ScamLens
Kritisch Durchschnittlicher Schaden: $10,000 Typische Dauer: 1-14 days

Man-in-the-Middle-Angriff: Vollständiger Schutzleitfaden

Ein Man-in-the-Middle-Angriff (MITM) tritt auf, wenn ein Cyberkrimineller heimlich die Kommunikation zwischen zwei Parteien abfängt und möglicherweise verändert, die glauben, direkt miteinander zu kommunizieren. Der Angreifer positioniert sich zwischen dem Opfer und einem legitimen Dienst – wie einer Banking-Website, einem E-Mail-Anbieter oder einem Unternehmensnetzwerk – um sensible Daten wie Anmeldedaten, Finanzinformationen und persönliche Details zu erfassen. Nach Angaben des FBI Internet Crime Complaint Center tragen MITM-Angriffe zu Verlusten von über 2,4 Milliarden US-Dollar pro Jahr allein in den Vereinigten Staaten bei, wobei einzelne Opfer durchschnittlich 10.000 US-Dollar pro Vorfall verlieren. Diese Angriffe treten am häufigsten in ungesicherten öffentlichen WLAN-Netzwerken in Cafés, Flughäfen und Hotels auf, wo Angreifer leicht unverschlüsselte Daten abfangen können. Allerdings umfassen anspruchsvollere Varianten DNS-Spoofing, SSL-Stripping, E-Mail-Hijacking und Session-Hijacking, die selbst scheinbar sichere Verbindungen gefährden können. Der durchschnittliche MITM-Angriff bleibt 1-14 Tage unentdeckt, während denen Kriminelle Kommunikation überwachen, Anmeldedaten für mehrere Konten sammeln und betrügerische Transaktionen durchführen können. Das FBI berichtet, dass Business-E-Mail-Compromise-Angriffe – eine spezifische Art von MITM-Angriffen – 2023 zu Verlusten von 2,9 Milliarden US-Dollar führten. Die Gefahr von MITM-Angriffen liegt in ihrer Unsichtbarkeit für Opfer. Im Gegensatz zu Phishing-E-Mails, die offensichtliche Warnsignale enthalten können, präsentiert ein erfolgreicher MITM-Angriff das, was wie die legitime Website, der E-Mail-Dienst oder die Anwendungsoberfläche aussieht. Opfer geben ihre Anmeldedaten unwissentlich direkt an Angreifer weiter, während sie glauben, sicher auf ihre Konten zuzugreifen. Sobald Anmeldedaten erfasst sind, handeln Angreifer schnell, um Bankkonten zu plündern, unbefugte Einkäufe zu tätigen, auf Unternehmenssysteme zuzugreifen oder gestohlene Anmeldedaten auf Dark-Web-Marktplätzen für 50-500 US-Dollar pro Konto zu verkaufen, je nach Wert des kompromittierten Dienstes.

Häufige Methoden So erkennen Sie es So schützen Sie sich Reale Beispiele Häufig gestellte Fragen Wo melden

Häufige Methoden

  • • Böswillige Twin-WLAN-Netzwerke: Angreifer erstellen gefälschte Wireless-Zugriffspunkte mit Namen, die identisch oder sehr ähnlich zu legitimen öffentlichen WLAN-Netzwerken sind (wie "Starbucks_Guest" oder "Airport_Free_WiFi"), und erfassen automatisch den gesamten Datenverkehr von Geräten, die sich mit diesen bösartigen Netzwerken verbinden.
  • • SSL-Stripping-Angriffe: Kriminelle stufen sichere HTTPS-Verbindungen zu unverschlüsseltem HTTP herab, indem sie die ursprüngliche Verbindungsanforderung abfangen, wodurch sie alle übertragenen Daten im Klartext anzeigen können, während der Browser des Opfers immer noch anzeigt, dass eine sichere Verbindung besteht.
  • • ARP-Spoofing in lokalen Netzwerken: Angreifer senden gefälschte Address Resolution Protocol-Nachrichten in einem lokalen Netzwerk, um die MAC-Adresse ihres Geräts mit der IP-Adresse des Netzwerk-Gateways zu verknüpfen und so den gesamten Datenverkehr des Opfers zunächst über das Gerät des Angreifers zu leiten.
  • • DNS-Spoofing und Cache-Poisoning: Kriminelle beschädigen DNS-Einträge, um Datenverkehr, der für legitime Websites bestimmt ist, an von Angreifern kontrollierte Server umzuleiten, auf denen gefälschte Anmeldeseiten gehostet werden, die Banken, E-Mail-Anbieter oder Unternehmensportale perfekt nachahmen.
  • • Session-Hijacking durch Cookie-Diebstahl: Angreifer fangen Session-Cookies ab, die über unsichere Verbindungen übertragen werden, und können so das Opfer darstellen und auf seine aktiven Sitzungen zugreifen, ohne Anmeldedaten zu benötigen.
  • • Kompromittierung von E-Mail-Konten für Rechnungsbetrug: Nachdem Angreifer durch MITM-Angriffe auf Unternehmens-E-Mail-Konten Zugriff erhalten haben, überwachen sie die Kommunikation auf ausstehende Rechnungen und senden dann von dem kompromittierten Konto aus gefälschte Zahlungsanweisungen, die Gelder an von Angreifern kontrollierte Konten leiten.

