Direkte Antwort
MFA-Fatigue-Angriffe, auch „Prompt-Bombing" genannt, treten auf, wenn jemand mit einem bereits bekannten Passwort immer wieder Anmeldebestätigungsanfragen auslöst, bis ein Mitarbeiter auf „Bestätigen" tippt – einfach um das Vibrieren zu beenden. Der Angriff umgeht die Multi-Faktor-Authentifizierung nicht. Er nutzt stattdessen einen müden, abgelenkten Menschen aus. Du kannst ihn stoppen, indem du einfache Bestätigungsaufforderungen durch Zahlenabgleich oder phishing-resistente Methoden wie Passkeys ersetzt, Anmeldungen per bedingtem Zugriff einschränkst und deinem Team eine klare Regel mitgibst: Genehmige niemals eine Aufforderung, die du nicht selbst ausgelöst hast.
Key Takeaways
Aktiviere noch diese Woche den Zahlenabgleich bei jeder Push-basierten MFA-Methode – das ist die wirkungsvollste Änderung, die du vornehmen kannst, ohne etwas Neues kaufen zu müssen.
Führe Passkeys oder FIDO2-Sicherheitsschlüssel zunächst für Administratoren, die Finanzabteilung und Führungskräfte ein und weite sie dann auf den Rest des Teams aus.
Konfiguriere bedingten Zugriff so, dass Anmeldungen nur von verwalteten Geräten und erwarteten Standorten aus möglich sind.
Fasse Geräteverschlüsselung, Patching und Fernlöschung in einem zentralen System zusammen – egal ob du es selbst betreibst oder an einen Anbieter wie deeploi übergibst.
Gib allen eine Regel mit auf den Weg: Lehne jede Aufforderung ab, die du nicht selbst ausgelöst hast, und melde sie sofort.
Wie funktioniert ein MFA-Fatigue-Angriff eigentlich?
Der Angreifer beginnt mit einem Passwort, das bereits funktioniert. Alles danach ist Druck, Timing und Geduld.
Der typische Ablauf sieht so aus:
- Das Passwort wird offengelegt. Es stammt von einer Phishing-Seite, einem auf einer gehackten Website wiederverwendeten Passwort oder Malware, die gespeicherte Anmeldedaten aus einem Browser abgegriffen hat.
- Der Angreifer versucht, sich anzumelden. Dein Identitätsanbieter macht seinen Job und sendet eine Push-Benachrichtigung an das Handy des Mitarbeiters.
- Der Angreifer versucht es weiter. Zehn Aufforderungen, fünfzig Aufforderungen – oft spät in der Nacht oder an einem hektischen Morgen. Jeder fehlgeschlagene Versuch löst eine neue Aufforderung aus.
- Jemand tippt auf „Genehmigen". Vielleicht, um die Störung zu beenden. Vielleicht, weil er annimmt, dass eine Arbeits-App eine Panne hat und sich neu authentifiziert.
- Ein anschließender Anruf besiegelt das Ganze. Der Angreifer schreibt dem Mitarbeiter eine Nachricht oder ruft ihn an, gibt sich als IT-Support aus, entschuldigt sich für das „Systemproblem" und bittet ihn, die nächste Anfrage zu genehmigen.
Dieser letzte Schritt hat das „Prompt-Bombing" von einem Ärgernis zu einer zuverlässigen Methode gemacht. Die Sicherheitsvorfälle bei Uber und Cisco im Jahr 2022 sind bekannte Beispiele dafür, wie Push-Spam mit dem Vortäuschen einer internen IT-Identität kombiniert wurde.
Sprachbasiertes Social Engineering ist mittlerweile ein ernstzunehmender Angriffsweg für sich. Mandiant stellte fest, dass Voice-Phishing bei 11 % der im Jahr 2025 untersuchten Vorfälle der ursprüngliche Infektionsvektor war – noch vor E-Mail-Phishing mit 6 % – und dass Unternehmen schädliche Aktivitäten in 52 % der Fälle intern entdeckten, gegenüber 43 % im Jahr zuvor (Mandiant). Ein überzeugender Anruf passt natürlich gut zu einem Telefon, das nicht aufhört zu vibrieren.
