MITM-Angriff: So funktionieren Man-in-the-Middle-Attacken und wie Sie sich schützen

MITM-Angriff, auch bekannt als "Man-in-the-Middle"-Angriff, ist eine Methode zur Datenabfang, bei der sich ein Angreifer unbemerkt zwischen zwei Kommunikationspartner stellt. Während der Nutzer glaubt, direkt mit einer Webseite, einer App oder einem anderen Gerät zu kommunizieren, läuft ein Teil des Datenverkehrs tatsächlich über eine vom Angreifer kontrollierte Station.

Der Begriff stammt aus dem Englischen Man in the Middle - also "Mann in der Mitte". Solche Angriffe ermöglichen es nicht nur, übertragene Informationen mitzulesen, sondern unter Umständen auch zu manipulieren: Seiten werden gefälscht, Passwörter abgefangen, Nutzer auf andere Webseiten umgeleitet oder der Datenaustausch manipuliert.

MITM-Attacken sind besonders gefährlich in schlecht gesicherten lokalen Netzwerken, öffentlichen WLAN-Hotspots und Situationen, in denen Nutzer Browserwarnungen zu Zertifikaten ignorieren. Moderne Verschlüsselungstechnologien - allen voran HTTPS und TLS - machen derartige Angriffe jedoch deutlich schwieriger.

Im Folgenden erklären wir, was ein Man-in-the-Middle-Angriff ist, wie er abläuft, welche Methoden zur Datenabfang eingesetzt werden und wie man sich vor MITM-Angriffen schützen kann.

Was ist ein MITM-Angriff einfach erklärt?

Ein MITM-Angriff liegt vor, wenn ein Angreifer sich zwischen einen Nutzer und die Ressource schaltet, mit der dieser Daten austauscht. Statt einer direkten Verbindung laufen die Informationen über einen vom Angreifer kontrollierten Zwischenpunkt.

Normalerweise sendet der Nutzer eine Anfrage an eine Webseite, der Server antwortet direkt. Bei einem "Man-in-the-Middle"-Angriff gibt es eine zusätzliche Instanz: Der Nutzer sendet Daten an den Angreifer, der sie erst dann an den Server weiterleitet. Die Antwort folgt dem gleichen Weg zurück.

Die Besonderheit solcher Angriffe besteht darin, dass beide Seiten das Eingreifen oft gar nicht bemerken. Der Nutzer glaubt, mit der echten Webseite zu interagieren, und der Server erhält Anfragen, die wie von einem normalen Client aussehen.

Ist die Verbindung nicht ausreichend gesichert, kann der Angreifer übertragene Daten einsehen - wie Logins, Passwörter, Nachrichteninhalte, besuchte Adressen oder andere sensible Informationen.

In manchen Szenarien belässt es der Angreifer nicht beim Mitlesen: Er kann Daten vor der Weiterleitung verändern, etwa Links austauschen, Nutzer auf andere Seiten weiterleiten, Serverantworten manipulieren oder zusätzliche Informationen abgreifen.

Wichtig: Ein MITM-Angriff bedeutet nicht, dass jeder, der im gleichen Netzwerk ist, automatisch den gesamten Datenverkehr sieht. Der Angreifer muss es zuerst schaffen, die Kommunikation gezielt über sein eigenes Gerät umzuleiten.

Deshalb sind MITM-Attacken häufig mit lokalen Netzwerken, gefälschten WLAN-Hotspots, Manipulation von Netzwerkadressen und anderen Methoden verbunden, mit denen der Kommunikationsweg beeinflusst wird.

Wie funktioniert ein Man-in-the-Middle-Angriff?

Um einen MITM-Angriff durchzuführen, muss der Angreifer den Kommunikationskanal zwischen Nutzer und Dienst gezielt beeinflussen. Ab dann läuft der Datenverkehr über den kontrollierten Zwischenpunkt - für beide Seiten sieht die Verbindung aber weiterhin normal aus.

Wie gelangt der Angreifer zwischen Nutzer und Server?

Die Methode hängt vom jeweiligen Netzwerk und Angriffstyp ab. In einem lokalen Netz kann der Angreifer versuchen, Netzwerkdaten zu manipulieren, sodass Geräte einen Teil des Traffics über seinen Rechner senden. Oder der Nutzer verbindet sich selbst mit einem gefälschten WLAN-Hotspot, der wie ein bekanntes öffentliches Netz aussieht.

