Man In The Middle

Man In The Middle wird auch als Mittelsmannangriff bezeichnet. Der Angreifer täuscht dem Nutzer vor, direkt mit einer Website zu kommunizieren, während der Server eine vermeintlich direkte Verbindung zum Nutzer annimmt. Tatsächlich kontrolliert eine dritte Instanz den dazwischenliegenden Übertragungsweg.

So funktioniert Man In The Middle

Bei einem Man-In-The-Middle-Angriff entstehen häufig zwei getrennte Verbindungen: eine zwischen Nutzer und Angreifer sowie eine zwischen Angreifer und Zielserver. Der Angreifer empfängt die Daten auf der ersten Verbindung und leitet sie über die zweite weiter. Ohne wirksame Authentifizierung bemerken beide Kommunikationspartner die Zwischenstation möglicherweise nicht.

Ein einfaches Beispiel ist ein manipuliertes öffentliches WLAN. Ein Nutzer verbindet sich mit einem Zugangspunkt, dessen Name wie der offizielle Hotspot eines Hotels aussieht. Der Betreiber des falschen Zugangspunkts kann unverschlüsselte HTTP-Anfragen lesen, verändern oder auf andere Seiten umleiten.

Typische Varianten eines MITM-Angriffs

Man In The Middle beschreibt ein Angriffsmuster und keine einzelne technische Methode. Die Varianten unterscheiden sich danach, an welcher Stelle der Kommunikationsweg manipuliert wird und ob der Angreifer nur mitliest oder aktiv Inhalte verändert.

• Manipulierter WLAN-Zugangspunkt: Ein nachgeahmter Hotspot leitet den gesamten Datenverkehr verbundener Geräte über die Infrastruktur des Angreifers.
• ARP-Spoofing: In einem lokalen Netzwerk ordnet der Angreifer seine eigene Hardwareadresse der IP-Adresse eines Routers oder anderen Geräts zu.
• DNS-Spoofing: Eine manipulierte Namensauflösung schickt Nutzer zu einer anderen IP-Adresse, obwohl sie die richtige Domain eingegeben haben.
• SSL-Stripping: Der Angreifer versucht, eine vorgesehene HTTPS-Verbindung auf unverschlüsseltes HTTP zurückzustufen.
• Manipulierter Proxy: Ein kompromittierter oder absichtlich kontrollierter Zwischenserver liest und verändert den darüber laufenden Datenverkehr.

Schützt HTTPS vor Man In The Middle?

HTTPS erschwert einen Man-In-The-Middle-Angriff, weil TLS die übertragenen Daten verschlüsselt und die Identität des Servers über ein Zertifikat bestätigt. Der Schutz funktioniert jedoch nur, wenn der Browser das Zertifikat korrekt prüft, der Nutzer Zertifikatswarnungen nicht übergeht und die Verbindung nicht auf HTTP zurückfällt.

Der verbreitete Denkfehler lautet: Eine HTTPS-Adresse beweise, dass eine Website vertrauenswürdig sei. HTTPS schützt in erster Linie den Transportweg zur angegebenen Domain. Eine betrügerische Website kann ebenfalls ein gültiges Zertifikat besitzen. Prüfe deshalb zusätzlich die Domain, den Inhalt und unerwartete Browserwarnungen.

Eine Website sollte ausschließlich über HTTPS erreichbar sein. HTTP-Aufrufe müssen auf die entsprechende HTTPS-URL weiterleiten. Ein gültiges SSL/TLS-Zertifikat und HTTP Strict Transport Security, kurz HSTS, reduzieren das Risiko unverschlüsselter Verbindungen. Die technischen Prüfunterlagen der OSG empfehlen außerdem eine laufende Kontrolle der Weiterleitungen und der Zertifikatsgültigkeit.

Folgen für SEO, SEA und GEO

Man In The Middle ist kein eigenständiger Google-Ranking-Faktor. Eine manipulierte Datenübertragung kann jedoch technische und geschäftliche Folgen erzeugen, die organische Rankings, Kampagnen und die Markenwahrnehmung beeinträchtigen. Dazu gehören veränderte Inhalte, schädliche Weiterleitungen, blockierte Ressourcen, Browserwarnungen und gestohlene Zugangsdaten.

Risiken für SEO

Bei SEO können unterschiedliche Inhalte an Nutzer und Suchmaschinen ausgeliefert werden, wenn DNS, Proxy oder Infrastruktur manipuliert wurden. Suchmaschinen treffen dann möglicherweise auf Weiterleitungen, Fehlerseiten oder eingeschleusten Code. Ein technisches SEO-Audit sollte deshalb neben Statuscodes und Indexierung auch HTTPS, Weiterleitungen und Zertifikatsprobleme prüfen.

