Bei einem Man-in-the-Middle-Angriff schaltet sich ein Angreifer unbemerkt zwischen zwei Kommunikationspartner.
Er kann mitlesen, Daten verändern oder sich gegenüber beiden Seiten als der jeweils andere ausgeben.
Arten von Man-in-the-Middle-Angriffen
Der Angreifer muss den Datenverkehr über sich umleiten.
Dafür gibt es verschiedene Wege, etwa gefälschte WLAN-Zugänge, ARP-Spoofing im lokalen Netz oder manipulierte Namensauflösung.
IP-Spoofing
Beim IP-Spoofing fälscht der Angreifer die Absenderadresse von Paketen, um sich als vertrauenswürdiges System auszugeben.
Im lokalen Netz kommt oft ARP-Spoofing hinzu, das den Verkehr über den Rechner des Angreifers lenkt.
DNS-Spoofing
Beim DNS-Spoofing erhält das Opfer eine falsche Antwort auf die Frage, zu welcher IP-Adresse ein Domainname gehört.
So landet es auf einem Server des Angreifers, obwohl die richtige Adresse im Browser steht.
Prävention und Abschwächung von Man-in-the-Middle-Angriffen
Die wichtigste Abwehr ist Verschlüsselung mit geprüften Zertifikaten, ergänzt durch aufmerksame Nutzer.
Sichere Kommunikationsprotokolle
HTTPS mit TLS, HSTS, DNSSEC, VPNs und Ende-zu-Ende-Verschlüsselung machen das Mitlesen und Verändern praktisch unmöglich.
Server sollten veraltete Protokolle abschalten und nur aktuelle Verschlüsselung erlauben.
Benutzerschulung
Nutzer sollten Zertifikatswarnungen nie wegklicken, öffentliche WLANs nur mit VPN nutzen und auf die richtige Adresse achten.
Bei Anmeldungen schützt zusätzlich ein zweiter Faktor.
Auswirkungen von Man-in-the-Middle-Angriffen
Gelingt der Angriff, sind Zugangsdaten, Zahlungen und vertrauliche Inhalte in Gefahr.
Finanzielle Auswirkungen
Angreifer können Überweisungen umleiten, Kartendaten abgreifen und Konten übernehmen.
Für Unternehmen kommen Kosten für Untersuchung und Schadensbehebung hinzu.
Auswirkungen auf den Ruf
Werden Kundendaten abgefangen, leidet das Vertrauen in den Anbieter.
Datenschutzverstöße können außerdem Meldepflichten und Bußgelder nach der DSGVO nach sich ziehen.
Fallstudien zu Man-in-the-Middle-Angriffen
Zwei bekannte Fälle zeigen, dass auch große Organisationen betroffen sind.
Belgacom-Angriff
2013 wurde bekannt, dass ein Geheimdienst das Netz des belgischen Telekommunikationsanbieters Belgacom unterwandert hatte.
Dabei wurden Mitarbeiter über manipulierte Webseitenaufrufe auf präparierte Server umgeleitet und ihre Rechner infiziert.
iCloud-Angriff
2014 berichteten Beobachter über einen Angriff auf iCloud-Nutzer in China, bei dem Verbindungen über ein gefälschtes Zertifikat umgeleitet wurden.
Wer die Browserwarnung ignorierte, gab seine Zugangsdaten an die Angreifer weiter.
Fazit
Man-in-the-Middle-Angriffe sind unsichtbar, aber gut vermeidbar.
Durchgängige Verschlüsselung, korrekt geprüfte Zertifikate und aufmerksame Nutzer nehmen Angreifern die Grundlage.