Die typische Kette lautet dann:

• Nutzer → Gerät des Angreifers → echter Server

Für den Server wirken die Anfragen normal, da sie nur weitergeleitet werden. Auch der Nutzer erhält scheinbar echte Antworten, sodass Webseite oder App wie gewohnt funktionieren.

Abfangen und Verändern von Daten

Werden Daten unverschlüsselt übertragen, kann der Angreifer den Inhalt analysieren. Je nach Protokoll und Netzwerkkonfiguration betrifft das Anfragen, Seiteninhalte, Sitzungs-IDs und mehr.

MITM wird nicht nur zum Mitlesen eingesetzt. Kann der Angreifer den durchlaufenden Traffic verändern, kann er etwa Serverantworten manipulieren, bevor diese beim Nutzer ankommen.

Beispiel: Die aufgerufene Seite kommt vom echten Server, wird aber beim Durchlauf durch das Zwischen-Gerät verändert und erst dann im Browser angezeigt. Der Server bemerkt davon meist nichts.

Warum bleibt ein Angriff lange unbemerkt?

Die Gefahr bei MITM ist, dass die Datenübertragung scheinbar normal weiterläuft. Die Webseite öffnet sich, Apps antworten, das Internet funktioniert - eindeutige Anzeichen fehlen oft.

Angreifer sind daran interessiert, den Datenverkehr möglichst unverfälscht weiterzuleiten und sich nur gezielt einzumischen. Kommt es zu Verbindungsabbrüchen oder Fehlern, steigt das Risiko, dass der Angriff auffällt.

Moderne Verschlüsselung setzt den Möglichkeiten enge Grenzen. Wird eine korrekt gesicherte HTTPS-Verbindung aufgebaut, sieht ein Zwischenpunkt zwar, dass Daten übertragen werden, kann jedoch ohne weitere Voraussetzungen den Inhalt der verschlüsselten Kommunikation nicht einsehen.

Daher setzen moderne Man-in-the-Middle-Angriffe weniger auf das bloße Abhören, sondern versuchen, das Gerät zu täuschen, den Traffic umzuleiten oder das Vertrauen des Nutzers in eine vom Angreifer kontrollierte Verbindung zu erschleichen.

Die wichtigsten Arten von MITM-Angriffen

Ein MITM-Angriff kann auf verschiedene Weise durchgeführt werden. Das Ziel bleibt immer gleich: Datenverkehr soll über eine vom Angreifer kontrollierte Stelle laufen, oder der Nutzer wird unbemerkt umgeleitet.

ARP-Spoofing

ARP-Spoofing ist eine der bekanntesten Methoden für Man-in-the-Middle-Angriffe in lokalen Netzwerken. Das ARP-Protokoll dient dazu, IP-Adressen Geräten zuzuordnen.

Der Angreifer sendet gefälschte ARP-Nachrichten ins Netzwerk und überzeugt die Geräte davon, dass sein Rechner die Adresse des Routers besitzt. Gleichzeitig erhält der Router Informationen, als wäre das Gerät des Angreifers der Computer des Opfers.

Folge: Ein Teil des Traffics läuft über das Zwischen-Gerät:

• Computer des Nutzers → Gerät des Angreifers → Router

Die Verbindung zum Internet funktioniert meist weiterhin, sodass der Nutzer die Manipulation nicht bemerkt. Der Angreifer kann jedoch den Datenverkehr analysieren, und bei fehlender Verschlüsselung sogar einsehen oder verändern.

ARP-Spoofing funktioniert nur innerhalb eines lokalen Netzwerks. Das Risiko besteht vor allem in schlecht gesicherten Firmen-, Heim- oder öffentlichen Netzen, in die sich der Angreifer einschleusen konnte.

DNS-Spoofing

DNS wandelt bekannte Webadressen in IP-Adressen um. Gibt der Nutzer einen Domainnamen ein, wird zunächst die korrekte Zieladresse ermittelt.

Beim DNS-Spoofing manipuliert der Angreifer genau diese Antwort. Der Nutzer tippt die richtige Webadresse ein, erhält aber eine falsche IP-Adresse und wird so zu einem anderen Server weitergeleitet.

Das Gefährliche: Die Adresszeile zeigt weiterhin die gewohnte Domain. Die gefälschte Seite kann die echte optisch exakt kopieren.

Allerdings erschwert modernes HTTPS solche Angriffe erheblich. Kann der gefälschte Server kein gültiges Zertifikat für die gewünschte Domain präsentieren, warnt der Browser vor einer unsicheren Verbindung.

