Wenn MFA umgangen wird: Warum ist das Backup Ihre letzte Verteidigungslinie?

Wie umgehen Angreifer MFA?

Meistens, ohne MFA überhaupt zu knacken. Sie stehlen den Beweis, dass MFA schon stattgefunden hat, bringen den Nutzer dazu, sie für sie abzuschließen, oder fragen so lange, bis der Nutzer zustimmt.

Ein IT-Verantwortlicher erhält einen Alarm: Ein Admin-Konto löscht seit zwei Stunden SharePoint-Bibliotheken. Keine fehlgeschlagenen Anmeldungen, keine MFA-Abfragen. Der Angreifer ist nicht eingebrochen; er nutzt eine Sitzung, die ein echter Nutzer bereits authentifiziert hat. Deshalb braucht Identitätssicherheit einen Wiederherstellungsplan dahinter, und deshalb gehört Backup as a Service in dasselbe Gespräch wie MFA.

Der bekannteste Fall von MFA-Ermüdung ist Uber im September 2022. Laut dem eigenen Sicherheitsupdate von Uber kaufte ein Angreifer das Passwort eines Auftragnehmers und schickte wiederholt Zwei-Faktor-Anfragen. Der Auftragnehmer „akzeptierte eine“, und der Angreifer erhielt Zugang zu internen Werkzeugen, darunter G-Suite und Slack.

Wie verbreitet sind Angriffe, die MFA umgehen?

Verbreitet genug, dass europäische Behörden und Anbieter sie in ihren Bedrohungsberichten eigens hervorheben. Die meisten Identitätsangriffe zielen weiterhin auf Passwörter, aber die Techniken, die gewöhnliche MFA aushebeln, gehören inzwischen zum Standardrepertoire.

• Die ENISA Threat Landscape 2025 hat zwischen Juli 2024 und Juni 2025 4.875 Vorfälle in der EU ausgewertet. Sie nennt Phishing als primären Einstiegsweg, hebt Infostealer und Session Hijacking hervor und führt MFA-Umgehung und Adversary-in-the-Middle-Angriffe unter den eingesetzten Taktiken auf. Ransomware bezeichnet sie als die folgenreichste Bedrohung für Organisationen in der EU.
• Laut Microsofts Digital Defense Report 2025 sind mehr als 97 % der Identitätsangriffe Passwortangriffe, phishingresistente MFA kann über 99 % der identitätsbasierten Angriffe blockieren, und Infostealer dienen dazu, Zugangsdaten und Browser-Sitzungstoken in großem Umfang zu erbeuten.
• Laut der Zusammenfassung von Help Net Security zum Verizon DBIR 2026 war Ransomware an 48 % der Datenpannen beteiligt und der Faktor Mensch an 62 %.

Daraus folgt nicht, dass MFA nutzlos ist. MFA, idealerweise phishingresistent, stoppt die meisten Angriffe, und für die übrigen brauchen Sie einen Plan.

Was kann ein Angreifer mit einer gekaperten Admin-Sitzung anrichten?

Alles, was dieses Konto darf. Für Ihre Systeme ist der Angreifer der legitime Nutzer, deshalb fällt authentifizierungsbasierten Kontrollen nichts auf.

• Dateien, Websites, Postfächer oder ganze Verzeichnisse löschen.
• Daten ändern oder verschlüsseln, auch mit Ransomware, die über Admin-Werkzeuge läuft.
• Backup-Jobs deaktivieren, die Aufbewahrung verkürzen oder Backup-Daten löschen, die im selben Tenant liegen.
• Eigene MFA-Methoden oder Weiterleitungsregeln für Postfächer hinzufügen, um sich festzusetzen.
• Große Datenmengen zur Erpressung herunterladen.

Microsofts Playbook nennt massenhafte Datei-Downloads, neue MFA-Methoden sowie neue oder geänderte Weiterleitungs- und Posteingangsregeln als Warnzeichen. In der von Microsoft beschriebenen AiTM-Kampagne öffneten die Angreifer kompromittierte Postfächer innerhalb von Minuten, suchten nach E-Mails zu Zahlungen und legten Posteingangsregeln an, um Antworten zu verbergen, bevor sie Rechnungsbetrug versuchten.

Die Zeit arbeitet für den Angreifer. Identitätsbasierte Einbrüche werden oft erst nach Tagen oder Wochen entdeckt, und ein Angreifer mit so viel Zeit sucht nach Ihren Backups, bevor Sie etwas bemerken.

Schützt ein Backup noch, wenn der Angreifer Admin-Rechte hat?

Ja, aber nur, wenn das Backup außerhalb der Reichweite dieses Admins liegt. Ein Backup, das Zugangsdaten oder Single Sign-on mit der Produktion teilt, kann von derselben gekaperten Sitzung deaktiviert oder gelöscht werden.