Die Erfolgsquote pro Versuch ist gering – genau deshalb versenden Angreifer so viele. In einem Datensatz von 15.000 Push-basierten Unternehmensangriffen, die zwischen Juni 2023 und Mai 2024 erfasst wurden, akzeptierten Nutzer 5 % der betrügerischen Push-Benachrichtigungen (Cisco Duo). Einer von zwanzig reicht völlig aus, wenn die Wiederholung des Angriffs nichts kostet.
Die Erkenntnis, die dein Team braucht, ist kurz und bündig: Wenn eine Aufforderung eintrifft, die niemand ausgelöst hat, ist das dahinterstehende Passwort bereits kompromittiert. Die Aufforderung ist nicht das Problem. Sie ist der Alarm.
Warum ist Push-basierte MFA das schwache Glied?
Eine einfache Aufforderung zum Bestätigen oder Ablehnen erfordert nur einen Fingertipp und liefert kaum Kontext. Für den Angreifer gibt es keine Hürde, und die Person mit dem Handy in der Hand erhält keine hilfreichen Informationen.
Vergleiche das mit einem Einmalcode aus einer Authentifizierungs-App. Der Nutzer muss die App öffnen, sechs Ziffern ablesen und sie auf dem Bildschirm eingeben, den er gerade vor sich hat. Ist kein Anmeldebildschirm geöffnet, hat der Code nirgendwo hinzugehen. Dieser geringe Mehraufwand vereitelt den Angriff – denn Fatigue funktioniert nur, wenn die falsche Antwort genauso einfach ist wie die richtige.
Push-Benachrichtigungen sind gerade deshalb so beliebt geworden, weil sie reibungslos funktionieren, und sie stellen nach wie vor eine deutliche Verbesserung gegenüber reinen Passwörtern dar. Es geht nicht darum, sie abzuschaffen. Es geht darum, gerade so viel Kontext und Aufwand hinzuzufügen, dass ein reflexartiges Antippen kein Konto preisgeben kann. Durch KI-generierte Köder sind die begleitenden Nachrichten zudem schwerer zu erkennen – weshalb sich moderne Phishing-Abwehrmaßnahmen für KMUs mittlerweile eher auf technische Kontrollen konzentrieren als auf das Aufspüren von Grammatikfehlern.
Warum sind wachsende Teams ohne eigene IT-Abteilung leichte Ziele?
Angreifer wählen ihre Ziele danach aus, wie viele Prozesse ein Unternehmen hat – nicht danach, wie viele Mitarbeiter es beschäftigt. Ein Startup mit 40 Mitarbeitern, das Microsoft 365 nutzt, verfügt über Kundendaten, Zahlungsdetails und ein Postfach, über das Rechnungen freigegeben werden können. Meistens gibt es niemanden, der die Anmeldeprotokolle überwacht.
Drei Schwachstellen tauchen in kleineren Teams immer wieder auf:
- Niemand überprüft die Protokolle. Wiederholte abgelehnte MFA-Versuche aus einem unbekannten Land liegen in der Admin-Konsole ungelesen vor.
- Niemand ist für die Meldung zuständig. Ein Mitarbeiter, der seltsame Aufforderungen erhält, weiß nicht, ob er den Gründer, den Büroleiter oder einen Slack-Kanal benachrichtigen soll – also tippt er auf „Genehmigen" und macht weiter.
- Niemand hat klare Erwartungen festgelegt. Wenn Sicherheitsmaßnahmen nie erklärt wurden, betrachten Mitarbeiter solche Aufforderungen eher als technisches Ärgernis denn als Warnsignal.
Die Verhaltensdaten bestätigen das. In einer Umfrage unter 7.500 Mitarbeitern in 15 Ländern gaben 71 % zu, riskante Handlungen vorgenommen zu haben – etwa ein Passwort wiederverwendet oder einen Link von einem unbekannten Absender angeklickt zu haben –, und 59 % waren sich entweder nicht sicher, ob der Schutz ihres Unternehmens zu ihren Aufgaben gehört, oder verneinten es (Proofpoint).
