Die Multi-Faktor-Authentifizierung (kurz: MFA) gilt als wichtiges Werkzeug zur Optimierung der IT-Sicherheit. Allerdings nutzen Hacker auch hier die Schwachstellen aus.
Welche Gefahren die MFA birgt und wie Sie Ihr Unternehmen vor entsprechenden Cyberattacken schützen können, erfahren Sie bei uns.
Multi-Faktor-Authentifizierung: Schwachstellen-Basis für Cyberattacken
Die Multi-Faktor-Authentifizierung dient vornehmlich dazu, die Sicherheit bei Online-Aktivitäten zu verbessern. Bevor der Nutzer beispielsweise eine Zahlung anweisen oder sich in seinem Banking-Account überhaupt einloggen kann, wird seine Identität über einen alternativen Kanal bestätigt. Die gängigste Methode ist dabei die MFA über die SMS, die beispielsweise der Online-Bezahldienst PayPal anbietet. Sobald der Nutzer im Netz etwas über PayPal bezahlen möchte, erhält er eine SMS an seine vorher hinterlegte Mobilnummer, die eine TAN enthält. Erst nach Eingabe selbiger wird der Zahlungsprozess gestartet. Kurzum: Eine MFA ergänzt den Prozess um zusätzliche Authentifizierungsschritte bzw. den Nachweis der Identität.
Damit lässt sich erfolgreich verhindern, dass allein der Diebstahl von E-Mail-Adresse und Passwort genutzt werden kann, um Zahlungen zu tätigen. An sich ist die MFA also eine sehr gute Sache und enorm nützlich – im Privat- wie auch im Geschäftsleben. Dennoch existieren auch hier Schwachstellen, die sich Hacker zu Nutze machen.
Die Multi-Faktor-Authentifizierung via SMS ist schnell, aber verhältnismäßig unsicher. Bild: Unsplash/Firmbee
Worst Case: Keine MFA
Bevor wir dazu kommen, an welchen Stellen das System der Multi-Faktor-Authentifizierung lückenhaft ist, sei aber noch einmal eine Lanze für ihren Einsatz gebrochen. Denn laut einer Microsoft-Studie setzen über 99,9 Prozent aller kompromittierten Microsoft-Kunden überhaupt keine MFA ein. Wenn dann auch noch die Passwort-Sicherheit mangelhaft ist – beispielsweise, weil keine Passwort-Manager zum Einsatz kommen – ist eine erfolgreiche Cyberattacke nur eine Frage der Zeit.
Gerade Unternehmen, die mit sensiblen Daten umgehen, Mitarbeiter im Home Office beschäftigen und/oder Liebhaber vieler praktischer Tools für die schnelle Abwicklung von Prozessen sind, sollten unter keinen Umständen auf eine MFA verzichten. Dabei gilt es, den Spagat zwischen Sicherheit und Komfort zu meistern. Denn ausgerechnet die bequemste und schnellste MFA-Methode ruft immer mehr Hacker auf den Plan.
Multi-Faktor-Authentifizierung via SMS – bequem, aber …
Mit der SMS gelingt die MFA am schnellsten. Und da heutzutage sowieso ein jeder dauerhaft sein Smartphone zu Hand hat, erfreut sich die Methode der größten Beliebtheit. Ihr Nachteil: Sie ist verhältnismäßig unsicher.
Denn: Bei der SMS existiert das Risiko, dass die hinterlegte Mobilfunknummer dem SIM-Swapping (auch SIM-Hijacking genannt) zum Opfer fehlt. Dabei kapern Hacker die gesamte Nummer. Im ersten Schritt verschaffen sich die Hacker zunächst einmal die Information darüber, wie die Handynummer lautet. Dazu werden wahlweise Social Media Profile gehackt oder Chat-Konversation unter falschem Namen mit dem potenziellen Opfer begonnen. Einmal im Besitz der Nummer, kontaktieren die Cyberkriminellen den Provider und geben sich als Nutzer aus, der seine SIM-Karte verloren hat oder ein zweites Exemplar benötigt. Oder: Sie kündigen den Vertrag und beantragen eine Rufnummernmitnahme. Klingt aufwändig, ist es aber gängige Praxis und für Kriminelle ein Leichtes.
Eine Alternative dazu ist ein Pass-the-Cookie-Angriff – hier werden Benutzer- und Anmeldeinformationen, die über die Cookies im Browser gespeichert wurden, gekapert.
Die SMS auf das Handy ist die unsicherste Methode der Multi-Faktor-Authentifizierung. Bild: Pexels/Mikhail Nilov
Safety first: MFA über biometrische oder adaptive Informationen
Die Multi-Faktor-Authentifizierung über biometrische, adaptive bzw. kontextbezogene Informationen erweist sich als wesentlich sicherer. Professionelle Passwort-Manager wenden derartige Methoden bereits automatisch an. Grundsätzlich fußt eine professionelle MFA auf drei Faktoren:
- Wissen (Pin-Nummer, Passwort, Sicherheitsabfragen)
- Besitz (Smartphone, Laptop)
- Inhärenz (biometrische Faktoren, Gesichtserkennung, Stimmerkennung, aber z. B. auch charakteristische Merkmale wie die Tipp-Geschwindigkeit)
Bei der adaptiven bzw. kontextbezogene MFA kommt dann noch eine Künstliche Intelligenz zum Einsatz. Das System bewertet, ob das Gesamtbild rund um den Anmeldeversuch stimmig ist. Hingegen schlägt es beispielsweise dann Alarm, wenn der Nutzer binnen zwei Stunden plötzlich den Kontinent gewechselt zu haben scheint. Jeder einzelne Anmelde- oder Log-in-Versuch unterliegt einer Plausibilitätsprüfung.
Zusätzlich sollten Unternehmen daran denken, möglichst alle Authentifizierungsprozesse abzudecken. Also beispielsweise nicht nur den Anmeldevorgang, sondern auch den der Kontowiederherstellung bei augenscheinlichem Passwort-Verlust o. Ä.
Sicherheit für Unternehmensdaten und Mitarbeiter-Identitäten
Unsere Experten aus dem IT-SERVICE.NETWORK stehen Ihnen gern zur Verfügung, wenn Sie Ihre wertvollen Unternehmensdaten und die Mitarbeiter-Identitäten mittels einer professionellen Multi-Faktor-Authentifizierung schützen möchten. Unsere IT-Dienstleister beraten Sie zu den verschiedenen Möglichkeiten, stellen Ihnen die passenden Produktlösungen vor und übernehmen bei Bedarf natürlich auch die Implementierung und die Mitarbeiter-Einweisung.
Vom professionellen Passwort-Manager über moderne Tools, Hardware und KI-gestützte Software – die passenden Instrumente für Ihre Datensicherheit sind garantiert dabei. Nehmen Sie gern direkt Kontakt zu uns auf und lassen Sie sich unverbindlich beraten.
Weiterführende Links:
Security Insider, Computer Woche, OneSpan
Geschrieben von
Lena Klaus arbeitet seit 2018 als freie Autorin und SEO-Expertin für das IT-SERVICE.NETWORK. Besonders die Themen rund um den digitalen Wandel und New Work haben es ihr angetan. Darüber hinaus ist die erfahrene Texterin immer wieder fasziniert davon, welche neue Methoden und Tricks Hackern und Cyberkriminellen einfallen. Seit 2013 kennt Lena Klaus die IT-Branche und… Weiterlesen
Schreiben Sie einen Kommentar
* = Pflichtfelder
Bitte beachten Sie unsere Datenschutzerklärung