SICHER
MFA-Bombing erkennen und stoppen
Das Smartphone liegt unbenutzt auf dem Tisch, trotzdem erscheint eine Anfrage zur Freigabe einer Anmeldung. Wenige Sekunden später folgt die nächste, dann noch eine. Die Meldungen stammen tatsächlich von Apple, Google, Microsoft oder einem anderen bekannten Dienst, doch der Login auf der Gegenseite gehört einer fremden Person. Wer MFA-Bombing erkennen und stoppen möchte, muss deshalb einen ungewöhnlichen Widerspruch verstehen: Die Benachrichtigung kann echt sein, obwohl der Vorgang dahinter ein Angriff ist. In der Reihe Digital sicher geht es damit um eine Schutzfunktion, die nicht technisch gefälscht werden muss, um gegen den Kontoinhaber eingesetzt zu werden.
Mehr-Faktor-Authentifizierung, nach dem englischen Begriff „Multi-Factor Authentication“ kurz MFA, soll verhindern, dass ein gestohlenes Passwort allein für eine Anmeldung genügt. Der Dienst verlangt einen zweiten Nachweis, beispielsweise einen Code, einen Sicherheitsschlüssel oder die Bestätigung auf einem bereits registrierten Smartphone. Beim MFA-Bombing, auch Push-Bombing oder MFA-Fatigue genannt, lösen Angreifer immer wieder solche Bestätigungsanfragen aus. Die Hoffnung dahinter ist banal und gerade deshalb gefährlich: Irgendwann wird eine Anfrage aus Versehen, aus Gewohnheit oder nur deshalb freigegeben, damit die Störung endlich aufhört.
Eine abgelehnte Anfrage hält den konkreten Login zunächst auf, erledigt aber nicht automatisch das zugrunde liegende Problem. Je nach Dienst kann der fremde Versuch bedeuten, dass ein Passwort bereits bekannt ist, eine passwortlose Anmeldung angestoßen wurde oder ein Wiederherstellungsweg missbraucht wird. Ebenso wenig beweist eine einzelne Benachrichtigung bereits eine erfolgreiche Kontoübernahme. Entscheidend ist die Reihenfolge: nicht freigeben, den Vorgang über den offiziellen Kontozugang prüfen und anschließend die Sicherheitsdaten so kontrollieren, als könne ein Angreifer bereits einen Teil der Anmeldung beherrschen.
Wie MFA-Bombing eine echte Schutzfunktion missbraucht
Bei einer klassischen Anmeldung werden Benutzername und Passwort eingegeben. Ist ein zusätzlicher Faktor aktiviert, sendet der Dienst danach eine Anfrage an ein bekanntes Gerät. Dort kann beispielsweise zwischen „Zulassen“ und „Ablehnen“ gewählt, eine Zahl abgeglichen oder ein einmaliger Code angezeigt werden. Erst wenn auch dieser Schritt erfolgreich abgeschlossen ist, wird die neue Sitzung eröffnet.
Für einen MFA-Bombing-Angriff benötigt die fremde Person häufig bereits den Benutzernamen und das richtige Passwort. Diese Daten können aus einer Phishing-Seite, einem Datenleck, mehrfach verwendeten Kennwörtern oder einer Schadsoftware stammen. Anschließend wird die Anmeldung nicht einmal, sondern wiederholt gestartet. Die US-Cybersicherheitsbehörde CISA beschreibt diese Methode als mobile Push-Überflutung und empfiehlt stärkere, phishing-resistente Verfahren beziehungsweise zumindest einen Zahlenabgleich statt einer einfachen Ja-Nein-Freigabe.
Der Ablauf ist allerdings vom Anbieter abhängig. Manche Dienste erlauben eine Anmeldung per Smartphone ganz ohne vorherige Passworteingabe, andere verschicken Bestätigungsanfragen auch während der Kontowiederherstellung oder bei einer zusätzlichen Sicherheitsprüfung. Eine fremde Anfrage ist daher ein ernstes Warnsignal, aber kein universeller Beweis dafür, dass das aktuelle Passwort in jedem Fall bekannt sein muss. Der sichere Schluss lautet nur: Jemand versucht, einen Vorgang für dieses Konto auszulösen, der nicht vom Kontoinhaber begonnen wurde.
MFA-Bombing erkennen: Der eigene Anmeldeversuch ist der wichtigste Bezugspunkt
Die zuverlässigste Kontrollfrage steht nicht in der Benachrichtigung, sondern im unmittelbaren Zusammenhang: Wurde genau in diesem Moment selbst eine Anmeldung gestartet? Fehlt dieser Anlass, gibt es keinen vernünftigen Grund für eine Freigabe. Ein vertrautes Anbieterlogo, eine korrekt formulierte Meldung und die echte Authenticator-App ändern daran nichts, denn diese Elemente werden vom legitimen Dienst angezeigt. Nur der Auslöser auf dem anderen Gerät ist fremd.
Besonders auffällig sind mehrere Anfragen in kurzer Folge, Benachrichtigungen zu ungewöhnlichen Tageszeiten oder eine angezeigte Geräteart, die nicht zum eigenen Login passt. Auch eine Aufforderung zum Zahlenabgleich ist eindeutig, wenn auf keinem selbst verwendeten Anmeldebildschirm eine passende Zahl zu sehen ist. Kommt parallel ein Anruf oder eine Nachricht, in der sich jemand als Support, Arbeitgeber, Bank oder Sicherheitsabteilung ausgibt und um die Bestätigung bittet, entsteht aus der technischen Anfrage ein Social-Engineering-Angriff. Ein echter Supportkontakt benötigt keine Freigabe eines unbekannten Logins, um angeblich eine Sperre, Prüfung oder Rückerstattung durchzuführen.
Umgekehrt muss ein Angriff nicht aus einer langen Serie bestehen. Bereits eine einzige unaufgeforderte Anfrage kann erfolgreich sein, wenn sie zufällig während einer eigenen Anmeldung auftaucht und mit dieser verwechselt wird. Deshalb sollte nicht lediglich geprüft werden, ob gerade irgendein Login stattfindet, sondern ob Dienst, Konto, Gerät und angezeigter Vorgang zusammenpassen. Eine Bestätigung gehört ausschließlich zu der Anmeldung, die unmittelbar zuvor selbst begonnen wurde.
Weshalb Standort und Gerätename nur Hinweise liefern
Viele Anmeldeanfragen zeigen einen ungefähren Ort, eine Geräteklasse, einen Browser oder einen Zeitpunkt. Diese Angaben helfen bei der Einordnung, sind aber nicht präzise genug, um allein über die Freigabe zu entscheiden. Mobilfunknetze, Firmenzugänge, VPN-Verbindungen und die technische Zuordnung von IP-Adressen können einen Ort anzeigen, der einige Kilometer entfernt liegt oder sogar einer anderen Region zugeordnet wird. Umgekehrt kann ein Angreifer über einen Zugang in der Nähe einen plausibel wirkenden Standort erzeugen.
Apple weist in seiner Anleitung zu unbekannten Anmeldeversuchen ausdrücklich darauf hin, dass die angezeigte Position auf der IP-Adresse beziehungsweise dem verwendeten Netzwerk beruht und nicht dem exakten Gerätestandort entspricht. Eine unerwartete Anfrage soll mit „Nicht erlauben“ abgelehnt werden. Google zeigt bei seinen Anmeldeaufforderungen ebenfalls Informationen zu Gerät, Ort und Zeitpunkt und sieht für einen nicht selbst gestarteten Vorgang die Auswahl „Nein“ vor.
Ein abweichender Ort beweist daher nicht zwingend einen Angriff, ein passender Ort beweist umgekehrt keine Berechtigung. Aussagekräftiger ist die zeitliche Kette: Ein selbst geöffneter Login erzeugt unmittelbar die dazugehörige Anfrage. Fehlt dieser erste Schritt, bleibt die Freigabe falsch. Für die spätere Prüfung kann ein Bildschirmfoto der Meldung nützlich sein, sofern darauf keine zusätzlich eingeblendeten vertraulichen Informationen sichtbar sind.