Die Grundsätze des NCSC UK für ransomware-sichere Cloud-Backups setzen den Maßstab. Zerstörerische Anfragen von Kundenkonten, auch von Administratoren, sollten verboten oder über einen separaten Kanal (Out-of-Band) freigegeben werden, Löschanfragen können für einen vereinbarten Zeitraum verzögert werden, und privilegierte Aktionen sollten Alarme auslösen.

Unsere Backups folgen demselben Gedanken. Sie sind mit Object Lock unveränderlich, eine Air-Gap-Kopie wird nach der 3-2-1-1-0-Regel vorgehalten, administrative Aktionen erfordern MFA, die Plattform wird rund um die Uhr überwacht, und Backups werden auf Malware gescannt, damit Sie nicht die Werkzeuge des Angreifers wiederherstellen.

Wie stellen Sie nach einem identitätsbasierten Angriff wieder her?

Bringen Sie zuerst die Identität unter Kontrolle, dann stellen Sie wieder her. Wer wiederherstellt, solange der Angreifer noch eine gültige Sitzung hält, riskiert, dass dieser die wiederhergestellten Daten erneut zerstört.

1. Eindämmen: Sperren Sie das Konto, widerrufen Sie Sitzungen, setzen Sie Passwörter zurück und entfernen Sie MFA-Methoden, die Sie nicht selbst hinzugefügt haben, wie es Microsofts Playbook zu Token-Diebstahl beschreibt.
2. Eingrenzen: Finden Sie mit Anmelde- und Audit-Protokollen die erste schädliche Aktion und alle Systeme, die das Konto berührt hat.
3. Sauberen Wiederherstellungspunkt wählen: einen von vor dieser ersten Aktion, nicht den neuesten.
4. Wiederherstellen: granular für Dateien und Postfächer, oder VMs sofort in einer isolierten Wiederherstellungsumgebung in einem getrennten, sauberen Netzwerk starten, um sie zuerst zu prüfen.
5. Persistenz entfernen: Posteingangsregeln, Weiterleitungen, OAuth-App-Zustimmungen und neue Geräte.
6. Melden: Nach Art. 23 NIS2-Richtlinie erfordern erhebliche Sicherheitsvorfälle eine Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden und einen Abschlussbericht innerhalb eines Monats. Eine Verletzung des Schutzes personenbezogener Daten kann außerdem nach Art. 33 DSGVO innerhalb von 72 Stunden gemeldet werden müssen.

Für kritische Workloads stellen wir mit einem 4-Stunden-SLA wieder her. Das größere Bild finden Sie in unseren Artikeln dazu, wie lange die Wiederherstellung nach einem Ransomware-Angriff dauert und wie Sie Microsoft 365 nach einem Ransomware-Angriff wiederherstellen.

Wie machen Sie es Angreifern schwerer, MFA zu umgehen?

Wechseln Sie zu phishingresistenter MFA, binden Sie Sitzungen an vertrauenswürdige Geräte und schützen Sie die Endgeräte, auf denen die Token liegen. Damit schließen Sie die meisten der genannten Lücken.

• Phishingresistente MFA: Die CISA nennt FIDO/WebAuthn und PKI-basierte Verfahren „den Goldstandard“, resistent gegen Phishing, Push-Bombing und SIM-Swapping.
• Conditional Access: Verlangen Sie konforme Geräte und prüfen Sie bei Admin-Anmeldungen Standort und Risiko.
• Token-Kontrollen: Microsoft empfiehlt Continuous Access Evaluation, Token-Schutz und kürzere Sitzungslaufzeiten.
• Endgerätesicherheit: Infostealer laufen auf Geräten, also erkennen Sie dort Malware und schließen Sie Schwachstellen. MSPs können dafür unsere EDR-Plattform mit Malware-Erkennung, Schwachstellenmanagement und MITRE-ATT&CK-Zuordnung nutzen, um diesen Service für ihre Kunden zu betreiben.
• Getrennte Admin-Identitäten: Verwalten Sie das Backup mit anderen Zugangsdaten als die Konten des Tagesgeschäfts.

Ihre nächsten Schritte

Behalten Sie MFA bei und machen Sie sie phishingresistent. Gehen Sie dann davon aus, dass eines Tages trotzdem eine Sitzung gestohlen wird, und sorgen Sie dafür, dass sich der Schaden rückgängig machen lässt. Das heißt: ein Backup, an das der Angreifer nicht herankommt, unveränderlich, mit getrennten Zugangsdaten, einer Air-Gap-Kopie und getesteten Wiederherstellungen.

Prüfen Sie heute eine Sache: Könnte Ihr Global-Admin-Konto Ihre Backups löschen? Lautet die Antwort ja oder „nicht sicher“, ist das die Lücke, die Sie zuerst schließen sollten. In unserer Übersicht zu Backup as a Service sehen Sie, wie die isolierte Ebene funktioniert.

Möchten Sie sehen, wie eine Wiederherstellung nach einem kompromittierten Admin-Konto abläuft? Vereinbaren Sie eine kostenlose 15-minütige Demo auf Deutsch, Niederländisch oder Englisch.

Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung.