Es ist 3:15 Uhr morgens und das Smartphone auf dem Nachttisch beginnt ununterbrochen zu vibrieren. Auf dem Bildschirm erscheinen Systembenachrichtigungen im Sekundentakt: „Anmeldeanforderung: Microsoft-Konto“, „Haben Sie sich gerade beim PlayStation Network angemeldet?“ oder „Ubisoft-Bestätigung in zwei Schritten“. Innerhalb von zehn Minuten überschwemmen Dutzende Bestätigungsaufforderungen das Telefon. Schlaftrunken, genervt und im Glauben, es handele sich um einen Serverfehler oder eine Endlosschleife der App, greift der Nutzer zum Gerät und tippt auf „Genehmigen“, nur damit das zermürbende Vibrieren endlich aufhört.
Nicht einmal neunzig Sekunden später ist die primäre E-Mail-Adresse des Kontos entfernt und ausgetauscht, das Passwort geändert, die Authentifikator-App abgemeldet und die gesamte Spielesammlung — mit Titeln und DLCs im Wert von tausenden Euro sowie jahrelang erspielten Spielständen — vollständig in fremder Hand.
Dieser Angriffsvektor wird in der Cybersicherheit als MFA-Fatigue bezeichnet, häufig auch als Push-Bombing oder Prompt Exhaustion. Da Spieler ihre Konten zunehmend mit Zwei-Faktor-Authentifizierung (2FA/MFA) absichern, haben Kriminelle ihre Methoden angepasst: Statt komplexe kryptografische Sicherheitsmerkmale zu knacken, attackieren sie die psychologische Belastungsgrenze des Menschen, um die zweite Schutzbarriere zu überwinden.
Die Mechanik eines MFA-Fatigue-Angriffs
Ein Push-Bombing-Angriff geschieht niemals zufällig; er stellt den finalen Schritt eines zielgerichteten Credential-Stuffing-Angriffs dar:
- Beute aus Datenlecks: Angreifer beschaffen sich E-Mail-Adressen und Passwörter aus zurückliegenden Datenpannen (wie gehackten Gaming-Foren, Hardware-Shops oder Discord-Datenlecks).
- Kollision mit dem zweiten Faktor: Der Angreifer gibt die korrekten Zugangsdaten im offiziellen Login-Portal ein (etwa bei Xbox, PlayStation Network oder Ubisoft). Da die Zwei-Faktor-Authentifizierung aktiv ist, stoppt das System den Login und sendet eine Bestätigungsanfrage an das Smartphone des Spielers.
- Automatisierte Dauerfeuer-Angriffe: Der Angreifer gibt keineswegs auf, sondern lässt automatisierte Skripte laufen, die im Sekundentakt neue Login-Versuche anstoßen. Dies löst eine massive Kaskade von Push-Meldungen, SMS oder Bestätigungsdialogen auf dem Telefon des Opfers aus.
- Psychologische Zermürbung: Die Angriffe werden bevorzugt mitten in der Nacht oder in stressigen Spielsituationen initiiert. Das Ziel ist simpel: Die Aufmerksamkeit des Opfers soll gebrochen werden, sodass aus Versehen, Verwirrung oder schierer Verzweiflung über das Dauerbrummen auf „Genehmigen“ getippt wird.
Was in den ersten 60 Sekunden nach dem Antippen von „Genehmigen“ geschieht
Ein einziger unbedachter Tipp auf „Genehmigen“ erteilt dem Angreifer ein gültiges Sitzungstoken mit vollen administrativen Rechten. Automatisierte Hijacking-Bots spulen binnen Sekunden ein standardisiertes Programm ab:
- Änderung des primären Kontonamens: Bei Microsoft-Konten fügen Angreifer umgehend ein neues outlook.com-Alias hinzu, machen dieses zum primären Anmeldenamen und löschen die ursprüngliche E-Mail-Adresse des Spielers. Dies nimmt dem rechtmäßigen Besitzer jede Möglichkeit, das Passwort per E-Mail zurückzusetzen.
- Entfernung bisheriger Authentifizierungsmethoden: Angreifer hinterlegen ihren eigenen Sicherheitsschlüssel, heben die Verknüpfung mit dem Mobiltelefon des Opfers auf und generieren neue Notfall-Wiederherstellungscodes.
- Plünderung von Zahlungsmitteln: Hinterlegte Kreditkarten, PayPal-Konten oder Shop-Guthaben werden binnen kürzester Zeit für den Kauf digitaler Gutscheincodes, Ingame-Währungen oder Geschenke geleert, die an Geldwäsche-Zweitkonten transferiert werden.
- Deautorisierung von Konsolen: Verknüpfte PlayStation- oder Xbox-Geräte werden aus der Ferne entkoppelt, wodurch die physische Konsole den Zugriff auf alle digitalen Lizenzen verliert.
