Konto-Uebernahme (ATO).

Account Takeover (ATO) liegt vor, wenn ein Angreifer gueltige Zugangsdaten, Session-Tokens oder Wiederherstellungswege fuer das Konto eines Opfers erlangt und sich damit als der Nutzer anmeldet. Typische Einstiege sind Phishing, Info-Stealer-Malware, Credential Stuffing mit geleakten Passwoertern, SIM-Swapping zum Abfangen von SMS-Codes, missbrauchte OAuth-Consents und Schwaechen in Recovery-Flows. Im Konto exfiltriert der Taeter Daten, raeumt Wallets ab, leitet Gehaelter um, versendet Phishing aus vertrauenswuerdigen Adressen oder bewegt sich lateral zu anderen Systemen.

Credential Stuffing ist der am staerksten industrialisierte Weg. Beim 23andMe-Vorfall von 2023 spielte ein Angreifer ueber rund fuenf Monate ab April 2023 Benutzername-/Passwort-Paare, die aus voellig unbeteiligten Diensten geleakt waren, gegen die Login-Seite ab. Nur etwa 14.000 Konten wurden direkt geknackt — aber weil 23andMe keine MFA erzwang und die Funktion DNA Relatives verknuepfte Profile offenlegte, las der Eindringling Genetik- und Abstammungsdaten von etwa 6,9 Millionen Personen aus. Der Fall zeigt, wie Passwort-Wiederverwendung plus fehlende MFA eine Handvoll kompromittierter Logins in eine massenhafte Datenoffenlegung verwandelt, und warum die Erkennung anhaltender, verteilter Anmeldeversuche wichtig ist.

Gegenmassnahmen umfassen phishing-resistente MFA (FIDO2/Passkeys), Geraetebindung, anomaliebasierte Login-Analytik, Step-up-Authentifizierung fuer riskante Aktionen, Pruefung auf bekannte Leak-Passwoerter (im Einklang mit NIST SP 800-63B), Rate-Limiting und Bot-Erkennung beim Login sowie schnelle Session- und Token-Revocation, sobald Missbrauch erkannt wird.

flowchart LR
  L[Geleakte Zugangsdaten /<br/>Phishing / Info-Stealer] --> A[Angreifer]
  A --> B{Anmeldeversuch}
  B -->|keine MFA| C[Konto kompromittiert]
  B -->|phishing-resistente MFA<br/>+ Anomalieerkennung| D[Blockiert / Step-up]
  C --> E[Datendiebstahl, Betrug,<br/>verknuepfte Profile auslesen]
  C --> F[Laterales Pivot /<br/>Phishing aus vertrauenswuerdigem Konto senden]
  D -.->|Risk Score| G[Session- & Token-Revocation]