Die erste Reaktion entscheidet über den fremden Login
Eine nicht selbst ausgelöste Anfrage wird abgelehnt. Je nach Anbieter lautet die Schaltfläche „Nicht erlauben“, „Nein“, „Das war ich nicht“, „Ablehnen“ oder „Betrug melden“. Es genügt nicht, die Benachrichtigung nur wegzuwischen, wenn der Dienst eine ausdrückliche Möglichkeit zum Zurückweisen und Absichern des Kontos anbietet. Die Ablehnung verhindert zunächst, dass gerade diese Bestätigung den fremden Login vollendet.
Anschließend sollte das Konto nicht über einen Link in einer gleichzeitig eintreffenden E-Mail, SMS oder Chatnachricht geöffnet werden. Sicherer ist die bereits installierte App oder die selbst aufgerufene, bekannte Anbieteradresse. Dort lassen sich Sicherheitsereignisse, letzte Anmeldungen und aktive Geräte unabhängig von der Benachrichtigung prüfen. Google empfiehlt bei einer nicht zugeordneten Aktivität ausdrücklich die Auswahl „Nein, das war ich nicht“ und danach einen Passwortwechsel; Apple nennt neben dem Ablehnen die Kontrolle unbekannter Geräte und Sicherheitsdaten.
Zeitpunkt, angezeigter Dienst, ungefähre Geräteangabe und Anzahl der Anfragen sollten festgehalten werden, besonders bei einem Arbeits- oder Schulkonto. Bleibt es bei einer einzelnen abgelehnten Anfrage und zeigt das Konto keinerlei weitere Auffälligkeit, kann die Ursache trotzdem nicht immer abschließend geklärt werden. Wiederholte Anforderungen, erfolgreiche fremde Sitzungen, geänderte Kontodaten oder parallel eintreffende Anrufe erhöhen den Handlungsdruck erheblich.
Die Kontoprüfung endet nicht beim neuen Passwort
Bei einem passwortbasierten Konto ist nach einer fremden MFA-Anfrage ein neues, ausschließlich dort verwendetes Kennwort sinnvoll. Wurde das alte Passwort auch bei anderen Diensten eingesetzt, müssen diese Zugänge ebenfalls geändert werden. Der Wechsel erfolgt über ein vertrauenswürdiges Gerät und den selbst geöffneten Kontobereich. Das zentrale E-Mail-Konto und der Passwortmanager besitzen besondere Priorität, weil sie häufig weitere Anmeldedaten und Wiederherstellungswege kontrollieren.
Danach folgt die Bestandsaufnahme. Zu prüfen sind aktive Sitzungen, angemeldete Geräte, kürzlich erfolgte Sicherheitsereignisse, Wiederherstellungsadressen und -rufnummern, hinterlegte Authenticator-Apps, Passkeys, Sicherheitsschlüssel, App-Passwörter sowie verbundene Anwendungen. Unbekannte Einträge werden entfernt und fremde Sitzungen beendet. Bei einem Mailkonto kommen Weiterleitungen, Filterregeln, automatische Antworten und delegierte Zugriffe hinzu. Der bereits veröffentlichte Ratgeber zum gehackten E-Mail-Konto erklärt diese zweite Ebene der Kontosicherung ausführlich.
Ein Passwortwechsel beendet nicht bei jedem Anbieter sofort jede bestehende Sitzung. Microsoft bietet für persönliche Konten eine Funktion zum Abmelden auf allen Geräten an und weist darauf hin, dass die Umsetzung bis zu 24 Stunden dauern kann; Xbox-Konsolen sind davon ausgenommen. Andere Dienste verwenden eigene Fristen und Schalter. Deshalb müssen Passwort, Sitzungen und Anmeldeverfahren getrennt betrachtet werden.
Nach einer versehentlichen Freigabe gilt das Konto als gefährdet
Wurde eine fremde Anfrage bestätigt, ist nicht länger nur ein Versuch bekannt. Der Angreifer kann eine gültige Sitzung erhalten haben, selbst wenn anschließend keine sichtbare Veränderung erscheint. Die sichere Reaktion beginnt daher mit einem sofortigen Passwortwechsel über einen vertrauenswürdigen Zugang, gefolgt vom Widerruf fremder beziehungsweise aller entbehrlichen Sitzungen und der Kontrolle sämtlicher Sicherheitsmethoden.
Besonders kritisch sind neu hinzugefügte Wiederherstellungsdaten, unbekannte Authenticator-Registrierungen, zusätzliche Passkeys, App-Passwörter und Anwendungen mit dauerhaftem Kontozugriff. Solche Änderungen können einen späteren Zugang ermöglichen, nachdem das ursprüngliche Passwort längst ersetzt wurde. Google führt in seiner Anleitung für kompromittierte Konten deshalb nicht nur Passwort und Geräte auf, sondern auch Wiederherstellungsdaten, Zwei-Schritt-Verfahren, verbundene Apps und produktspezifische Einstellungen.
Anschließend richtet sich die Prüfung nach dem betroffenen Dienst. Bei E-Mail sind versandte Nachrichten, Löschungen und Weiterleitungen wichtig, bei Cloudspeichern Freigaben und heruntergeladene Daten, bei sozialen Netzwerken neue Beiträge und Nachrichten, bei Händler- oder Zahlungszugängen Bestellungen, Adressen und Zahlungsmittel. Sind finanzielle Informationen betroffen oder nicht autorisierte Vorgänge sichtbar, muss der jeweilige Anbieter beziehungsweise das Finanzinstitut über einen offiziellen Kontaktweg informiert werden. Eine bloße Entwarnung, weil die Push-Anfragen aufgehört haben, wäre zu früh.
MFA-Bombing bedeutet nicht automatisch Schadsoftware auf dem Smartphone
Die Bestätigungsanfrage wird vom legitimen Dienst an ein registriertes Gerät gesendet. Allein ihr Erscheinen beweist daher weder eine manipulierte Authenticator-App noch eine Infektion des Smartphones. In vielen Fällen liegt der Angriff auf der Kontoebene: Eine fremde Person kennt Anmeldedaten oder missbraucht einen vorgesehenen Login- beziehungsweise Wiederherstellungsablauf, während das Mobilgerät genau das tut, wofür es registriert wurde.
Eine Geräteprüfung wird dann wichtiger, wenn zusätzlich eine unbekannte App installiert, ein Anhang geöffnet, Software außerhalb des offiziellen Stores geladen oder ein Passwort auf einer verdächtigen Seite eingegeben wurde. Auch unerklärliche Administratorrechte, neue Browsererweiterungen oder Warnungen einer Schutzsoftware gehören in eine andere Risikokategorie. Der Beitrag über Infostealer und gestohlene Logins beschreibt den Fall, in dem nicht nur ein Konto, sondern möglicherweise auf dem Gerät gespeicherte Passwörter und Sitzungstoken betroffen sind.
Ohne solche Hinweise ist ein Zurücksetzen des Smartphones allein wegen einer Anmeldeanfrage meist keine zielgenaue erste Maßnahme. Es würde das mögliche Kontoproblem nicht beseitigen und könnte zugleich den Zugriff auf einen wichtigen zweiten Faktor erschweren. Vorrang besitzen die Ablehnung des Logins, die Prüfung des Kontos und die Sicherung der hinterlegten Anmeldewege.
Zahlenabgleich erschwert die versehentliche Freigabe
Eine einfache Ja-Nein-Abfrage lässt sich unter Stress oder aus Gewohnheit falsch bestätigen. Beim Zahlenabgleich zeigt der Anmeldebildschirm eine Zahl, die in der Authenticator-App eingegeben oder dort ausgewählt werden muss. Ohne selbst geöffneten Login fehlt dieser Bezug. Microsoft bezeichnet den Zahlenabgleich in seiner aktuellen Authenticator-Dokumentation als wichtige Sicherheitsverbesserung gegenüber herkömmlichen Push-Freigaben und hat ihn für die unterstützten Microsoft-Authenticator-Anfragen standardmäßig aktiviert.
Auch Google kann bei ungewöhnlichen Anmeldungen verlangen, eine auf dem Anmeldebildschirm gezeigte Zahl mit dem Smartphone abzugleichen. Das reduziert die Wahrscheinlichkeit, dass eine isolierte Push-Meldung beiläufig bestätigt wird. Vollständig unangreifbar wird das Verfahren dadurch nicht. Ein Betrüger am Telefon könnte versuchen, die auf seiner Seite sichtbare Zahl vorzugeben und die Bestätigung als angebliche Sicherheitsprüfung darzustellen. Der entscheidende Grundsatz bleibt deshalb bestehen: Kein Zahlenabgleich gehört zu einem Vorgang, der nicht selbst begonnen wurde.
Zeitbasierte Einmalcodes aus einer Authenticator-App sind gegen Push-Überflutung unempfindlich, können aber auf einer Phishing-Seite in Echtzeit abgefragt werden. SMS-Codes besitzen zusätzlich Risiken durch Rufnummernübernahme und andere Angriffe auf den Mobilfunkweg. Mehr-Faktor-Authentifizierung ist damit weiterhin deutlich besser als ein Passwort allein, ihre konkrete Ausführung entscheidet jedoch darüber, welche Täuschungsversuche sie abfangen kann.
Passkeys und Sicherheitsschlüssel verschieben die Prüfung auf die Technik
Phishing-resistente Anmeldeverfahren wie FIDO-basierte Passkeys und physische Sicherheitsschlüssel binden die kryptografische Anmeldung an den echten Dienst. Ein fremder Login auf einer nachgebauten Domain kann den passenden privaten Schlüssel nicht einfach abfragen, und es gibt keinen sechsstelligen Code, der am Telefon weitergegeben werden könnte. CISA ordnet FIDO beziehungsweise WebAuthn deshalb als stärkere Form der Authentifizierung ein, bei der Push-Bombing nicht auf dieselbe Weise greift.
Wo ein Anbieter Passkeys unterstützt, können sie das Passwort ersetzen oder als besonders starker Faktor dienen. Das bedeutet nicht, dass jedes Konto sofort vollständig passwortlos wird: Wiederherstellungswege, ältere Apps und alternative Loginmethoden können weiterbestehen. Außerdem bleiben Gerätesperre, eine nachvollziehbare Liste hinterlegter Passkeys und sichere Ersatzwege bei Geräteverlust wichtig. Die ausführliche GadgetChecks-Erklärung zu Passkeys statt Passwörtern ordnet diese Unterschiede ein.
Die falsche Konsequenz aus MFA-Bombing wäre, den zweiten Faktor aus Ärger vollständig abzuschalten. Damit fiele genau die Schranke weg, an der der fremde Login zuvor gescheitert ist. Sinnvoller ist ein Wechsel von der leicht versehentlich bestätigten Push-Anfrage zu Zahlenabgleich, Passkey oder Sicherheitsschlüssel, soweit der jeweilige Dienst diese Optionen anbietet.
Arbeits- und Schulkonten brauchen eine zusätzliche Meldung
Bei einem beruflichen oder schulischen Konto kann eine bestätigte Anfrage nicht nur ein Postfach betreffen. Häufig hängen Dateiablagen, Videokonferenzen, interne Anwendungen, VPN-Zugänge und weitere Dienste an derselben Identität. Eine fremde MFA-Anfrage sollte deshalb unverzüglich an die zuständige IT- oder Sicherheitsstelle gemeldet werden, auch wenn sie abgelehnt wurde und das Konto zunächst normal funktioniert.
Administratoren können Anmeldeprotokolle, verwendete Geräte, IP-Zuordnungen, ausgestellte Sitzungstoken und Änderungen an Authentifizierungsmethoden umfassender prüfen als der einzelne Kontoinhaber. Sie können Sitzungen zentral widerrufen, Zugänge vorübergehend sperren und beurteilen, ob weitere Konten ähnliche Anfragen erhalten. Microsoft stellt für Arbeits- und Schulkonten eine Ansicht der jüngsten Anmeldeaktivität bereit; die konkrete Reaktion richtet sich dennoch nach den Regeln der jeweiligen Organisation.
Ein angeblicher Anruf der internen IT, der zur Freigabe einer gerade eintreffenden Anfrage drängt, verdient besondere Skepsis. Der Rückruf erfolgt über eine bekannte interne Nummer oder den offiziellen Supportweg, nicht über die im unerwarteten Anruf mitgeteilten Kontaktdaten. Damit wird derselbe Grundsatz angewendet, der auch andere Beiträge aus Digital sicher verbindet: Eine Warnung kann auf ein echtes Problem hinweisen, darf aber nicht zugleich den einzigen Weg zu dessen angeblicher Lösung vorgeben.
