Man-in-the-Middle: Die unsichtbare Gefahr

Was ist ein Man-in-the-Middle-Angriff?

Cyberkriminelle versuchen mit einer mittlerweile weit verbreiteten MITM-Attacke, den Datenverkehr zwischen zwei Zielpersonen zu lesen, abzufangen oder sogar zu manipulieren. Sobald sie vertrauliche oder persönliche Daten erlangt haben, ist es für die Betrüger ein Leichtes, sich als die betroffenen Personen auszugeben. Als Privatperson könnte diese Erklärung Sie vielleicht dazu verleiten, eine MITM-Attacke als durchaus weniger bedrohlich zu betrachten, weil Sie Ihre Daten nur sehr bedacht weitergeben. Doch es gibt verschiedene gängige Arten, die eine solche Bedrohung anders beleuchten.

Verschiedene Arten von Man-in-the-Middle

Es existieren mehrere Herangehensweisen, eine MITM-Attacke durchzuführen. Das Address Resolution Protocol Spoofing (ARP-Spoofing) stellt eine häufige Form des MITM-Angriffs dar. Dabei übermittelt der Angreifer veränderte ARP-Meldungen an Host A und Host B. In diesen Meldungen wird die MAC-Adresse des Angreifers statt der MAC-Adresse des Hosts angegeben. Dies führt dazu, dass sämtliche Pakete, die eigentlich für Host A oder Host B bestimmt waren, stattdessen an den Angreifer gesendet werden. Anschließend übermittelt der Angreifer diese Pakete dem tatsächlichen Empfänger, um eine abhörbare Verbindung zu etablieren. Der Angreifer fungiert bei diesem Angriff unauffällig als Proxy und hat die Fähigkeit, den Netzwerkverkehr sogar zu manipulieren oder zu blockieren. In geswitchten Netzwerken ist dieser Angriff ebenfalls erfolgreich und lässt sich mit Programmen wie Ettercap und Wireshark kostenlos durchführen.

Bei einem möglichen Versuch eines DNS-Spoofing-Angriffs manipulieren die Angreifer die Namensauflösung, d.h. die Meldungen des Domain Name System (DNS). Dies gelingt durch das Fälschen der zu einer Domain oder Website gehörigen IP-Adresse, wodurch wir als Endnutzer beim Aufrufen einer manipulierten Website auf den Servern der Cyberkriminellen geraten – ohne dies zu merken.

Eine weitere Form des MITM-Angriffs wird in der IT-Branche als Rogue Access Point bezeichnet. Unsere gesamten Endgeräte, sei es Computer, Laptop, Smartphone oder Tablet, versuchen automatisch, sich mit dem Access Point eines WLANs zu verbinden. Ein eigener WLAN-Zugangspunkt wird von Cyberkriminellen für diese Art des MITM-Angriffs eingerichtet. Wenn wir uns mit unseren Geräten in der Nähe dieses WLANs befinden, das natürlich nicht gesichert ist, kann sich unser Gerät automatisch mit diesem verbinden. Somit ist es dem Angreifer möglich, unseren gesamten Netzwerkverkehr uneingeschränkt zu lesen und diesen umfangreich zu beeinflussen.

Eine letzte und dennoch sehr beliebte MITM-Methode ist der DHCP-basierte Angriff. Bei dieser Art von Angriff gibt sich ein Hacker innerhalb eines LAN als „echter“ DHCP-Server aus, während er versucht, den legitimen Verkehr gemäß DHCP (Dynamic Host Configuration Protocol) zu imitieren. Ein vorgetäuschter DHCP-Server ermöglicht dem Angreifer, die Vergabe von IP-Adressen zu steuern, beliebige Standardgateways und DNS-Server einzutragen und so den Datenverkehr auf seinen Rechner umzuleiten, um ihn abzuhören oder zu manipulieren. Dies nennt man auch DHCP-Spoofing. Der Angreifer muss sich für diese Art von Angriff – wie auch beim ARP-Spoofing – zwingend im gleichen Netzwerk befinden.

Man-in-the-Middle-Angriff erkennen

Es ist nicht immer einfach, MITM-Angriffe zu erkennen, doch ihr Auftreten kann zu Abweichungen in der normalen Netzwerkaktivität führen, die selbst von Ihnen als Nutzer bemerkt werden können.

