Man-in-the-Middle-Angriffe: Wie Lauschangriffe funktionieren

Was ist ein Man-in-the-Middle-Angriff?

Ein Man-in-the-Middle-Angriff (MITM) liegt vor, wenn ein Angreifer sich heimlich zwischen zwei kommunizierenden Parteien positioniert – typischerweise zwischen Ihnen und einer Website, einem Server oder einem anderen Nutzer – und dabei den Datenverkehr abfängt, liest und möglicherweise verändert, ohne dass eine der beiden Parteien dies bemerkt.

Der Begriff trifft das Konzept genau: Statt einen der Endpunkte direkt anzugreifen, schiebt sich der Angreifer in den Kommunikationskanal. Aus Ihrer Perspektive sprechen Sie mit der Bank. Aus der Perspektive der Bank sprechen diese mit Ihnen. In Wirklichkeit finden beide Gespräche mit dem Angreifer statt, der Nachrichten zwischen Ihnen weiterleitet und dabei alles liest.

MITM-Angriffe können genutzt werden, um:

• Anmeldedaten und Session-Token zu stehlen
• Sensible Finanz- oder Personeninformationen abzugreifen
• Daten während der Übertragung zu verändern (z. B. Änderung des Zahlungsziels)
• Böswillige Inhalte in Webseiten einzuschleusen
• Session-Hijacking durchzuführen

Wie MITM-Angriffe funktionieren

ARP-Spoofing in lokalen Netzwerken

ARP (Address Resolution Protocol) bildet IP-Adressen auf MAC-Adressen in einem lokalen Netzwerk ab. ARP hat keine Authentifizierung – jedes Gerät kann ARP-Antworten senden und dabei behaupten, eine beliebige IP-Adresse zu sein.

Bei einem ARP-Spoofing-Angriff:

1. Der Angreifer sendet ARP-Antworten, in denen er behauptet, dass seine MAC-Adresse der IP-Adresse des Gateways (z. B. Ihres Routers) entspricht
2. Opfergeräte aktualisieren ihren ARP-Cache und beginnen, den Datenverkehr zum Gerät des Angreifers zu senden
3. Der Angreifer leitet den Datenverkehr an das echte Gateway weiter, während er alles dazwischen liest
4. Bei unverschlüsselten Verbindungen ist der vollständige Inhalt sichtbar; bei verschlüsselten Verbindungen sind Metadaten sichtbar

Dieser Angriff funktioniert in jedem gemeinsam genutzten Netzwerk – WLAN oder Ethernet – und wird trivial mit Tools wie Ettercap oder Bettercap ausgeführt.

Gefälschte Zugangspunkte

Ein Angreifer richtet einen WLAN-Hotspot mit einem Namen ein, der ein legitimes Netzwerk imitiert – „Starbucks_WiFi" statt „Starbucks WiFi". Geräte, die so konfiguriert sind, dass sie sich automatisch mit bekannten Netzwerken verbinden, können sich automatisch verbinden. Der gesamte Datenverkehr fließt durch das Gerät des Angreifers.

Dies ist besonders wirksam an Flughäfen, in Cafés und Hotels, wo Menschen routinemäßig unbekannte Netzwerke nutzen.

SSL-Stripping

SSL-Stripping ist eine Technik, die HTTPS-Verbindungen auf HTTP herunterstuft. Wenn ein Nutzer zu einer Seite navigiert, indem er nur den Domainnamen eingibt (ohne https://), ist die erste Anfrage oft HTTP. Ein Angreifer in der Mitte fängt diese HTTP-Anfrage ab, stellt im Auftrag des Opfers eine HTTPS-Verbindung mit dem echten Server her und liefert dem Opfer dann den Inhalt über HTTP – wodurch die Sicherheit herabgestuft wird, ohne dass der Nutzer es bemerkt (es sei denn, er überprüft die Adressleiste sorgfältig).

Dies war ein verheerender Angriff, bevor HSTS weit verbreitet wurde.