Technische Unterschiede zwischen den Plattformen
Die Art und Weise, wie die einzelnen Spieleplattformen den zweiten Authentifizierungsfaktor implementieren, bestimmt maßgeblich deren Anfälligkeit für Push-Bombing:
1. Microsoft und Xbox: Vollständige Blockade durch Nummernvergleich (Number Matching)
Klassische Dialoge mit simplen „Genehmigen / Ablehnen“-Schaltflächen sind die Hauptangriffsfläche für Push-Bombing. Um diese Schwachstelle zu schließen, hat Microsoft in seiner Authentifikator-App den Nummernvergleich (Number Matching) verpflichtend eingeführt. Beim Anmeldeversuch im Browser wird eine zweistellige Zahl angezeigt, die der Nutzer von Hand in die App auf seinem Smartphone eintippen muss. Da der Angreifer die Zahl auf dem fremden Bildschirm nicht sehen kann, ist ein blindes Abnicken unmöglich. Zudem unterstützen Microsoft-Konten den komplett kennwortlosen Betrieb.
2. PlayStation Network: Abkehr von unsicheren SMS
Das PlayStation Network erlaubt 2-Schritt-Verifizierungen per SMS oder über Authentifikator-Apps (wie Google Authenticator). Die SMS-Zustellung ist anfällig für Spamming und SIM-Swapping. Der Wechsel zu einer App mit zeitbasierten Einmalkennwörtern (TOTP) verhindert Push-Bombing vollständig, da diese Apps alle 30 Sekunden lokal einen sechsstelligen Code generieren, ohne lästige Push-Nachrichten auf das Gerät zu senden.
3. Steam: Der strukturelle Schutz von Steam Guard
Die mobile Steam-Guard-App setzt bei PC-Anmeldungen prinzipbedingt nicht auf blindes Freigeben per Push-Button. Für den Login auf dem Desktop muss entweder ein dynamischer QR-Code vom Bildschirm gescannt oder ein fünfstelliger alphanumerischer Code aus der App abgetippt werden. Push-Meldungen existieren zwar für Handelsbestätigungen, ein reiner Konto-Login lässt sich durch Push-Dauerfeuer jedoch nicht erzwingen.
4. Ubisoft Connect und EA-Konto
Ubisoft und EA nutzen E-Mail-Sicherheitscodes und Authentifikator-Apps. Erhalten Sie unaufgefordert eine E-Mail mit einem Bestätigungscode, bedeutet dies unmissverständlich, dass ein Angreifer gerade Ihr korrektes Passwort im Anmeldefenster eingegeben hat.
Sofortmaßnahmen bei einem laufenden Angriff
Wird Ihr Smartphone in diesem Moment von einer Flut an Bestätigungsaufforderungen heimgesucht, ergreifen Sie sofort folgende Schritte:
- Unter keinen Umständen genehmigen: Tippen Sie auf „Ablehnen“ und wählen Sie „Das war ich nicht“ oder „Verdächtige Aktivität melden“.
- Die Bedrohungslage begreifen: Push-Bombing beweist, dass der Angreifer Ihr korrektes Passwort bereits kennt. Das Ablehnen der Benachrichtigung hält die Tür nur temporär zu; eine Passwortänderung ist unvermeidlich.
- Passwort von einem sicheren Gerät ändern: Öffnen Sie auf einem anderen PC oder Smartphone die offizielle Sicherheitsseite der Plattform und setzen Sie ein neues, eigenständiges Passwort mit mindestens 16 Zeichen.
- Alle aktiven Sitzungen beenden: Nutzen Sie im Sicherheitsmenü die Funktion „Überall abmelden“ oder „Vertrauenswürdige Geräte entfernen“, um eventuell erzeugte Sitzungstoken sofort ungültig zu machen.
- Kontoinformationen und Verknüpfungen prüfen: Kontrollieren Sie, ob fremde E-Mail-Adressen, unbekannte Telefonnummern oder nicht autorisierte Konsolen hinterlegt wurden.
Werden zu nächtlicher Stunde wiederholt unaufgeforderte Authentifizierungsanfragen für Spielekonten auf dem Smartphone gemeldet, raten die Sicherheitsleitfäden von 365Finds dazu, die Häufung dieser Aufforderungen als Beweis für ein kompromittiertes Hauptpasswort zu werten und umgehend die Zugangsdaten zu aktualisieren.
Checkliste zur Kontenhärtung
- Nummernvergleich oder TOTP-Apps nutzen: Ersetzen Sie einfache One-Tap-Bestätigungen durch Nummernvergleich oder zeitbasierte Einmalpasswörter.
- Keine Passwörter wiederverwenden: Verwenden Sie für Ihre Gaming-Hauptkonten niemals Kennwörter, die Sie auch in Fan-Foren, bei Discord-Bots oder Nebendiensten nutzen.
- Offline-Notfallcodes sichern: Bewahren Sie die bei der 2FA-Einrichtung erzeugten Einmal-Wiederherstellungscodes handschriftlich in einem Notizbuch oder in einem verschlüsselten Passworttresor auf.
- Kaufabwicklungen auf Konsolen absichern: Richten Sie eine verpflichtende PIN-Abfrage bei Zahlungen im Konsolen-Store ein, um sofortige Abbuchungen nach einem unbefugten Zugriff zu verhindern.