Risiken für SEA

Bei SEA kann ein Man-In-The-Middle-Angriff den Datenverkehr zwischen einer Anzeige und der Landingpage beeinflussen. Manipulierte Formulare können Leads oder Zahlungsdaten an Dritte senden. Browserwarnungen und fehlerhafte HTTPS-Verbindungen erhöhen zudem die Wahrscheinlichkeit, dass Nutzer die Landingpage vor einer Conversion verlassen.

Risiken für GEO

GEO, ausgeschrieben Generative Engine Optimization, optimiert Inhalte für Antworten generativer Suchsysteme. Man In The Middle beeinflusst GEO meist indirekt: Wenn Bots, Nutzer oder Analyseprozesse manipulierte Inhalte erhalten, werden Sichtbarkeit und Quellenqualität falsch bewertet. Unternehmen benötigen deshalb eine konsistente, sicher ausgelieferte Website als belastbare Grundlage für Google und KI-Suchen.

Man In The Middle erkennen

Ein einzelnes Symptom beweist keinen MITM-Angriff. Mehrere gleichzeitig auftretende Abweichungen erhöhen jedoch den Prüfbedarf. Dazu zählen neue Zertifikatswarnungen, unerwartete Weiterleitungen, eine abweichende Domain, plötzlich unverschlüsselte Seiten und Inhalte, die sich je nach Netzwerk unterscheiden.

Messbar ist das zum Beispiel so: Ein technischer Crawl prüft, ob URLs parallel über HTTP und HTTPS erreichbar sind, ob Weiterleitungen korrekt funktionieren und ob Ressourcen unverschlüsselt eingebunden werden. Der Technik-Crawler der Performance Suite kann solche Website-Konfigurationen systematisch kontrollieren. Die zugrunde liegenden Prüfregeln sehen vor, HTTP entweder zu deaktivieren oder vollständig auf HTTPS weiterzuleiten.

• Rufe dieselbe Website über unterschiedliche vertrauenswürdige Netzwerke auf und vergleiche Zertifikat, Domain und Inhalte.
• Prüfe, ob jede HTTP-URL mit einer permanenten Weiterleitung auf die passende HTTPS-URL führt.
• Kontrolliere das Ablaufdatum und den Domainnamen des TLS-Zertifikats.
• Untersuche DNS-Einstellungen, Proxy-Konfigurationen und unbekannte Browser-Erweiterungen.
• Ändere Zugangsdaten über ein vertrauenswürdiges Gerät, wenn eine Manipulation wahrscheinlich ist.

Schutz vor MITM-Angriffen

Der wirksamste Schutz kombiniert eine abgesicherte Website mit einem kontrollierten Zugriff durch Nutzer und Mitarbeiter. Eine einzelne Maßnahme reicht nicht aus, weil Man In The Middle sowohl auf Netzwerkebene als auch über DNS, Zertifikate, Endgeräte oder kompromittierte Konten vorbereitet werden kann.

• Stelle alle Seiten, Formulare, Bilder, Skripte und Downloads vollständig über HTTPS bereit.
• Leite HTTP konsequent auf HTTPS um und aktiviere HSTS nach einer technischen Prüfung.
• Erneuere TLS-Zertifikate rechtzeitig und überwache Änderungen am Zertifikat.
• Verwende eine Mehrfaktor-Authentifizierung für CMS, Hosting, DNS und Werbekonten.
• Nutze in fremden Netzwerken eine vertrauenswürdige VPN-Verbindung und vermeide offene WLANs für sensible Vorgänge.
• Halte Browser, Betriebssysteme, Router und Sicherheitssoftware aktuell.

Bei einem Website-Relaunch müssen HTTPS, Weiterleitungen und externe Ressourcen bereits vor der Veröffentlichung geprüft werden. Die SEO-Checkliste für den Website-Relaunch hilft dabei, technische Anforderungen strukturiert in den Ablauf aufzunehmen.

Abgrenzung zu ähnlichen Angriffen

Der Unterschied zwischen Man In The Middle und Phishing liegt im Angriffspunkt. Phishing bringt einen Nutzer meist dazu, Daten auf einer gefälschten Website einzugeben. Man In The Middle greift eine bestehende Kommunikation ab oder verändert sie. Beide Methoden können kombiniert werden, wenn eine manipulierte Verbindung auf eine gefälschte Login-Seite führt.

Der Unterschied zwischen Man In The Middle und Malware liegt im Übertragungsweg. Malware läuft als schädliche Software auf einem Endgerät oder Server. Ein MITM-Angriff kann ohne installierte Schadsoftware erfolgen, beispielsweise über einen manipulierten WLAN-Zugangspunkt. Malware kann allerdings Proxy- oder DNS-Einstellungen verändern und dadurch einen solchen Angriff vorbereiten.

Wenn du HTTPS, Weiterleitungen und weitere technische Risiken deiner Website fachlich prüfen lassen möchtest, kannst du einen unverbindlichen Potenzialcheck anfragen.

Kostenloser Potenzialcheck

Häufige Fragen zu Man In The Middle