So erkennen Sie es

  • Browser-Sicherheitswarnungen über ungültige SSL-Zertifikate, Zertifikatsfehler oder unsichere Verbindungen, die beim Zugriff auf normalerweise sichere Websites angezeigt werden – diese Warnungen deuten auf eine mögliche Unterbrechung Ihrer Verbindung hin.
  • Unerwartete Abmeldungen von Online-Konten oder Anforderungen zur erneuten Authentifizierung, wenn Sie noch angemeldet sein sollten, was darauf hindeuten kann, dass ein Angreifer versucht, Anmeldedaten über eine gefälschte Anmeldeseite zu erfassen.
  • Websites, die in der Adressleiste mit "http://" statt "https://" geladen werden, wenn Sie wissen, dass die Website normalerweise sichere Verbindungen verwendet, insbesondere bei Banking-, Shopping- oder E-Mail-Diensten.
  • Leichte Variationen in Website-URLs, Domainnamen oder visuellem Erscheinungsbild beim Zugriff auf bekannte Websites – beispielsweise "bankofamerica-secure.com" statt "bankofamerica.com" – was darauf hindeutet, dass der Datenverkehr zu einem Server des Angreifers umgeleitet wurde.
  • Banking- oder Zahlungsbestätigungsemails für nicht autorisierte Transaktionen, die Minuten oder Stunden nach dem Zugriff auf Konten über öffentliches WLAN eintreffen und darauf hindeuten, dass Anmeldedaten abgefangen und sofort ausgenutzt wurden.
  • Mehrere WLAN-Netzwerke mit identischen oder sehr ähnlichen Namen am selben Ort (wie drei Netzwerke alle namens "CoffeeShop_WiFi"), wobei eines ein böswilliges Twin-Netzwerk eines Angreifers ist, das den Datenverkehr erfassen soll.

So schützen Sie sich

  • Greifen Sie niemals auf Finanzkonten zu, tätigen Sie keine Käufe und geben Sie keine Anmeldedaten ein, wenn Sie mit öffentlichen WLAN-Netzwerken verbunden sind. Verwenden Sie stattdessen die Mobilfunkverbindung Ihres Geräts oder warten Sie, bis Sie auf ein vertrauenswürdiges privates Netzwerk zugreifen können.
  • Installieren und aktivieren Sie einen seriösen Virtual Private Network (VPN)-Dienst auf allen Geräten, bevor Sie eine Verbindung zu einem öffentlichen oder nicht vertrauenswürdigen WLAN-Netzwerk herstellen – das VPN verschlüsselt den gesamten Datenverkehr und verhindert das Abfangen, auch wenn eine Verbindung zu einem bösartigen Netzwerk besteht.
  • Überprüfen Sie, dass Websites "https://" mit einem Schlosssymbol in der Adressleiste anzeigen, bevor Sie sensible Informationen eingeben, und klicken Sie auf das Schloss, um die SSL-Zertifikatdetails zu prüfen und den legitimen Organisationsnamen zu bestätigen.
  • Aktivieren Sie Zwei-Faktor-Authentifizierung (2FA) auf allen Konten, die diese unterstützen, besonders bei E-Mail, Banking und sozialen Medien – selbst wenn Angreifer Ihr Passwort abfangen, können sie ohne den zweiten Authentifizierungsfaktor nicht auf Konten zugreifen.
  • Installieren Sie Browser-Erweiterungen wie HTTPS Everywhere, die automatisch verschlüsselte Verbindungen zu Websites erzwingen und Sie benachrichtigen, wenn sichere Verbindungen nicht verfügbar sind oder herabgestuft wurden.
  • Überwachen Sie regelmäßig Bankkonten, Kreditkarten und Online-Service-Konten auf unbefugten Zugriff oder Transaktionen und richten Sie sofortige Warnmeldungen für alle Anmeldeversuche, Passwortänderungen und Finanztransaktionen über 1 Euro ein.