Schulungen allein schließen diese Lücke selten, und die meisten kleinen Unternehmen führen kaum welche durch. In der Umfrage der britischen Regierung aus dem Jahr 2025 hatten 15 % der Kleinstunternehmen und 34 % der kleinen Unternehmen in den vorangegangenen 12 Monaten Schulungen oder Sensibilisierungsmaßnahmen zur Cybersicherheit angeboten (Britisches Ministerium für Wissenschaft, Innovation und Technologie sowie Innenministerium). Wenn du abwägst, wo du deine Energie investieren sollst, lohnt es sich, die Erkenntnisse zu den Ergebnissen von Security-Awareness-Schulungen zu lesen, bevor du einen weiteren Kurs buchst.
Auch der Fachkräftemangel ist real. Eine Studie der britischen Regierung aus dem Jahr 2026 ergab, dass 57 % der Unternehmen eine grundlegende Lücke bei den technischen Cybersicherheitskompetenzen aufwiesen – ein Anstieg gegenüber 49 % im Vorjahr –, und dass 47 % der für die Sicherheit Verantwortlichen kein Vertrauen in ihre Fähigkeit hatten, einen Sicherheitsvorfall zu bewältigen, ohne diese Verantwortung an jemanden ausgelagert zu haben (Britisches Ministerium für Wissenschaft, Innovation und Technologie).
Was verhindert MFA-Fatigue-Angriffe, bevor ein Konto kompromittiert wird?
Zwei Änderungen erledigen den Großteil der Arbeit: Entweder macht man es unmöglich, die Aufforderung blind zu bestätigen, oder man entfernt die Aufforderung vollständig.
Zahlenabgleich und zusätzlicher Kontext in der Aufforderung
Beim Zahlenabgleich wird auf dem Anmeldebildschirm eine zweistellige Zahl angezeigt, die der Nutzer in seine Authentifizierungs-App eintippen muss. Ein einfaches Antippen reicht nicht mehr aus. Schaut der Mitarbeiter nicht auf einen Anmeldebildschirm, hat er keine Zahl zum Eingeben – und der Angriff scheitert an dieser Stelle.
Microsoft Authenticator erzwingt den Zahlenabgleich für Push-Benachrichtigungen, und andere große Anbieter bieten vergleichbare Optionen an. Aktiviere auch den zusätzlichen Kontext: Durch die Anzeige des Anwendungsnamens und des Anmeldeorts in der Aufforderung sieht ein Mitarbeiter „Amsterdam", obwohl er in München sitzt.
Sei ehrlich, was die Grenzen angeht. Jemand am Telefon, der sich als IT-Support ausgibt, kann eine hilfsbereite Person immer noch dazu bringen, die Zahl vorzulesen. Der Zahlenabgleich verhindert versehentliche Bestätigungen, nicht manipulierte. Wenn du ganz von vorn anfängst, erklärt dieser Schritt-für-Schritt-Leitfaden zur 2FA-Einführung die Abfolge für eine unternehmensweite Umstellung.
Phishing-resistente MFA: Passkeys und Sicherheitsschlüssel
Passkeys und FIDO2-Hardware-Sicherheitsschlüssel sind die sicherste verfügbare Lösung für kleine Unternehmen. Sie binden die Anmeldung an die jeweilige Website oder App und an das physische Gerät vor dem Nutzer. Es gibt keine Aufforderung zur Bestätigung und keinen Code, den man vorlesen muss – daher funktionieren weder Ermüdungsangriffe noch Phishing von Zugangsdaten.
Das ist längst keine Nischenlösung mehr. Bis Mai 2024 wurden Passkeys bereits mehr als 1 Milliarde Mal zur Authentifizierung von Nutzern in über 400 Millionen Google-Konten verwendet (Google). Ein praktischer Einstieg: Führe Passkeys zunächst für Administratoren, die Finanzabteilung und Führungskräfte ein und weite die Nutzung dann schrittweise aus.
Was solltest du neben stärkerer MFA noch einrichten?
Bedingter Zugriff und Anmelderichtlinien
Bedingter Zugriff entscheidet darüber, wann eine Anmeldung überhaupt erlaubt ist. Du kannst ein verwaltetes, richtlinienkonformes Gerät vorschreiben, Anmeldungen auf erwartete Länder beschränken und eine vollständige Neuauthentifizierung erzwingen, wenn etwas ungewöhnlich erscheint – etwa ein unmögliches Reisemuster zwischen zwei Anmeldungen.
