Man‑in‑the‑Middle (MITM)
Man‑in‑the‑Middle (MITM) ist ein Angriffstyp, bei dem ein Angreifer den Kommunikationsfluss zwischen zwei legitimen Parteien (z. B. Client ↔ Server) heimlich abfängt, beobachtet, manipuliert oder falsche Daten einfügt, ohne dass die Beteiligten den Eingriff bemerken. Der Angreifer positioniert sich dabei „zwischen“ die beiden Endpunkte und kontrolliert die übermittelten Nachrichten.
Wie ein MITM‑Angriff funktioniert
- Positionierung – Der Angreifer platziert sich auf dem Netzwerkpfad (z. B. über ein kompromittiertes Wi‑Fi‑Access‑Point, ARP‑Spoofing, DNS‑Hijacking, kompromittierte Router).
- Abfangen – Der Datenverkehr wird mitgeloggt oder in Echtzeit weitergeleitet.
- Manipulation (optional) – Pakete werden verändert, neue Inhalte eingefügt oder legitime Daten ersetzt (z. B. gefälschte Login‑Formulare).
- Weiterleitung – Der manipulierte Traffic wird an den eigentlichen Empfänger gesendet, wodurch die Kommunikation scheinbar unverändert bleibt.
Typische Techniken zur Durchführung
Erkennungs‑ und Schutzmaßnahmen
Folgen eines erfolgreichen MITM‑Angriffs
- Datendiebstahl – Passwörter, Kreditkartendaten, vertrauliche Unternehmensinformationen.
- Datenmanipulation – Veränderung von Finanztransaktionen, falsche Befehle an Steuerungssysteme.
- Identitätsdiebstahl – Session‑IDs übernehmen, Zugriff auf geschützte Konten.
- Malware‑Installation – Eingefügte Skripte laden Schadsoftware herunter.
- Vertrauensverlust – Kunden‑ und Partner‑Vertrauen in die IT‑Sicherheit wird beschädigt.
Szenario‑Beispiel (Kurz)
- Ein Nutzer verbindet sich im Café mit einem offenen WLAN.
- Der Angreifer hat dort einen Rogue‑Access‑Point mit derselben SSID wie das legitime Netzwerk eingerichtet.
- Der Nutzer authentifiziert sich gegenüber seiner Bank über HTTPS.
- Der Angreifer führt ein SSL‑Strip‑Gerät aus, leitet den Traffic über HTTP um und ersetzt das echte Zertifikat durch ein selbstsigniertes.
- Der Nutzer ignoriert die Browser‑Warnung, gibt seine Anmeldedaten ein.
- Der Angreifer erhält die Credentials, kann sich später im Online‑Banking einloggen und Geld transferieren.
Zusammenfassung
- MITM‑Angriffe nutzen die Kontrolle über die Netzwerk‑Verbindung, um Daten abzuhören oder zu manipulieren.
- Klassische Techniken: ARP‑Poisoning, DNS‑Hijacking, SSL‑Strip, rogue Access Points.
- Schutz erfordert eine Kombination aus kryptografischen Maßnahmen (TLS‑Pinning, HSTS, DNSSEC), Netzwerk‑Sicherheit (ARP‑Inspection, NIDS) und Benutzer‑Sensibilisierung (Achtung bei Zertifikatswarnungen, Nutzung von VPNs).
