Bei einem Man-in-the-Middle-Angriff (MitM), auch On-Path-Angriff genannt, positioniert sich ein Angreifer logisch zwischen zwei Kommunikationspartnern. Beide glauben, direkt miteinander zu sprechen. Der Angreifer kann Verkehr beobachten, verzögern, umleiten oder verändern, wenn das Protokoll die Gegenstelle und Integrität nicht wirksam authentisiert.
Wie funktioniert ein MitM-Angriff?
Der Angreifer leitet Pakete über ein kontrolliertes System und unterhält gegebenenfalls zwei getrennte Verbindungen: eine zum Client und eine zum echten Server. Ohne Ende-zu-Ende-Authentifizierung sieht jede Seite nur die Verbindung zum Angreifer. Passives Mitschneiden allein ist noch kein aktiver MitM, kann bei unverschlüsselten Protokollen aber bereits Daten offenlegen.
Wie gelangt der Angreifer in den Kommunikationsweg?
| Methode | Umgebung |
|---|---|
| ARP-Spoofing | Manipuliert Zuordnungen im lokalen Ethernet und lenkt Verkehr über das Angreifergerät. |
| Rogue Wi-Fi / Evil Twin | Ein täuschender Access Point übernimmt den Netzweg mobiler Geräte. |
| DNS-Manipulation | Eine Domain löst auf ein falsches Ziel auf; eng verwandt mit Pharming. |
| Router-/Gateway-Kompromittierung | Kontrolle über Infrastruktur bietet Sicht auf den weitergeleiteten Verkehr. |
| BGP-/Routing-Manipulation | Internet-Routen werden fehlgeleitet; betrifft oft größere Netze und Provider. |
| Expliziter Proxy | Legitime Unternehmens-Proxies können TLS untersuchen; kompromittiert oder falsch konfiguriert entsteht vergleichbares Risiko. |
Was schützt TLS?
TLS verschlüsselt Daten, schützt ihre Integrität und authentisiert normalerweise den Server mit einem Zertifikat. Ein Angreifer im Netz kann dann Pakete weiterleiten, aber den geschützten Inhalt nicht unbemerkt lesen oder ändern. Der Schutz scheitert, wenn Nutzer Zertifikatswarnungen übergehen, Clients Zertifikate nicht prüfen, eine kompromittierte oder unerwünschte CA vertraut wird oder die Anwendung auf unverschlüsseltes HTTP zurückfällt. mTLS authentisiert zusätzlich den Client.
Ein öffentliches WLAN ist deshalb nicht automatisch in der Lage, korrekt validiertes HTTPS zu entschlüsseln. Es sieht weiterhin Metadaten wie Ziel-IP, Volumen und Zeitpunkt und kann Verbindungen blockieren oder manipulierte unverschlüsselte Inhalte liefern.
Welche Auswirkungen sind möglich?
- Passwörter, Sitzungs-Cookies und vertrauliche Inhalte aus ungeschütztem Verkehr lesen.
- Downloads, DNS-Antworten, Überweisungsdaten oder Softwareupdates verändern.
- Sitzungen übernehmen oder Nutzer auf gefälschte Dienste umleiten.
- Kommunikation selektiv blockieren, verzögern oder wiederholen.
- Protokolle auf schwächere Versionen oder unverschlüsselte Varianten herabstufen, sofern diese es zulassen.
Wie werden MitM-Angriffe verhindert?
- TLS für alle sensiblen Verbindungen erzwingen, Zertifikate und Hostnamen vollständig validieren und HSTS bedacht einsetzen.
- Unsichere Klartextprotokolle abschalten; für administrative Verbindungen SSH, VPN oder gegenseitig authentisierte Protokolle verwenden.
- WLAN mit zeitgemäßer Verschlüsselung und Unternehmensauthentifizierung sichern; unbekannte Netze als nicht vertrauenswürdig behandeln.
- Lokale Netze segmentieren und Switch-Funktionen gegen ARP-/DHCP-Manipulation nutzen, wo geeignet.
- DNSSEC-Validierung, sichere Updates und signierte Artefakte reduzieren weitere Manipulationswege.
- Private Schlüssel und vertrauenswürdige Root-Zertifikate auf Endpunkten besonders schützen.
Wie werden sie erkannt und getestet?
Zertifikatswechsel, neue Root-CAs, wechselnde ARP-Zuordnungen, doppelte Gateway-Adressen, unerwartete DNS-Antworten und Protokoll-Downgrades sind Hinweise. Manche Unternehmens-TLS-Proxies sind beabsichtigt und müssen gegen Richtlinie und Geräteverwaltung geprüft werden. Autorisierte Tests nutzen kontrollierte Netze und Testkonten; das Mitschneiden fremder Kommunikation oder Täuschen produktiver Nutzer ist ohne klare Freigabe unzulässig und riskant.
Vielen Dank für dein Feedback! Wir werden es prüfen und unseren Artikel anpassen.