Reale Beispiele

Eine Geschäftsführerin verbindete sich mit dem WLAN-Netzwerk "Airport_Premium" während sie auf einen Flug wartete und überprüfte ihre Unternehmens-E-Mail, um Verträge zu überprüfen. Unbekannt für sie war das Netzwerk ein böswilliger Twin, der von Angreifern erstellt wurde. Innerhalb von 48 Stunden verwendeten die Kriminellen ihre abgefangenen Anmeldedaten, um E-Mails von ihrem Konto an die Buchhaltungsabteilung des Unternehmens zu senden und aktualisierte Überweisungsanweisungen für eine ausstehende Zahlung von 47.000 Euro bereitzustellen. Die Zahlung wurde auf das Konto des Angreifers überwiesen, bevor der Betrug drei Tage später entdeckt wurde.

Ein Doktorand studierte regelmäßig in einem Café und nutzte das kostenlose WLAN, um auf sein Online-Banking-Konto zuzugreifen, um seinen Kontostand zu überprüfen und Rechnungen zu bezahlen. Ein Angreifer, der ARP-Spoofing im WLAN des Cafés durchführte, fing seine Anmeldedaten über zwei Wochen ab. Der Angreifer erfasste auch seine Sicherheitsfragen-Antworten durch Überwachung seiner Browseraktivität. Mit diesen Informationen leerte der Kriminelle sein Girokonto um 8.200 Euro und eröffnete zwei Kreditkarten auf seinen Namen, was zu Gesamtverlusten von 15.000 Euro führte.