MITM-Angriffe im öffentlichen WLAN

Offene WLAN-Netze sind ein typisches Beispiel für MITM-Risiken. Das Problem liegt nicht im WLAN selbst, sondern darin, dass Nutzer oft nicht wissen, wer die Zugangspunkte betreibt und wie diese konfiguriert sind.

Ein Angreifer kann ein Netzwerk mit dem Namen eines Cafés, Hotels oder Flughafens eröffnen. Verbindet sich der Nutzer damit, geht der gesamte Internetverkehr über die Infrastruktur des Angreifers.

Alternativ kann innerhalb eines gemeinsamen lokalen Netzes per ARP-Spoofing in die Kommunikation eingegriffen werden.

Geschützte HTTPS-Verbindungen verhindern zwar das Auslesen von Seiten, Passwörtern oder Nachrichten. Ungesicherte Protokolle oder Nutzerfehler - wie das Ignorieren von Zertifikatswarnungen - erhöhen jedoch das Angriffsrisiko.

Das reine Verbinden mit öffentlichem WLAN bedeutet noch nicht, dass die Daten abgefangen werden. Die tatsächliche Gefahr hängt von der Netzstruktur, den verwendeten Protokollen und der Sicherheit der genutzten Programme ab.

Schützt HTTPS vor MITM-Angriffen?

HTTPS ist eine der wichtigsten Technologien zum Schutz vor Datenabfang bei MITM-Angriffen. Es nutzt TLS-Verschlüsselung, sodass Informationen zwischen Browser und Server nur verschlüsselt übertragen werden.

Selbst wenn sich ein Angreifer zwischen Nutzer und Webseite befindet, kann er zwar die Verbindung und einige technische Details sehen, aber nicht den Inhalt der übertragenen Daten. Logins, Passwörter, Nachrichten und Seiteninhalte bleiben in einer korrekt gesicherten HTTPS-Verbindung geheim.

Mehr zu Aufbau und Funktionsweise sicherer Verbindungen haben wir im Artikel "TLS 1.3: Wie moderne HTTPS-Verschlüsselung Webseiten schneller und sicherer macht" erklärt.

Wie schützen Zertifikate die Verbindung?

Verschlüsselung allein reicht nicht: Der Browser muss sicherstellen, dass er mit dem richtigen Server verbunden ist. Dafür dienen digitale Zertifikate, die den Domainnamen mit einem kryptografischen Schlüssel verknüpfen.

Öffnet der Nutzer eine HTTPS-Webseite, prüft der Browser das Zertifikat: Für wen es ausgestellt wurde, ob es abgelaufen ist und ob die ausstellende Organisation vertrauenswürdig ist. Besteht die Prüfung, wird eine sichere Verbindung aufgebaut.

Das verhindert klassische MITM-Angriffe: Ein Angreifer kann nicht einfach seinen eigenen Server dazwischenschalten, da ihm ein gültiges Zertifikat für die fremde Domain fehlt.

Warum Browserwarnungen nicht ignorieren?

Kann der Browser die Echtheit eines Zertifikats nicht bestätigen, erscheint eine Warnung. Diese kann auf eine fehlerhafte Serverkonfiguration, ein abgelaufenes Zertifikat oder einen MITM-Versuch hindeuten.

Gerade bei bekannten Diensten ist eine solche Warnung verdächtig. In diesem Fall sollten keine Passwörter oder Zahlungsdaten eingegeben werden, bis die Ursache geklärt ist.

Auch die Webadresse sollte geprüft werden: Phishing-Seiten können ein gültiges HTTPS-Zertifikat besitzen, aber eine ähnlich aussehende Domain nutzen.

Kann man HTTPS-Traffic abfangen?

Allein die Position zwischen Nutzer und Server ermöglicht es nicht, HTTPS-Daten zu entschlüsseln. Moderne TLS-Versionen verhindern, dass Zwischenstellen einfach den Schlüssel abgreifen und den Verkehr mitlesen.

In Ausnahmefällen kann der Traffic jedoch entschlüsselt werden, etwa wenn auf dem Gerät ein von Dritten kontrolliertes, als vertrauenswürdig eingestuftes Zertifikat installiert ist. Solche Mechanismen werden in Firmen-Netzwerken zur Traffic-Analyse genutzt, können aber auch missbraucht werden.

Schutzmechanismen greifen auch dann nicht, wenn der Nutzer selbst eine Phishing-Seite mit gültigem HTTPS besucht. Das Schloss-Symbol garantiert nur die Verschlüsselung zwischen Browser und Server, nicht aber, dass der Server vertrauenswürdig ist.

