Montag, 17. März 2026: Europol meldet gemeinsam mit Microsoft, Cloudflare und weiteren Partnern die Abschaltung von Tycoon 2FA – einer Phishing-as-a-Service-Plattform, die auf dem Höhepunkt ihrer Aktivität mehr als 500.000 Organisationen im Monat ins Visier nahm und laut Microsoft für 62 Prozent des dort blockierten Phishing-Volumens verantwortlich war. Das Geschäftsmodell dahinter: Adversary-in-the-Middle-Kits (AiTM), die sich unbemerkt zwischen Nutzer und echten Login-Dienst schalten, Zugangsdaten und den zweiten Faktor in Echtzeit abgreifen und anschließend die gültige, bereits durch 2FA abgesicherte Sitzung einfach übernehmen. Laut Microsofts Digital-Defense-Report 2025 gehen inzwischen 80 Prozent aller MFA-Bypass-Vorfälle auf genau diesen Diebstahl von Sitzungs-Tokens zurück – geschätzte 40.000 Fälle täglich, Token-Diebstahl allein war 2025 für 31 Prozent aller Microsoft-365-Sicherheitsvorfälle verantwortlich. Diese Situation ist kein Einzelfall: Wie ich bereits in meinem Artikel zur Zwei-Faktor-Authentifizierung in Ausgabe 25/25 beschrieben habe, ist 2FA längst zum bevorzugten Ziel geworden, nicht mehr nur eine lästige Hürde für Angreifer. Und selbst wo Zugangsdaten gar nicht über Phishing, sondern über kompromittierte Passwort-Tresore abfließen – wie beim LastPass-Einbruch von Dezember 2022 –, zeigt sich dasselbe Muster: Ein einziges gemeinsames Geheimnis, ob Passwort oder Einmalcode, bleibt angreifbar, sobald es übertragen oder gespeichert wird.
Der Mythos: „Mit Zwei-Faktor-Authentifizierung sind wir ausreichend geschützt“
Viele Unternehmen betrachten das Thema Zugangssicherheit als erledigt, sobald 2FA aktiv ist. Was dabei oft vergessen wird: Klassische 2FA-Verfahren wie SMS-Codes, Authenticator-Apps oder einfache Push-Bestätigungen beruhen auf einem Geheimnis oder einer Bestätigung, die zwischen Nutzer und Dienst hin- und hergereicht wird – und genau das lässt sich mit AiTM-Kits wie Tycoon 2FA in Echtzeit abfangen. Der Angreifer meldet sich dabei nicht selbst mühsam an, sondern kopiert einfach die bereits erfolgreich authentifizierte Sitzung des Opfers. Für den Dienst sieht das wie ein ganz gewöhnlicher Login aus. Genau hier liegt der entscheidende Unterschied zu Passkeys nach dem FIDO2/WebAuthn-Standard: Statt eines Codes oder einer Bestätigung, die sich kopieren lässt, signiert das Gerät des Nutzers kryptografisch eine Anfrage, die untrennbar an die exakte Domain gebunden ist, bei der man sich anmeldet. Eine gefälschte Zwischenseite kann diese Signatur weder mitlesen noch weiterverwenden – der Angriff läuft technisch ins Leere.