Häufig gestellte Fragen

Wie kann ich feststellen, ob ich mit einem gefälschten Wi-Fi-Netzwerk verbunden bin oder ob meine Verbindung abgefangen wird?
Überprüfen Sie, ob der Netzwerkname genau mit offiziellen Netzwerken übereinstimmt – seriöse Unternehmen verwenden selten generische Namen wie 'Airport_Free_WiFi' ohne Branding. Fragen Sie vor dem Verbinden das Personal nach dem offiziellen Netzwerknamen und Passwort. Sobald Sie verbunden sind, achten Sie auf Warnzeichen: Websites laden ohne HTTPS (ein Vorhängeschloss-Symbol im Browser), unerwartete Anmeldeaufforderungen auf bekannten Seiten oder Ihr Gerät verbindet sich automatisch mit Netzwerken, die Sie nicht genehmigt haben. Wenn Sie diese Anzeichen bemerken, trennen Sie sofort die Verbindung und nutzen stattdessen Ihre mobilen Daten.
Was ist der Unterschied zwischen einer sicheren HTTPS-Verbindung und einer, die durch SSL-Stripping kompromittiert wurde?
Eine echte HTTPS-Verbindung zeigt ein Vorhängeschloss-Symbol in der Adressleiste Ihres Browsers und die URL beginnt mit 'https://' – das bedeutet, Ihre Daten sind Ende-zu-Ende verschlüsselt. Bei einem SSL-Stripping-Angriff degradieren Kriminelle dies zu HTTP (kein Vorhängeschloss, URL beginnt mit 'http://'), aber manche Opfer bemerken es nicht, weil die gefälschte Anmeldeseite identisch mit der echten aussieht. Vergewissern Sie sich immer, dass das Vorhängeschloss-Symbol vorhanden ist, bevor Sie Passwörter oder Finanzinformationen eingeben, und ignorieren Sie niemals Browserwarnungen zu unsicheren Verbindungen.
Was soll ich sofort tun, wenn ich glaube, Opfer eines Man-in-the-Middle-Angriffs geworden zu sein?
Trennen Sie sofort die Verbindung zum Netzwerk und wechseln Sie zu einer vertrauenswürdigen Verbindung (Ihr Heim-WLAN oder mobile Daten). Ändern Sie alle Passwörter für Konten, die über dieses Netzwerk genutzt wurden, beginnend mit E-Mail und Bankzugängen – ändern Sie diese von einem anderen, sicheren Gerät, nicht von dem kompromittierten. Kontaktieren Sie Ihre Bank und Ihren E-Mail-Anbieter direkt über Telefonnummern von deren offiziellen Websites (nicht aus kürzlich erhaltenen E-Mails), um verdächtige Aktivitäten zu melden und Betrugswarnungen auf Ihren Konten zu setzen. Wenn Sie auf Arbeitssysteme zugegriffen haben, informieren Sie sofort Ihre IT-Abteilung, damit diese unbefugte Zugriffe überwachen kann.
Kann mein Bankkonto oder meine E-Mail wiederhergestellt werden, wenn Anmeldedaten durch einen Man-in-the-Middle-Angriff gestohlen wurden?
Ja, eine Wiederherstellung ist möglich, wenn Sie schnell handeln – die meisten Banken können unautorisierte Transaktionen innerhalb von 10-14 Tagen rückgängig machen und betrügerischen Zugriff bei rechtzeitiger Meldung sperren. Für E-Mail-Konten aktivieren Sie unmittelbar nach dem Wiedererlangen des Zugangs die Zwei-Faktor-Authentifizierung und überprüfen Sie die letzten Anmeldeaktivitäten sowie verbundene Geräte, um den Zugriff des Angreifers zu entfernen. Wenn der Angreifer jedoch längeren Zugriff hatte (typischerweise 1-14 Tage vor Entdeckung), könnte er bereits Wiederherstellungsoptionen geändert oder verknüpfte Konten genutzt haben, was die Wiederherstellung erschwert; deshalb ist eine schnelle Meldung an die Betrugsabteilung Ihrer Bank entscheidend.
Welche konkreten Vorsichtsmaßnahmen sollte ich bei der Nutzung von öffentlichem Wi-Fi treffen, um mich vor diesen Angriffen zu schützen?
Übermitteln Sie niemals sensible Informationen (Passwörter, Kreditkarten, Finanzdaten) über öffentliches Wi-Fi ohne VPN, das Ihren gesamten Datenverkehr verschlüsselt und Abfangen unmöglich macht. Fragen Sie das Personal vor dem Verbinden nach dem genauen offiziellen Netzwerknamen und deaktivieren Sie die automatische Verbindungsfunktion Ihres Geräts, sodass Sie jedes Netzwerk manuell genehmigen. Für Bank- oder Finanztransaktionen nutzen Sie Ihr mobiles Datennetz oder warten Sie, bis Sie sich in Ihrem persönlichen, sicheren Heim-WLAN befinden – die kleine Unannehmlichkeit ist es wert, den durchschnittlichen Verlust von 10.000 $ durch MITM-Angriffe zu vermeiden.

Wo melden — Deutschland

Offizielle Stellen in Ihrer Region zum Melden dieses Betrugs.

BSI Bürger-CERT

Cyberkriminalität

Bundesamt für Sicherheit in der Informationstechnik – Warnungen und Beratung für Bürger.

Besuchen →

Polizei Online-Wache

Meldung

Online-Anzeige von Betrug bei der Polizei Ihres Bundeslandes.

Besuchen →

Verbraucherzentrale

Verbraucherschutz

Beratung für Verbraucher bei Online-Betrug und Phishing.

Besuchen →

BaFin Verbraucherschutz

Finanzaufsicht

Bundesanstalt für Finanzdienstleistungsaufsicht – Anlagebetrug und Banken-Beschwerden.

Besuchen →

Authoritative Resources

Recognized government and official anti-fraud bodies with guidance on this scam type.

CISA — Cybersecurity & Infrastructure Security Agency US FBI IC3 — Internet Crime Complaint Center US FTC — Consumer Advice on Scams US

Glauben Sie, auf diesen Betrug gestoßen zu sein?

How to cite this guide

Use this when referencing ScamLens content in articles, research, AI responses, or social media.

According to ScamLens (scamlens.org), man-in-the-middle-angriff: vollständiger schutzleitfaden is described at https://scamlens.org/de/encyclopedia/man-in-the-middle-attack.
https://scamlens.org/de/encyclopedia/man-in-the-middle-attack