Glossar · einfach erklärt

Man-in-the-Middle-Angriff (MitM)

Beim MitM-Angriff sitzt der Angreifer unbemerkt zwischen zwei Parteien — und liest mit oder manipuliert die Kommunikation.

Bei einem Man-in-the-Middle-Angriff (MitM, auch On-Path-Angriff) schaltet sich der Angreifer unbemerkt zwischen zwei Kommunikationspartner: Beide glauben, direkt miteinander zu sprechen, tatsächlich läuft alles über den Angreifer — der mitlesen, aufzeichnen oder gezielt verändern kann.

Die Einstiegspunkte sind vielfältig: manipulierte WLANs, vergiftete Namensauflösung (ARP- oder DNS-Spoofing), kompromittierte Router — oder gefälschte Zertifikate, wenn Nutzer Warnungen wegklicken.

Wie MitM-Angriffe funktionieren

Im lokalen Netz genügt oft ARP-Spoofing: Der Angreifer gibt sich als Gateway aus, und aller Verkehr fließt durch sein Gerät. Im offenen WLAN übernimmt ein bösartiger Hotspot dieselbe Rolle. Auf Internet-Ebene führen DNS-Manipulationen Opfer auf nachgebaute Server, ohne dass die Adresszeile verdächtig aussieht.

Die Gegenwehr ist vor allem kryptografisch: Durchgängiges TLS macht Mitlesen wertlos und Manipulation erkennbar — sofern Zertifikatswarnungen ernst genommen werden. DNSSEC sichert die Namensauflösung, verschlüsseltes DNS (DoH/DoT) den Weg dorthin; Zero-Trust-Zugriff ersetzt das Vertrauen ins lokale Netz gleich ganz.

Typische MitM-Szenarien

Böser Zwilling: gefälschter WLAN-Hotspot mit vertrautem Namen.
ARP-Spoofing im LAN: Angreifer spielt Gateway.
DNS-Spoofing: manipulierte Auflösung führt auf nachgebaute Dienste.
TLS-Downgrade und Zertifikats-Tricks bei sorglosen Clients.

Häufige Fragen zu Man-in-the-Middle-Angriff (MitM)

Schützt HTTPS zuverlässig vor MitM?

Weitgehend ja — solange die Zertifikatsprüfung intakt bleibt: Der Angreifer kann Verkehr zwar umleiten, aber kein gültiges Zertifikat für die echte Domain vorweisen. Kritisch wird es, wenn Nutzer Warnungen wegklicken oder Geräte fremde Wurzelzertifikate installiert haben.

Wie riskant ist öffentliches WLAN heute?

Deutlich entschärft, weil fast aller Verkehr TLS-verschlüsselt ist — Mitlesen liefert kaum noch Klartext. Restrisiken sind gefälschte Portale und Downgrade-Tricks. Wer sensibel arbeitet, nutzt zusätzlich ZTNA oder VPN und meidet Anmeldungen über unbekannte Captive Portals.

Was ist ARP-Spoofing?

Ein Angriff im lokalen Netz: Der Angreifer beantwortet Adressanfragen mit der eigenen Hardware-Adresse und gibt sich so als Gateway aus — der Verkehr aller Opfer fließt durch ihn. Gegenmittel sind Switch-Schutzfunktionen und das Prinzip, dem LAN nicht blind zu vertrauen.

Hilft Zero Trust gegen MitM?

Ja, strukturell: Zero Trust behandelt jedes Netz als unsicher — Zugriff läuft über authentifizierte, Ende-zu-Ende-verschlüsselte Tunnel mit Geräteprüfung. Ob unterwegs jemand mitlauscht, wird damit weitgehend egal; das lokale Netz verliert seinen Vertrauensbonus.

Was hat DNSSEC mit MitM zu tun?

Manipulierte Namensauflösung ist ein Haupteinstieg: Wer die Antwort fälscht, lenkt Opfer auf eigene Server. DNSSEC macht solche Fälschungen kryptografisch erkennbar, verschlüsseltes DNS schützt zusätzlich den Transportweg der Anfragen.