tools von Gcore können Man-in-the-Middle (MITM)-Angriffe besser verhindert werden
Gcore ist ein zuverlässiger Anbieter von Sicherheitslösungen mit Produkten, die alle Methoden von Man-in-the-Middle (MITM)-Angriffen in so gut wie allen Fällen verhindern können. Wir bieten Schutz vor Distributed Denial of Service (DDoS) sowie Schutz von DNS und Webanwendungen für Unternehmen.
Fazit
Ein Man-in-the-Middle-Angriff (MITM) ist ein ausgeklügelter und weit verbreiteter Cyberangriff, der die Sicherheit von Einzelpersonen und Unternehmen beeinträchtigen kann. Die Verhinderung von MITM-Angriffen erfordert ein Verständnis des Angriffsprozesses und die Implementierung von umfassenden Sicherheitsmaßnahmen. Ein zuverlässiger Drittanbieter wie Gcore kann einen robusten Schutz gegen MITM-Angriffe bieten. Vereinbaren Sie ein kostenloses Beratungsgespräch mit unserem Sicherheitsexperten, um mehr zu erfahren.
