Bei der mitm-Attack schaltet sich ein Dritter mittels Spoofing (z.B. Web-Spoofing) in die gesicherte Kommunikation von zwei Partnern. D.h. er gaukelt dem Nutzer A vor der Anbieter B zu sein, und dem Anbieter B der Nutzer A zu sein. So fließen alle geheimen Daten wie Passwörter, PIN, TAN usw. über seine Hardware.

1. Beispiel: Unbefugte können mit entsprechender Hardware Mobilfunkgespräche abhören. Siehe unter IMSI-Catcher.

2. Beispiel: A ist Kunde bei der B-Bank, einer Onlinebank die unter der Adresse www.b-bank.de zu erreichen ist. Der Angreifer ermittelt, z.B. über einen Ping, welche sdfsdf-Adresse dahinter steckt (z.B. 212.61.120.3).

Dann kopiert er die Präsens der B-Bank und legt sie auf seinen Server der z.B. die IP-Adresse 120.99.3.1 hat. Mittels DNS-Spoofing bringt er jetzt die Nameserver dazu, daß alle Anfragen für www.b-bank.de auf die Adresse 120.99.3.1 umgeleitet werden.

Ruft der Kunde nun die Seite www.b-bank.de auf gelangt er auf den Server des Angreifers. Dort gibt er dann seine Kontonummer und seine PIN an. Der Angreifer nimmt diese beiden Daten, täuscht mittels IP-Spoofing die IP-Adresse des Kunden vor, und logt sich damit direkt bei 212.61.120.3, der eigentlichen B-Bank-Adresse, ein. Erhält der Angreifer darauf hin Angaben über das Konto (Kontostand/Bewegungen usw) gibt er sie wiederum an den A weiter, so daß dieser authentische Daten von seiner Bank erhält.

Dieses Spiel kann der Angreifer solange treiben bis er alle notwendigen Daten für sein illegales Unterfangen zusammen hat um in einem nächsten Schritt z.B. Überweisungen vom Konto des A auf eigene Konten zu tätigen.

Schützen kann man sich vor solchen Attacken, durch die Kontrolle der Zertifikate, die bei einer SSL gesicherten https-Verbindung ausgetauscht werden. Dabei sollte man allerdings nicht blind jeder Verbindung vertrauen die der Browser als sicher meldet, sondern immer kontrollieren, ob das Zertifikat auch auf den Anbieter (z.B. die Bank) ausgestellt ist, mit der man kommunizieren will. Hat man Zweifel oder kommt es zu Fehlermeldungen, ist es immer ratsam bei dem Anbieter nachzufragen, bevor man vertrauliche Daten eingibt.