Die Übernahme von Cloud-Konten ist zu einem ernsten Problem für Unternehmen geworden. Zwischen 2019 und 2021 stieg die Zahl der Kontoübernahmen (ATO) um 307 %. Denk daran, wie viele Vorgänge in deinem Unternehmen einen Benutzernamen und ein Passwort erfordern – Mitarbeitende melden sich täglich bei zahlreichen Systemen und Cloud-Anwendungen an, und genau das machen Hacker sich zunutze.
Dieser Artikel erklärt, wie Push-Bombing funktioniert, warum selbst MFA keinen vollständigen Schutz bietet, und welche Maßnahmen dein Unternehmen konkret ergreifen kann.
Multi-Faktor-Authentifizierung als erste Verteidigungslinie
Viele Organisationen verwenden die Multi-Faktor-Authentifizierung (MFA). Sie ist eine bewährte Methode, um Angreifer zu stoppen, die sich Zugang zu Benutzernamen und Passwörtern verschafft haben. MFA schützt Cloud-Konten seit Jahren zuverlässig.
Aber gerade diese Effektivität hat Hacker zu Workarounds verleitet. Eine dieser Methoden zur Umgehung der MFA ist Push-Bombing.
Wie Push-Bombing funktioniert
Wenn ein Benutzer die MFA für ein Konto aktiviert, erhält er nach der Eingabe seiner Anmeldedaten eine Autorisierungsanfrage – üblicherweise per SMS, als Popup-Fenster auf dem Gerät oder als App-Benachrichtigung. Das Empfangen dieser Anfrage ist ein normaler Bestandteil des Anmeldevorgangs und etwas, das Benutzer kennen und dem sie vertrauen.
Beim Push-Bombing beginnen Hacker mit den Anmeldedaten des Benutzers, die sie durch Phishing oder aus gestohlenen Datensätzen erhalten haben. Sie nutzen den Push-Benachrichtigungsprozess aus, indem sie mehrfach hintereinander Anmeldeversuche starten. Dadurch erhält der legitime Benutzer mehrere Push-Benachrichtigungen in kurzer Folge.
Viele Menschen hinterfragen den Erhalt eines unerwarteten Codes zunächst kritisch. Wird jemand jedoch mit diesen Codes bombardiert, kann es leicht passieren, dass er versehentlich auf „Genehmigen“ tippt. Push-Bombing ist ein Social-Engineering-Angriff, der darauf abzielt, den Benutzer zu verwirren und zu zermürben, bis er dem Hacker unbeabsichtigt Zugang gewährt.
5 Maßnahmen gegen Push-Bombing in deinem Unternehmen
Wer MFA aktiviert hat, fühlt sich oft sicher – und unterschätzt genau deshalb Angriffe wie Push-Bombing. Sicherheit entsteht nicht durch eine einzige Maßnahme, sondern durch mehrere Schutzebenen, die ineinandergreifen.
– Christian Markus, Gründer pirenjo.IT
Mitarbeitende als entscheidender Sicherheitsfaktor
Wenn ein Benutzer einen Push-Bombing-Angriff erlebt, kann das verstörend und verwirrend sein. Wer im Vorfeld geschult wurde, ist besser darauf vorbereitet, sich zu verteidigen.
Informiere dein Team darüber, was Push-Bombing ist und wie es funktioniert. Schule alle im richtigen Umgang mit MFA-Benachrichtigungen, die nicht angefordert wurden. Gib deinen Mitarbeitenden außerdem die Möglichkeit, solche Angriffe zu melden – so kann dein IT-Sicherheitsteam andere Benutzer warnen und die Anmeldedaten aller gezielt schützen.
Weniger Apps, weniger Angriffsfläche
Im Durchschnitt nutzen Mitarbeitende pro Tag 36 verschiedene Cloud-basierte Dienste. Das ist eine Menge an Anmeldungen, die es zu verwalten gilt. Je mehr Logins jemand täglich nutzt, desto größer ist das Risiko eines gestohlenen Passworts.
Schau dir an, wie viele Anwendungen dein Unternehmen tatsächlich einsetzt, und suche aktiv nach Möglichkeiten, die Anwendungsflut zu verringern. Plattformen wie Microsoft 365 und Google Workspace bündeln viele Tools hinter einem einzigen Login. Das vereinfacht deine Cloud-Umgebung und verbessert gleichzeitig Sicherheit und Produktivität.