BGP-Hijacking

Auf der Ebene des Internet-Routings ermöglicht BGP (Border Gateway Protocol)-Hijacking Angreifern (typischerweise staatlichen Akteuren), große Teile des Internet-Datenverkehrs durch ihre Infrastruktur umzuleiten, indem sie falsche Routing-Informationen ankündigen. Dies ist in dokumentierten Vorfällen mit Datenverkehr für große Cloud-Anbieter und Kryptowährungsdienste geschehen.

Welche Abwehrmaßnahmen MITM-Angriffe tatsächlich stoppen

TLS / HTTPS

Eine ordnungsgemäße TLS-Implementierung ist die wichtigste Abwehr. Eine korrekt implementierte TLS-Verbindung bedeutet:

• Datenverkehr ist verschlüsselt und für den Abfänger unlesbar
• Die Identität des Servers wird kryptografisch über sein Zertifikat verifiziert
• Jede Manipulation der verschlüsselten Daten ist erkennbar

TLS funktioniert jedoch nur, wenn das Zertifikat ordnungsgemäß validiert wird. Ein Angreifer mit einem betrügerisch erlangten Zertifikat für die Ziel-Domain oder jemand, der das Opfer dazu bringen kann, ein gefälschtes CA-Zertifikat zu installieren, kann dennoch MITM-Angriffe auf HTTPS-Datenverkehr durchführen.

HSTS (HTTP Strict Transport Security)

HSTS teilt Browsern mit, dass eine Seite nur über HTTPS aufgerufen werden soll. Sobald ein Browser einen HSTS-Header empfängt:

• Stellt er keine HTTP-Verbindung mehr zu dieser Domain her
• Schlagen SSL-Stripping-Angriffe fehl, weil der Browser sich weigert, herabzustufen
• HSTS-Preloading ermöglicht es Browsern, mit einer integrierten Liste von reinen HSTS-Seiten ausgeliefert zu werden, was auch bei Erstbesuchen Schutz bietet

Zertifikats-Pinning

Mobile Apps und einige Web-Dienste verwenden Zertifikats-Pinning – die Anwendung vertraut nur einem bestimmten Zertifikat oder öffentlichen Schlüssel und lehnt jedes andere Zertifikat ab, selbst wenn es CA-signiert ist. Dies vereitelt Angriffe mit betrügerischen CA-ausgestellten Zertifikaten.

Abwehrmaßnahmen auf Netzwerkebene

• Dynamic ARP Inspection (DAI) auf Unternehmens-Switches validiert ARP-Pakete und verwirft gefälschte Antworten
• 802.1X-Authentifizierung im Unternehmens-WLAN verhindert gefälschte Zugangspunkt-Angriffe, indem eine Authentifizierung vor dem Netzwerkzugang erforderlich ist
• VPNs verschlüsseln den Datenverkehr, bevor er Ihr Gerät verlässt, sodass ARP-Spoofing- und gefälschte AP-Angriffe nur VPN-verschlüsselten Datenverkehr sehen

Praktischer Schutz für Nutzer

• Überprüfen Sie immer HTTPS, bevor Sie Anmeldedaten oder Zahlungsinformationen eingeben – achten Sie auf das Schloss und die korrekte Domain
• Vermeiden Sie sensible Transaktionen in öffentlichen WLANs ohne ein vertrauenswürdiges VPN
• Seien Sie skeptisch gegenüber Zertifikatsfehlern: Eine Browser-Warnung über ein ungültiges Zertifikat kann auf einen aktiven MITM-Angriff hinweisen – klicken Sie nicht durch
• Halten Sie Software aktuell: MITM-Angriffstools nutzen häufig Browser- oder Betriebssystemschwachstellen aus
• Verwenden Sie ein VPN in nicht vertrauenswürdigen Netzwerken: Ein VPN erstellt einen verschlüsselten Tunnel von Ihrem Gerät aus und verhindert, dass lokale Netzwerk-MITM-Angriffe Ihren Datenverkehr lesen
• Vermeiden Sie Netzwerke mit generischen Namen wie „Free WiFi" – überprüfen Sie Netzwerknamen mit dem Personal des Veranstaltungsorts, bevor Sie sich verbinden",