Das hat zur Folge, dass ein gestohlenes Passwort nicht mehr ausreicht, um überhaupt eine Sicherheitsabfrage auszulösen. Diese Regeln bilden den praktischen Kern der Zero-Trust-Sicherheit für kleinere Unternehmen, und die meisten davon sind bereits in dem von dir genutzten Microsoft 365- oder Google Workspace-Abo enthalten. In Kombination mit zentraler Authentifizierung und Netzwerkkontrollen hast du so eine einzige Stelle, an der du siehst, wer Zugriff erhält.
Zentrale Geräteverwaltung und automatische Updates
Konto- und Gerätesicherheit sind keine getrennten Projekte. Infostealer-Malware liest gespeicherte Passwörter aus Browsern aus, und diese Passwörter liefern die Grundlage für den nächsten Fatigue-Angriff. Verizons Analyse von Datenpannen aus dem Jahr 2025 ergab, dass 46 % der untersuchten Systeme, die von Infostealern mit möglichen Unternehmens-Anmeldedaten kompromittiert wurden, keine vom Unternehmen verwalteten Geräte waren (Verizon). Auf nicht verwalteten Laptops lecken Zugangsdaten ab.
Eine zentrale Geräteverwaltung schließt diese Lücke. Festplattenverschlüsselung mit BitLocker oder FileVault, automatische Sicherheitspatches, durchgesetzte Passwortstandards und die Möglichkeit, ein Gerät aus der Ferne zu sperren oder zu löschen – all das begrenzt den Schaden, den ein kompromittiertes Konto anrichten kann. Jemand muss dafür verantwortlich sein. In Unternehmen ohne IT-Abteilung fällt diese Rolle entweder einer Person zu, die die IT quasi nebenbei übernommen hat, oder einer Plattform wie deeploi, wo Geräte- und Sicherheitsrichtlinien zentral angewendet werden und die technischen Nachweise für Audits dokumentiert bleiben.
Das Offboarding gehört in dieselbe Kategorie. Wenn Konten am letzten Arbeitstag gesperrt und Geräte gelöscht werden, verschwinden die veralteten Zugangsdaten, auf die Angreifer so gern zurückgreifen – denn niemand bemerkt Aufforderungen für ein Postfach, das niemand mehr liest.
Wie solltest du reagieren, wenn jemand wiederholte Aufforderungen meldet?
Behandle eine Flut unerwarteter Anmeldeaufforderungen als aktuellen Vorfall. Das Passwort ist bereits abgeflossen.
- Setz das Passwort sofort von einem sauberen Gerät aus zurück, über eine Seite, die der Mitarbeiter selbst aufruft.
- Sperre alle aktiven Sitzungen in der Microsoft 365- oder Google Workspace-Verwaltungskonsole. Eine Passwortänderung allein reicht nicht aus, um einen Angreifer mit einem gültigen Sitzungstoken abzumelden.
- Überprüfe die Anmeldeprotokolle auf erfolgreiche Anmeldungen von unbekannten Standorten oder Geräten.
- Überprüfe die registrierten MFA-Methoden und entferne alles, was der Angreifer hinzugefügt hat. So verschafft er sich nach einem Reset erneut Zugang.
- Überprüfe das Postfach auf neue Weiterleitungsregeln, Posteingangsregeln und neu autorisierte Drittanbieter-Apps.
- Schreib alles auf. Was passiert ist, wann, welche Konten betroffen waren und was du unternommen hast.
Die Reaktionsgeschwindigkeit hängt von der Vorbereitung ab – und die meisten kleinen Unternehmen sind nicht vorbereitet. In der britischen Regierungsumfrage für 2025/2026 verfügten nur 21 % der Kleinstunternehmen über einen formellen Notfallplan, verglichen mit 57 % der mittelständischen Unternehmen (Britisches Ministerium für Wissenschaft, Innovation und Technologie sowie Innenministerium). Dieselbe Umfrage ergab, dass 43 % der Kleinstunternehmen eine Zwei-Faktor-Authentifizierung vorschrieben – ein Anstieg von 35 % –, die Entwicklung geht also in die richtige Richtung.