Phishing-resistente MFA als zuverlässiger Schutz
Du kannst Push-Bombing-Angriffe gezielt vereiteln, indem du zu einer anderen Form der MFA wechselst. Phishing-resistente MFA verwendet einen Passkey auf dem Gerät oder einen physischen Sicherheitsschlüssel zur Authentifizierung – ohne Push-Benachrichtigung, die genehmigt werden müsste.
Diese Lösung ist aufwändiger einzurichten, aber sie ist auch sicherer als text- oder appbasierte MFA. Wer Push-Bombing dauerhaft ausschließen will, kommt an phishing-resistenten Methoden nicht vorbei.
Starke Passwortrichtlinien als Grundlage
Damit Hacker mehrere Push-Benachrichtigungen senden können, brauchen sie zunächst die Anmeldedaten des Benutzers. Starke Passwortrichtlinien verringern die Wahrscheinlichkeit, dass ein Passwort überhaupt geknackt wird.
[IMAGE_BLOCK_0]Zu den bewährten Standards gehören mindestens ein Groß- und ein Kleinbuchstabe, eine Kombination aus Buchstaben, Zahlen und Symbolen, der Verzicht auf persönliche Informationen im Passwort, sichere Aufbewahrung der Zugangsdaten und keine Wiederverwendung von Passwörtern für mehrere Konten. Wer das konsequent umsetzt, entzieht Angreifern bereits im ersten Schritt die Grundlage. Mehr dazu, wie du deine Konten generell absichern kannst, zeigt dieser Artikel über den Vergleich der sichersten MFA-Methoden.
Identitätsmanagement-Lösung als zentrale Schutzebene
Fortschrittliche Identitätsmanagement-Lösungen fassen alle Anmeldungen in einer einzigen Lösung zusammen. Benutzer verwalten dann nur noch eine Anmeldung und eine MFA-Eingabeaufforderung statt mehrerer. Das reduziert die Angriffsfläche erheblich.
Darüber hinaus ermöglichen solche Lösungen kontextbezogene Anmeldungsrichtlinien. Das System kann automatisch Anmeldeversuche außerhalb eines bestimmten geografischen Bereichs blockieren, Anmeldungen zu ungewöhnlichen Zeiten unterbinden, und eingreifen, wenn andere kontextbezogene Faktoren nicht erfüllt sind. Das schafft echte Planbarkeit in der Zugangssicherheit.
Brauchst du Hilfe bei der Verbesserung deiner Identitäts- und Zugangssicherheit?
Die Multi-Faktor-Authentifizierung allein reicht nicht aus. Unternehmen brauchen mehrere Schutzebenen, um das Risiko eines Cloud-Angriffs zu verringern. Vereinbare noch heute einen Termin für ein Kennenlerngespräch – die IT-Sicherheitsexperten von pirenjo.IT machen deine Online-Konten bombensicher.
Push-Bombing liegt vor, wenn du innerhalb kurzer Zeit mehrere MFA-Genehmigungsanfragen erhältst, obwohl du dich gerade nicht anmeldest. Brich den Vorgang sofort ab, genehmige nichts und melde den Vorfall deinem IT-Team.
Phishing-resistente MFA mit einem Passkey auf dem Gerät oder einem physischen Sicherheitsschlüssel ist am sichersten, weil es keine genehmigungspflichtige Push-Benachrichtigung gibt. SMS-basierte oder app-basierte MFA bleibt anfällig für Push-Bombing.
pirenjo.IT analysiert für Unternehmen im Raum Stuttgart die bestehende Zugangs- und MFA-Infrastruktur und empfiehlt konkrete Maßnahmen – von phishing-resistenter MFA bis hin zu Identitätsmanagement-Lösungen mit kontextbezogenen Richtlinien.
Ein Passwortmanager hilft indirekt: Er sorgt für starke, einzigartige Passwörter pro Konto und reduziert damit die Wahrscheinlichkeit, dass Anmeldedaten überhaupt in fremde Hände gelangen. Ohne Zugangsdaten können Hacker keinen Push-Bombing-Angriff starten.
Ja – pirenjo.IT bietet Security-Awareness-Schulungen für Unternehmen in Waiblingen und dem Rems-Murr-Kreis an, in denen Mitarbeitende lernen, Push-Bombing und andere Social-Engineering-Angriffe zu erkennen und richtig zu reagieren.
