Man-in-the-Middle-Angriff einfach erklärt
„Man in the Middle“ bedeutet „Mann in der Mitte“, abgekürzt MitM. Gemeint ist ein Angreifer, der sich heimlich in eine Verbindung einklinkt. Beide Seiten glauben, direkt miteinander zu kommunizieren. Tatsächlich läuft jede Nachricht über den Angreifer.
Stellen Sie sich einen Briefträger vor, der Ihre Post heimlich öffnet, liest und wieder verschließt – oder den Inhalt austauscht, bevor er den Brief zustellt. Absender und Empfänger merken davon nichts. Genau so funktioniert ein Man-in-the-Middle-Angriff, nur mit Datenpaketen statt Briefen.
Gefährlich wird es vor allem dort, wo Daten unverschlüsselt fließen oder Warnhinweise ignoriert werden. Richtig eingesetzte Verschlüsselung macht abgefangene Daten dagegen unlesbar.
So funktioniert ein Man-in-the-Middle-Angriff
Ein solcher Angriff läuft meist in drei Schritten ab:
- Dazwischenschalten: Der Angreifer leitet den Datenverkehr über sein eigenes Gerät um. Im Firmennetz gelingt das etwa mit ARP-Spoofing („Spoofing“ heißt Fälschen): Er verschickt gefälschte Adressauskünfte und gibt sich so gegenüber anderen Rechnern als Router aus, also als das Gerät, über das der Verkehr ins Internet läuft. Im WLAN stellt er einen gefälschten Zugangspunkt auf, einen sogenannten Evil Twin.
- Abfangen: Unverschlüsselte Daten kann er direkt mitlesen. Beliebt ist zudem ein Trick mit LLMNR und NBT-NS, zwei älteren Windows-Verfahren zur Namensauflösung: Findet ein Rechner einen Gerätenamen nicht im regulären Namensverzeichnis des Netzes (DNS), fragt er per Rundruf alle Geräte. Der Angreifer antwortet „Das bin ich“ – und der Rechner versucht, sich bei ihm anzumelden. Dabei überträgt er nicht das Passwort selbst, aber eine daraus berechnete Antwort.
- Ausnutzen: Diese Anmeldedaten versucht der Angreifer offline zu knacken, also auf seinem eigenen Rechner durch massenhaftes Ausprobieren das Passwort zu ermitteln. Oder er leitet die Anmeldung in Echtzeit an einen anderen Server weiter (Relay-Angriff) und meldet sich dort im Namen des Opfers an.
Eine moderne Variante zielt auf Online-Konten: Beim sogenannten Adversary-in-the-Middle-Phishing schaltet der Angreifer eine täuschend echte Anmeldeseite zwischen Nutzende und den echten Dienst. Er fängt Passwort, Bestätigungscode und Sitzungscookie ab – also den digitalen Ausweis, der Sie nach der Anmeldung angemeldet hält. So umgeht er auch eine einfache Multi-Faktor-Authentifizierung.
Ein Beispiel aus der Praxis
Ein Steuerberatungsbüro lässt sein internes Netz testen. Das Prüfteam schließt einen Laptop an eine freie Netzwerkdose im Besprechungsraum an. Nach kurzer Zeit hat es über LLMNR die Anmeldedaten mehrerer Mitarbeitender abgefangen – ihre Rechner hatten nach einem falsch geschriebenen Servernamen für ein Netzlaufwerk gesucht. Eines der Passwörter ist schwach und lässt sich knacken.
Zudem erzwingt der Dateiserver keine SMB-Signierung. SMB ist das Verfahren, über das Windows auf Dateifreigaben zugreift; die Signierung wirkt wie ein digitales Siegel. Ohne dieses Siegel hätte ein echter Angreifer abgefangene Anmeldungen an den Server weiterleiten und so auf Mandantendaten zugreifen können.
Die Lösung ist überschaubar: LLMNR und NBT-NS abschalten, SMB-Signierung erzwingen und freie Netzwerkdosen deaktivieren oder durch eine Netzwerkzugangskontrolle absichern.
Warum ist das für Unternehmen wichtig?
Ein Man-in-the-Middle-Angriff ist selten das Endziel, sondern meist ein Zwischenschritt. Mit abgefangenen Zugangsdaten bewegt sich der Angreifer weiter durchs Netz (Lateral Movement) – bis zu Servern, E-Mail-Postfächern oder der Buchhaltung.
Tückisch ist, dass der Angriff kaum Spuren hinterlässt. Auf den Rechnern der Betroffenen wird keine Schadsoftware installiert, und sie bemerken in der Regel nichts. Die Ursachen sind oft Standardeinstellungen, die in vielen Netzen seit Jahren unverändert aktiv sind.
Sind personenbezogene Daten betroffen – etwa Mandanten-, Patienten- oder Beschäftigtendaten –, kann ein solcher Vorfall außerdem Meldepflichten nach der DSGVO auslösen.
So schützen Sie sich
- Durchgängig verschlüsseln: Nutzen Sie für Webseiten, E-Mail und interne Dienste verschlüsselte Verbindungen (HTTPS bzw. TLS) und achten Sie darauf, dass Zertifikate – die digitalen Ausweise der Server – korrekt geprüft werden.
- Warnungen ernst nehmen: Zertifikatswarnungen im Browser sind ein Alarmsignal. Ihr Team sollte sie melden, statt sie wegzuklicken.
- Unsichere Protokolle abschalten: LLMNR und NBT-NS werden in den meisten Netzen nicht benötigt und lassen sich zentral deaktivieren.
- Signierung erzwingen: SMB-Signierung für Dateiserver und LDAP-Signierung für das Active Directory, die zentrale Benutzerverwaltung im Windows-Netz, verhindern, dass Anmeldungen weitergeleitet oder manipuliert werden.
- Netzzugang kontrollieren: Eine Netzwerkzugangskontrolle (etwa nach dem Standard IEEE 802.1X) lässt nur bekannte Geräte ins Netz. Eine saubere Segmentierung, also die Aufteilung in getrennte Netzbereiche, begrenzt zusätzlich, was ein eingeschleustes Gerät erreicht.
- WLAN und unterwegs absichern: Betreiben Sie Firmen-WLANs mit WPA2- oder WPA3-Enterprise, der Unternehmensvariante der WLAN-Verschlüsselung, inklusive Zertifikatsprüfung. In fremden Netzen schützt ein VPN, also ein verschlüsselter Tunnel ins Firmennetz.
- Phishing-resistente MFA: Verfahren wie FIDO2-Sicherheitsschlüssel oder Passkeys schützen auch vor Adversary-in-the-Middle-Phishing.
Wie Rootsektor unterstützt
Bei einem Netzwerk-Penetrationstest prüfen wir, ob sich ein Angreifer in Ihrem Firmennetz dazwischenschalten kann – und wie weit er mit abgefangenen Daten käme. Interne Tests führen wir wahlweise vor Ort oder remote durch. Kritische Schwachstellen melden wir schon während des Tests sofort – telefonisch oder per E-Mail an die vereinbarte Ansprechperson. Ihr Festpreisangebot nach dem Scoping erhalten Sie über unser Pentest-Angebot.