Warum Phishing-Resistant MFA nicht reicht: MFA Downgrade Attacks als neue Gefahr?
This article is not yet publicly available
This post is in pre-release. If you have been given early access, enter the password below.
Don't have access? Follow @whennotif for release announcements.
Deine FIDO2-Keys schützen dich. Oder?
Du hast alles richtig gemacht. Conditional Access Policies erzwingen Phishing-Resistant MFA. Deine User nutzen FIDO2 Security Keys oder Passkeys. Legacy Auth ist deaktiviert. Authentication Strengths sind konfiguriert.
Und trotzdem kommt der Angreifer rein.
Dieser Artikel ist noch in Arbeit. Die vollständige Analyse mit technischen Details, Angriffsszenarien und konkreten Gegenmaßnahmen erscheint in Kürze.
Was ist ein MFA Downgrade Attack?
Die Idee ist erschreckend einfach: Statt die starke MFA-Methode zu brechen, bringt der Angreifer das System dazu, eine schwächere Methode zu akzeptieren – oder die MFA-Prüfung komplett zu umgehen.
Das passiert nicht durch einen Exploit im klassischen Sinne. Es passiert durch Lücken in der Konfiguration, die fast jeder übersieht.
Was dich erwartet
- Wie Angreifer Authentication Strengths in Entra ID gezielt umgehen
- Warum ein einzelner falsch konfigurierter Conditional Access Policy alles aushebelt
- Reale Angriffsketten aus Incident Response Cases
- Konkrete Hardening-Maßnahmen, die über “aktiviere MFA” hinausgehen
Stay tuned.
Your FIDO2 Keys Protect You. Right?
You did everything by the book. Conditional Access policies enforce phishing-resistant MFA. Your users are on FIDO2 security keys or Passkeys. Legacy auth is disabled. Authentication strengths are configured.
And the attacker still gets in.
This article is still in progress. The full analysis with technical details, attack scenarios, and concrete countermeasures will be published soon.
What Is an MFA Downgrade Attack?
The concept is frighteningly simple: instead of breaking the strong MFA method, the attacker tricks the system into accepting a weaker method – or bypassing the MFA check entirely.
This doesn’t happen through an exploit in the traditional sense. It happens through configuration gaps that almost everyone overlooks.
What to Expect
- How attackers specifically bypass Authentication Strengths in Entra ID
- Why a single misconfigured Conditional Access policy undermines everything
- Real attack chains from incident response cases
- Concrete hardening measures that go beyond “enable MFA”
Stay tuned.