HTTPS senkt das Risiko erfolgreicher MITM-Angriffe erheblich, ist aber nur ein Baustein im Gesamtkonzept. Man sollte stets die Adresse prüfen, Warnungen beachten und keine unbekannten Zertifikate installieren.

Wie erkennt und verhindert man MITM-Angriffe?

Einzelne Anzeichen reichen meist nicht aus, um eine MITM-Attacke zu erkennen. Oft läuft das Internet scheinbar normal weiter, Angreifer agieren möglichst unauffällig. Daher setzt die Abwehr nicht nur auf Erkennung, sondern vor allem auf Prävention.

Auf Zertifikatsfehler achten

Ein Warnhinweis bezüglich des Zertifikats ist eines der deutlichsten Anzeichen für eine mögliche Manipulation. Zwar kann dies auch durch Serverfehler verursacht werden, aber bei bekannten Diensten ist Vorsicht geboten. In solchen Fällen sollten keine Passwörter oder Zahlungsdaten eingegeben und das Problem zuerst geklärt werden.

Auch die Webadresse sollte geprüft werden: Phishing-Seiten können optisch echt wirken, aber eine abweichende Domain nutzen.

Vorsicht bei öffentlichem WLAN

In öffentlichen Bereichen sollte man sich nicht nur wegen eines bekannten Namens mit einem WLAN verbinden. Im Zweifel empfiehlt es sich, den offiziellen Netzwerknamen beim Personal zu erfragen.

Für sensible Aktionen - Online-Banking, Firmenaccounts oder vertrauliche Dokumente - ist mobiles Internet oder ein vertrautes Netzwerk die sicherere Wahl.

Mehr zu Risiken und Schutzmöglichkeiten in offenen Netzen finden Sie im Artikel "Öffentliche WLAN-Sicherheit: So schützen Sie Ihre Daten 2025".

HTTPS und moderne Anwendungen nutzen

Die meisten aktuellen Webseiten und Apps verwenden TLS, dadurch wird das passive Mitlesen des Datenverkehrs erheblich erschwert. Nutzer sollten die eingebauten Sicherheitsmechanismen des Browsers aktiviert lassen und Apps regelmäßig aktualisieren.

Ältere Programme und Protokolle können veraltete Verschlüsselung nutzen oder Daten sogar unverschlüsselt übertragen. In solchen Fällen ist ein Angreifer im gleichen Netzwerk besonders gefährlich.

Zwei-Faktor-Authentifizierung verwenden

Gelangt ein Angreifer doch an das Passwort, verhindert ein zweiter Faktor oft den Zugang zum Account. Authentifizierungs-Apps und Hardware-Sicherheitsschlüssel sind hier besonders nützlich.

Zwei-Faktor-Authentifizierung verhindert zwar keinen MITM-Angriff an sich, reduziert aber die Folgen eines Datenlecks. Fortschrittliche Phishing-Methoden können auch Einmalcodes abgreifen, daher sind hardwaregebundene Verfahren wie Sicherheitsschlüssel und Passkeys am zuverlässigsten.

Effektiver Schutz vor MITM-Attacken setzt sich aus mehreren Ebenen zusammen: Verschlüsselung, Zertifikatsprüfung, umsichtiges Verhalten in fremden Netzen und zusätzlicher Kontoschutz. Je weniger der Nutzer diese Schutzsysteme abschaltet oder ignoriert, desto schwerer kann ein Angreifer unbemerkt in die Kommunikation eingreifen.

Fazit

MITM-Angriffe basieren darauf, dass sich ein Angreifer zwischen Nutzer und Server schaltet und den Datenverkehr kontrolliert. Genutzt werden Methoden wie ARP-Spoofing, DNS-Spoofing, gefälschte WLAN-Hotspots und andere Formen der Netzwerkmanipulation.

Der beste Schutz gegen Man-in-the-Middle-Attacken sind korrekt implementiertes HTTPS mit TLS, die Überprüfung von Zertifikaten und ein wachsamer Umgang mit Browserwarnungen. Selbst wenn der Angreifer den Traffic über sein eigenes Gerät leiten kann, verhindert moderne Verschlüsselung das Auslesen geschützter Inhalte.

Nutzer sollten Zertifikatswarnungen ernst nehmen, den Webadressen Aufmerksamkeit schenken, vorsichtig mit fremden WLAN-Netzen umgehen und zusätzliche Kontoschutzmaßnahmen einsetzen. Diese einfachen Schritte senken das Risiko, dass ein MITM-Angriff zum Daten- oder Accountdiebstahl führt, erheblich.