MFA Fatigue Angriffe: So schützt du Entra ID vor Push-Bombing

Definition

MFA Fatigue Angriffe sind Social-Engineering-Angriffe auf Multi-Factor Authentication (MFA), bei denen Angreifer eine Flut an Push-Benachrichtigungen erzeugen, bis ein Benutzer eine Anfrage bestätigt. Es handelt sich nicht um eine generelle Schwäche von MFA, sondern um den Missbrauch von Push-basierter MFA und menschlicher Routine.

Einleitung

Viele Firmen haben MFA in Entra ID aktiviert, aber der Alltag ist unordentlich: zu viele Prompts, zu wenig Regeln, und niemand schaut regelmäßig auf Muster in den Anmeldedaten. Genau das nutzen MFA Fatigue Angriffe aus: Der Angreifer braucht nur einen Moment, in dem jemand „Genehmigen“ klickt. Ziel ist fast nie die MFA-App selbst, sondern der Zugang zu E-Mail, VPN oder SSO-Apps.

Wie MFA Fatigue Angriffe typischerweise funktionieren

Fast immer beginnt es mit Phishing oder bereits geleakten Passwörtern: Der Angreifer hat Benutzername und Passwort und stößt damit die Anmeldung an. Danach erzeugt er wiederholt MFA-Anfragen (MFA Bombing), bis der Benutzer aus Müdigkeit, Frustration oder Verwirrung bestätigt.

• Variante 1: Reines Push-Bombing ohne Kontakt, bis ein „Fehlklick“ passiert.
• Variante 2: Push + Anruf/Chat („IT-Support“), um Druck aufzubauen (Social Engineering).
• Variante 3: Timing-Trick: Anfragen kommen zu Randzeiten oder während Meetings, wenn Aufmerksamkeit fehlt.

SSO verschärft die Auswirkungen: Eine bestätigte MFA-Anfrage kann Zugriff auf mehrere Anwendungen in einem Schritt geben.

Risiken und Auswirkungen für Organisationen

Der Schaden entsteht selten durch „nur“ eine erfolgreiche Anmeldung, sondern durch das, was danach schnell möglich wird: Postfach-Zugriff, interne Kommunikation, Datenabfluss, Passwort-Resets und das Umgehen weiterer Kontrollen. Besonders kritisch sind privilegierte Konten oder Rollen, wenn Privileged Access Management (PAM) und PIM nicht sauber greifen.

Auch wirtschaftlich ist das Thema klar: Jede Stunde Incident-Analyse, jedes gesperrte Konto und jedes Wiederherstellen von Zugriffen kostet Betriebskapazität. Zusätzliche Kosten entstehen, wenn Logs fehlen oder Vorfälle nicht sauber nachvollziehbar dokumentiert sind.

Gegenmaßnahmen in Entra ID: Konfiguration, die wirklich hilft

Gute Abwehr ist eine Kombination aus „Prompts besser machen“, „Spam begrenzen“ und „Riskosignale nutzen“. Die wichtigsten Stellhebel:

• Number Matching (Nummernabgleich): reduziert blindes „Approve“, weil ein Code/Number aktiv verglichen werden muss.
• Rate Limiting / Ratenbegrenzung: senkt die Wirksamkeit von Prompt-Bombing, weil nicht unbegrenzt Anfragen generiert werden können.
• Conditional Access: strengere Regeln bei riskanten Kontexten (neues Gerät, unbekannter Standort, ungewöhnliche Anmeldung, VPN-Zugriff).

Zusätzlich lohnt sich eine klare Trennung: Für Admin- und Hochrisiko-Zugänge MFA-Methoden wählen, die phishing-resistente Authentifizierung unterstützen (z. B. FIDO2, Passkeys oder Security Keys wie YubiKey). SMS-Codes sind als Fallback möglich, aber als Standard oft nicht die beste Wahl, weil sie zusätzliche Risiken (z. B. SIM-Swapping) mitbringen.

Nutzeraufklärung: Das eine Verhalten, das den Angriff stoppt

Awareness bei MFA ist kein Allgemeinplatz, sondern eine konkrete Handlungsanweisung. Endnutzer müssen genau wissen, was zu tun ist, wenn Push-Benachrichtigungen „aus dem Nichts“ kommen:

• Niemals bestätigen, wenn keine Anmeldung bewusst gestartet wurde.
• Immer ablehnen und den Vorfall melden (klarer Kanal, kurzer Prozess).
• Bei wiederholten Prompts: sofort Passwort ändern und Session prüfen lassen.

Der praktische Nutzen: Weniger Fehl-Approvals, weniger Tickets im Nachgang, weniger Betriebsunterbrechung für das IT-Team.

Erkennung und Monitoring: MFA-Fatigue nicht erst im Nachhinein sehen

Ein einzelner abgelehnter Prompt ist Alltag. Ein Muster aus vielen MFA-Anfragen in kurzer Zeit, wechselnden Ablehnungen und einer späteren Bestätigung ist ein Signal. Diese Signale gehören ins Monitoring von Entra ID Sign-in Logs und in ein SIEM (Security Information and Event Management) wie Microsoft Sentinel.

Sentinel bringt dabei nicht nur „mehr Sicherheit“, sondern senkt Betriebskosten: Alarme werden korreliert, Muster automatisiert erkannt und Untersuchungen schneller priorisiert. So wird aus Log-Daten ein Prozess, der Angriffe früher stoppt und teure Datendiebstähle wahrscheinlicher verhindert.

Mini-Story aus der Praxis

Ein Mitarbeiter bekommt während eines Termins mehrere MFA-Push-Anfragen auf das Telefon. Genervt bestätigt er eine Anfrage, „damit es aufhört“. Minuten später werden aus dem Postfach neue Regeln angelegt, um Mails umzuleiten, und der Angreifer versucht, über SSO weitere Zugriffe zu bekommen.

Der Unterschied zwischen kleinem und großem Vorfall war hier nicht ein neues Tool, sondern: Number Matching, Rate Limiting, und ein Alarm auf ungewöhnliche MFA-Anfrage-Serien.

Alternativen: Warum passwortlos MFA-Fatigue entschärft

Passwordless authentication reduziert die Angriffsfläche, weil der Angreifer nicht mehr mit „Passwort + Push“ arbeiten kann. Passkeys, Windows Hello for Business oder FIDO2/Security Keys setzen stärker auf gerätegebundene Schlüssel und Bestätigung mit sicherem Kontext, statt auf reine Push-Approval-Mechanik.

Das heißt nicht, dass alles sofort passwortlos sein muss. Aber für privilegierte Zugänge und häufig angegriffene Rollen ist es oft der wichtigste Schritt gegen MFA-Fatigue-Angriffe.

Wann externe Unterstützung sinnvoll wird

Externe Hilfe lohnt sich, wenn MFA-Methoden, Conditional Access, Monitoring und Incident-Abläufe zusammenpassen müssen und intern niemand Kapazität für den laufenden Betrieb hat. Typische Auslöser sind wiederkehrende MFA-Prompts bei Benutzern, uneinheitliche Richtlinien oder fehlende Auswertung der Sign-in- und MFA-Daten.

Entscheidend ist nicht ein einmaliges Projekt, sondern ein sauberer Betrieb: Regeln pflegen, Alarme tunen, Vorfälle dokumentieren und die Schutzwirkung messbar halten.