Eine feste Anmelderoutine nimmt dem Angriff den Zeitdruck
MFA-Bombing funktioniert nicht, weil Menschen grundsätzlich unvorsichtig wären, sondern weil viele Apps Bestätigungen als schnelle, alltägliche Nebenhandlung gestalten. Eine einfache Routine durchbricht diesen Automatismus: Erst beginnt der eigene Login, dann erscheint die zugehörige Anfrage, anschließend werden Dienst und gegebenenfalls Zahl verglichen. Fehlt ein Glied dieser Kette, bleibt die Anfrage unbestätigt.
Zur Vorsorge gehören einzigartige Kennwörter in einem Passwortmanager, aktuelle Wiederherstellungsdaten und mehrere kontrollierte Ersatzwege für wichtige Konten. Sicherheitsbenachrichtigungen sollten nicht pauschal deaktiviert werden, weil sie zugleich vor fremden Aktivitäten warnen. Besser ist es, unnötige App-Mitteilungen zu reduzieren, damit eine echte Anmeldeanfrage sichtbar bleibt und bewusst geprüft werden kann.
Werden stärkere Verfahren angeboten, lohnt sich eine Priorisierung nach der Bedeutung des Kontos. E-Mail, Passwortmanager, zentrale Plattformkonten sowie berufliche Zugänge sollten zuerst von schwachen oder leicht übertragbaren Verfahren auf Passkeys, Sicherheitsschlüssel oder zumindest einen Zahlenabgleich umgestellt werden. Sicherheit entsteht dabei nicht durch möglichst viele Abfragen, sondern durch eine Anmeldung, deren Bedeutung im entscheidenden Moment eindeutig bleibt.
Fazit: Eine echte Meldung kann zu einem fremden Login gehören
MFA-Bombing macht aus einer sinnvollen Schutzfunktion eine Geduldsprobe. Die Benachrichtigung stammt häufig wirklich vom Anbieter, doch ausgelöst wurde sie von einer fremden Anmeldung. Genau deshalb helfen weder ein Blick auf das Logo noch das bloße Vertrauen in die Authenticator-App. Maßgeblich ist, ob der angezeigte Vorgang unmittelbar zuvor selbst gestartet wurde.
Eine abgelehnte Anfrage stoppt den aktuellen Freigabeversuch, sollte aber eine Kontrolle von Passwort, Sicherheitsereignissen, Sitzungen, Geräten und Wiederherstellungsdaten auslösen. Nach einer versehentlichen Bestätigung gilt das Konto als gefährdet, bis fremde Zugänge widerrufen und alle Sicherheitsmethoden geprüft sind. Bei Arbeits- und Schulkonten kommt die sofortige Meldung an die zuständige Stelle hinzu.
Langfristig muss die Lösung nicht in noch mehr Warnmeldungen bestehen. Zahlenabgleich vermindert beiläufige Freigaben, während Passkeys und Sicherheitsschlüssel die Anmeldung stärker an den echten Dienst binden. Der zweite Faktor bleibt wertvoll; er sollte nur so gestaltet sein, dass eine fremde Person aus wiederholtem Klingeln keine gültige Zustimmung machen kann.
Häufige Fragen zu MFA-Bombing
Kann eine echte Authenticator-Meldung Teil eines Angriffs sein?
Ja. Beim MFA-Bombing erzeugt der legitime Dienst die Nachricht, weil jemand einen echten Anmelde- oder Wiederherstellungsvorgang gestartet hat. Gefälscht ist nicht zwingend die Meldung, sondern die Behauptung, der zugrunde liegende Login gehöre zum Kontoinhaber.
Bedeutet eine fremde MFA-Anfrage, dass das Passwort gestohlen wurde?
Häufig erreicht ein Angreifer die zweite Stufe erst mit dem richtigen Passwort. Abhängig vom Anbieter können Push-Anfragen jedoch auch durch passwortlose Anmeldungen, Wiederherstellungsabläufe oder zusätzliche Sicherheitsprüfungen entstehen. Das Warnsignal ist ernst, erlaubt aber ohne Kontoprotokoll keine sichere Aussage über den genauen Ausgangspunkt.
