Ein Angreifer hat das Passwort eines Mitarbeiters erlangt, wiederholt die Anmeldung Dutzende Male und schickt so massenhaft Benachrichtigungen mit der Bitte um Bestätigung an das Smartphone des Mitarbeiters. Genervt tippt der Mitarbeiter schließlich auf „Bestätigen“. Welche Maßnahme gegen diesen Angriff ist am besten geeignet?

Antwort: C. Ein Verfahren einführen, bei dem eine auf dem Bildschirm angezeigte Zahl in die App einzugeben ist, massenhafte Anfragen begrenzen und unerwartete Benachrichtigungen melden lassen

Solche Angriffe heißen MFA-Fatigue-Angriffe (Push-Bombing); sie nutzen die Schwäche von Verfahren aus, bei denen ein Tippen auf „Bestätigen“ in der Benachrichtigung die Authentifizierung abschließt. Beim Zahlenabgleich (Number Matching) lässt sich nur bestätigen, wer die auf dem Anmeldebildschirm angezeigte Zahl eingibt; ein Benutzer, der sich nicht selbst anmeldet, kann also nicht bestätigen. Kombiniert werden Maßnahmen wie das Stoppen bei vielen Anfragen in kurzer Zeit, die Anzeige von Ort und App in der Benachrichtigung und das Melden unerwarteter Benachrichtigungen. Grundlegender ist der Umstieg auf gegen Phishing resistente Verfahren wie Passkeys nach FIDO2, die auf gefälschten Websites und für Anmeldungen anderer Personen nicht verwendbar sind.