Ein einseitiger Plan mit einem namentlich genannten Ansprechpartner ist besser als ein ausgeklügeltes Handbuch, das niemand findet. Sag deinem Team, wo es Vorfälle melden soll, und gib niemandem das Gefühl, sich zu blamieren, wenn er einen Fehlalarm auslöst. Unser kurzer Leitfaden zum Umgang mit verdächtigen E-Mails lässt sich gut in einem Slack-Kanal anheften, und die ersten 60 Minuten nach einem Phishing-Klick folgen derselben Eindämmungslogik.
Warum ist das für Compliance und Versicherungen wichtig?
Multi-Faktor-Authentifizierung ist mittlerweile eine Grundvoraussetzung und kein Bonus mehr. Die NIS2-Anforderungen traten in Deutschland im Dezember 2025 in Kraft, ISO 27001 erwartet dokumentierte Zugriffskontrollen, und Fragebögen für Cyberversicherungen fragen nach der Authentifizierung, bevor sie fast alles andere abfragen.
Die Frage wird immer konkreter. Aus „Nutzt ihr MFA?" wird „Welche Art von MFA, für welche Konten – und könnt ihr das nachweisen?" Wer das mit Zahlenabgleich oder Passkeys beantworten kann – gestützt durch eine exportierbare Liste registrierter Nutzer und verwalteter Geräte –, macht Audits und Vertragsverlängerungen deutlich weniger mühsam. Für einen breiteren Überblick ordnet unser Cybersicherheitsleitfaden für kleine Unternehmen diese Anforderungen konkreten Kontrollmaßnahmen zu.
Häufig gestellte Fragen
Können MFA-Fatigue-Angriffe bei SMS- oder E-Mail-Codes auftreten?
Nicht auf dieselbe Weise. Ein Code muss aktiv gelesen und irgendwo eingegeben werden – daher ist es viel schwieriger, eine unerwartete SMS durch bloße Wiederholung auszunutzen. Dennoch ist SMS keine sichere Alternative: Codes können in Echtzeit per Phishing abgefangen und Telefonnummern durch SIM-Swapping gekapert werden. Steige lieber auf Zahlenabgleich oder Passkeys um, anstatt auf SMS zurückzugreifen.
Reicht es aus, Push-Benachrichtigungen zu deaktivieren, um diese Angriffe zu verhindern?
Das beseitigt zwar diesen konkreten Angriffsweg, drängt dein Team aber zu schwächeren Methoden und mehr Reibung. Die Aufforderung selbst zu verbessern ist der sinnvollere Schritt. Behalte Push-Benachrichtigungen bei, verlange Zahlenabgleich und zeige App-Namen sowie Anmeldeort an, damit Nutzer jede Anfrage einordnen können.
Löst der Zahlenabgleich das Problem vollständig?
Er verhindert versehentliche Genehmigungen, die den Großteil des Risikos ausmachen. Er hält jedoch keinen Angreifer auf, der einen Mitarbeiter anruft, sich als IT-Support ausgibt und ihn dazu bringt, die Zahl einzugeben. Passkeys und Hardware-Sicherheitsschlüssel beseitigen diese Schwachstelle, da es nichts gibt, was ein Nutzer am Telefon vorlesen könnte.
Wie kann ich feststellen, ob mein Unternehmen bereits ins Visier genommen wurde?
Öffne die Anmeldeprotokolle in Microsoft Entra oder der Google Workspace-Verwaltungskonsole und filtere nach fehlgeschlagenen oder abgelehnten MFA-Versuchen. Wiederholte Ablehnungen für ein Konto von einem unbekannten Standort oder einer unbekannten IP-Adresse sind das deutlichste Signal. Frag auch dein Team direkt – viele ignorieren seltsame Aufforderungen stillschweigend, ohne sie zu erwähnen.
Was soll ein Mitarbeiter tun, wenn er eine Aufforderung erhält, die er nicht ausgelöst hat?
Ablehnen, keine Links in damit verbundenen Nachrichten öffnen und den Vorfall sofort über den vereinbarten Kanal melden. Anschließend sollte die IT-verantwortliche Person als Erstes das Passwort zurücksetzen, aktive Sitzungen beenden und die für das Konto registrierten MFA-Methoden überprüfen.
