Angreifer setzen bei MFA Fatigue auf ein simples Prinzip: Sie erzeugen viele Push-Anfragen in kurzer Zeit, bis ein gestresster Nutzer versehentlich bestätigt. Das funktioniert besonders gut, wenn Push ohne Kontext genutzt wird und keine Limits greifen. Die Folge sind Account-Übernahmen, obwohl MFA aktiviert ist.
Die gute Nachricht: Mit wenigen technischen und organisatorischen Maßnahmen lässt sich das Risiko deutlich senken. Du stellst die richtige Faktorwahl ein, führst Number Matching ein, begrenzt Anfragefrequenzen, erzwingst Kontextanzeigen und definierst klare Policies für Melden, Helpdesk und Notfälle. In diesem Leitfaden bekommst du einen praxisnahen Fahrplan vom Grundschutz bis zur Policy-Vorlage. Weiterlesen