Reicht es, eine unbekannte Anfrage abzulehnen?
Die Ablehnung schützt vor diesem konkreten Freigabeversuch. Zusätzlich sollten Sicherheitsereignisse, aktive Sitzungen, Geräte und Anmeldemethoden geprüft werden. Bei einem passwortbasierten Zugang ist ein neues, einzigartiges Kennwort sinnvoll, besonders wenn mehrere Anfragen auftreten oder weitere Auffälligkeiten sichtbar sind.
Ist das Smartphone nach MFA-Bombing gehackt?
Nicht automatisch. Das Telefon kann eine legitime Benachrichtigung eines Dienstes anzeigen, ohne selbst kompromittiert zu sein. Eine separate Geräteprüfung wird erforderlich, wenn zusätzlich verdächtige Software installiert, ein schädlicher Anhang geöffnet oder eine andere konkrete Manipulation bemerkt wurde.
Schützt Zahlenabgleich vollständig vor Push-Bombing?
Zahlenabgleich erschwert eine versehentliche Zustimmung deutlich, weil eine Information vom selbst geöffneten Anmeldebildschirm benötigt wird. Gegen Social Engineering bleibt Aufmerksamkeit erforderlich: Eine fremde Person darf die Zahl nicht telefonisch vorgeben und die Freigabe als Sicherheitsprüfung ausgeben.
Was ist nach einer versehentlichen Bestätigung zuerst zu tun?
Das betroffene Konto sollte über einen vertrauenswürdigen offiziellen Zugang abgesichert werden. Dazu gehören ein Passwortwechsel, das Beenden fremder Sitzungen und die Kontrolle von Geräten, Wiederherstellungsdaten, Authenticator-Registrierungen, Passkeys, App-Passwörtern und verbundenen Anwendungen. Bei beruflichen Konten muss parallel die zuständige IT- oder Sicherheitsstelle informiert werden.
Sollte Mehr-Faktor-Authentifizierung nach solchen Angriffen deaktiviert werden?
Nein. Die zusätzliche Schranke hat verhindert, dass der fremde Login allein mit dem ersten Faktor gelingt. Sinnvoller ist ein stärkeres Verfahren, etwa Push mit Zahlenabgleich, ein Passkey oder ein physischer Sicherheitsschlüssel, sofern der jeweilige Dienst diese Möglichkeit anbietet.
Quellenbasis und Transparenz
Stand der Recherche: 14. September 2026.
Hauptquellen
- CISA: Mehr-Faktor-Authentifizierung, Push-Bombing und phishing-resistente Verfahren
- Microsoft Learn: Zahlenabgleich bei Microsoft-Authenticator-Anfragen
- Google-Kontohilfe: Anmeldung mit Google-Aufforderungen
- Google-Kontohilfe: Ein kompromittiertes Google-Konto absichern
- Apple Support: Unbekannte Anmeldeversuche ablehnen
- BSI: E-Mail-Sicherheit, Zwei-Faktor-Authentisierung und Passkeys
Transparenzhinweis: Der Artikel beruht auf den genannten Behörden- und Anbieterinformationen sowie redaktioneller Einordnung. Es wurde kein eigener MFA-Bombing-Angriff und kein praktischer Kontozugriff durchgeführt.
Technik-Deals im Überblick
Ausgewählte Angebote und zeitlich begrenzte Preisaktionen rund um Technik und Gadgets.
Mehr auf gadgetChecks
Entdecke mehr bei gadgetChecks
Was sich für dich ändert
Regeln, Fristen, Kosten und Warnungen mit ihren konkreten Folgen für Verbraucher.
Alltag Aktuell öffnenGames, Plattformen und Deals
Aktuelle Meldungen zu Releases, Konsolen, PC Gaming, Mobile, Studios und Abos.
Gaming öffnenProdukte, Angebote und Ideen
Neues für Küche, Reinigung, Wohnen, Garten und Balkon – verständlich und praktisch eingeordnet.
Zuhause öffnen