Anzeichen wie unregelmäßige, plötzliche und/oder wiederholte Verbindungsabbrüche können darauf hinweisen, dass Sie Opfer einer MITM-Attacke geworden sind: Um Ihre Passwörter und Benutzernamen abzufangen, trennen Cyberkriminelle die Internetverbindung. Sobald wir die Verbindung wiederherzustellen versuchen, können sie sich dazwischen schalten.

Bitte achten Sie auch auf die Adresszeile Ihres Browsers, während Sie surfen: Oft stellen seltsame Adressen in der Adressleiste des Browsers ein weiteres Warnzeichen dar. Wenn dort „https://go00gle.com“ statt der korrekten Adresse „https://www.google.com“ erscheint, sollte man solche Adressen meiden.

Seien Sie vorsichtig beim Verbinden mit öffentlichen Netzwerken, da die Sicherheitsvorkehrungen hier in der Regel weniger streng sind als in privaten oder Firmennetzwerken. Dies erleichtert es Cyberkriminellen, dazwischenzugehen. Um uns dazu zu bringen, eine Verbindung herzustellen, schaffen Angreifer betrügerische Netzwerke mit bekannten Namen wie „WiFi_FlixBus“ anstelle des richtigen Namens „FlixBus FreeWifi“. Das öffentliche WLAN des Angreifers ermöglicht es ihnen, alles zu sehen, was Sie über dieses Netzwerk senden.

Man-in-the-Middle-Angriff vorbeugen

Zur Vorbeugung einer MITM-Attacke können Sie unterschiedliche Maßnahmen ergreifen.

Ihr Router spielt eine entscheidende Rolle in Ihrem Netz. Wichtig ist, dass Sie sichere Anmeldedaten verwenden oder einen mit einem starken Passwort verbundenen Netzwerknamen auswählen.

Vergewissern Sie sich, dass die Webseiten, auf die Sie zugreifen, mit SSL verschlüsselt sind. Das „s“ in „HTTPS“ signalisiert eine geschützte Verbindung. Diese Verschlüsselung ist schon seit geraumer Zeit für Betreiber von Websites zwingend vorgeschrieben.

Immer öfter wird die zweistufige Authentifizierung verwendet, da sie eine weitere Sicherheitsstufe beim Login darstellt. Diese Funktion sollte überall dort aktiviert werden, wo sie verfügbar ist.

Um Ihr Gerät vor möglichen Angriffen zu schützen, sollten Sie Downloads und die Eingabe sensibler Daten vermeiden, wenn Sie öffentliche WLAN-Netzwerke nutzen.

Die Verwendung sicherer Passwörter ist entscheidend. Alternativ können Sie einen Passwort-Manager einsetzen, um komplexe Passwörter zu generieren und zu speichern.

Überprüfen Sie vor der Eingabe von Login-Daten, ob das SSL-Zertifikat der Website noch gültig ist, um Ihre Daten zu schützen.

Achtung: Falls Sie viel unterwegs sind und vor allem in öffentlichen Netzwerken ohne Sorge surfen möchten, ist es empfehlenswert und fast schon notwendig, einen Virtual-Private-Network-(VPN-)Tunnel zu nutzen. Ein solches VPN-Netzwerk zeigt Ihre tatsächliche IP-Adresse nicht an. Stattdessen sehen Suchmaschinen und Webseitenbetreiber eine IP-Adresse aus dem VPN. Cyberkriminelle haben somit weniger Chancen, Ihre Daten durch MITM-Angriffe abzufangen.

Verweise

[1] Digital Guide IONOS (17.04.2024)
https://www.ionos.de/digitalguide/server/sicherheit/man-in-the-Middle-attack-angriffsmuster-im-ueberblick/

[2] Kaspersky (17.04.2024)
https://www.ionos.de/digitalguide/server/sicherheit/man-in-the-Middle-attack-angriffsmuster-im-ueberblick/

[3] Keeper Security (17.04.2024)
https://www.keepersecurity.com/blog/de/2023/10/16/how-to-detect-man-in-the-Middle-attacks/