Passwortlose Multi-Faktor-Authentifizierung Warum MFA nicht gleich MFA ist

Anbieter zum Thema

ALE Deutschland GmbH

Die Multi-Faktor-Authentifizierung (MFA) wurde entwickelt, um die Kompromittierung von Konten zu verhindern bzw. zu erschweren. Und obwohl viele Unternehmen gerade bei sensiblen Accounts mittlerweile mehrere Authentifizierungs­mechanismen verwenden, gelingt es Cyberkriminellen trotzdem immer noch recht häufig, sich Zugriff auf die Konten ihrer Opfer zu verschaffen.

Multi-Faktor-Authentifizierung hat ein Problem: Wenn nur eine der eingesetzten Authentifizierungsmethoden unsicher ist, ist es die ganze MFA. Vor allem herkömmliche passwortbasierte MFA-Lösungen sind kein Garant für Cybersicherheit mehr. Im Gegenteil, die Unternehmen wiegen sich in einer falschen Sicherheit und sind für Angriffe sogar noch anfälliger.

Kriminelle Kontoübernahmen sind schon länger eine Bedrohung: Die Cyberkriminellen verwenden den dadurch erbeuteten Zugang in der Regel dafür, Daten zu stehlen oder zu verschlüsseln sowie Malware auf Unternehmenscomputer zu schleusen. Angriffe zur Übernahme von Konten zielen auch auf die Kunden der betroffenen Unternehmen ab. In vielen Fällen haben es die Angreifer auch auf die dort gespeicherten persönlichen Informationen abgesehen, die sie sammeln und später dann für Spear Phishing und andere Social-Engineering-Angriffe verwenden.

Ohne ein MFA-Verfahren und nur durch die Verwendung von Passwörtern haben es Hacker deutlich einfacher, in ein Netzwerk einzudringen und dadurch Zugang zu sensiblen Informationen zu erhalten. Mithilfe von Brute-Force-Angriffen und Credential Stuffing, einer Methode, bei der zuvor geleakte Anmeldedaten massenhaft ausprobiert werden, können sich Angreifer problemlos und unbemerkt von den Sicherheitsteams Zugriff verschaffen. Dieses Risiko wollen Unternehmen durch eine MFA, die für Hacker mehrere Hürden bedeutet, verringern. In einigen sensiblen Branchen ist MFA bereits durch Regularien vorgeschrieben, so ist gemäß des Payment Card Industry Data Security Standard (PCI DSS) die Verwendung von MFA für Mitarbeiter mit einem Zugriff auf Karteninhaberdaten Pflicht.

Die Schwachstellen der herkömmlichen MFA

Die gängigen Formen von MFA basieren auf einer Passwortauthentifizierung, die durch ein oder mehrere weitere Faktoren wie magische Links, Einmal-Passwörter (OTPs) und Push-Benachrichtigungen ergänzt werden. Was zunächst vielversprechend klingt, bietet jedoch kaum mehr Sicherheit als eine einfache Passwort-Anmeldung. Folgende Probleme sind zu beachten:

1. Abfangen des Einmal-Passwortes (OTP)

Eine der häufigsten Formen von MFA ist die Verwendung von sogenannten Einmal-Passwörtern, kurz OTPs. Dabei wird eine SMS oder E-Mail an den Benutzer gesendet, die er zur Authentifizierung in das Anmeldeportal eintippen muss. Theoretisch bietet dies einen zusätzlichen Schutz, da ein Angreifer den Zugriff auf das Telefon- oder E-Mail-Konto des Benutzers benötigt, um an das OTP zu gelangen. In der Praxis ist dies jedoch weniger kompliziert als gedacht. So greifen viele Cyberkriminelle etwa auf SIM-Swapping zurück, einer Betrugsmethode, bei der sie sich gegenüber dem Mobilfunkanbieter als legitimer Benutzer ausgeben und diesen überreden, den Dienst auf eine neue SIM-Karte umzustellen. Von nun an werden alle OTPs an das Telefon des Angreifers gesendet, was es ihm ermöglicht, die MFA für alle Konten des Opfers zu umgehen.

Ähnlich unsicher ist eine E-Mail-basierte MFA, denn sie beruht darauf, dass das E-Mail-Konto des Benutzers sicher ist. Wenn dafür jedoch dasselbe Passwort verwendet wird, wie das vom Angreifer anvisierte, könnte ein Cyberkrimineller leicht auf beide Konten zugreifen – und die MFA somit umgehen.

2. Professionelle Phishing-Angriffe

Phishing ist mittlerweile eine der größten Cyberbedrohungen für Unternehmen und ein Riesenproblem für traditionelle MFA-Lösungen. Denn egal ob OTPs, Push-Benachrichtigungen oder magische Links – all diese Sicherheitsfaktoren können von Cyberkriminellen abgegriffen werden. So bringen Phishing-E-Mails die Nutzer dazu auf Links zu klicken, oder gefälschte Anmeldeseiten, die wie Originale aussehen, verleiten die Empfänger dazu, den gerade erhaltenen Code weiterzugeben oder eine Push-Benachrichtigung zu bestätigen. Vermehrt setzen die Angreifer aber auch raffiniertere Techniken ein wie beispielsweise Browser-in-the-Browser (BitB)-Exploits, um den Benutzern nahezu unentdeckbare Phishing-Seiten vorzusetzen.

3. Schwachstellen bei der Passwortwiederherstellung

Funktionen zum Zurücksetzen eines Passworts sollen es einem Benutzer ermöglichen, wieder Zugang zu seinem Konto zu erhalten, wenn er sein Passwort verloren oder vergessen hat. Das wird erreicht, indem der normale Authentifizierungsprozess umgangen wird und andere Mittel zur Identitätsprüfung des Benutzers verwendet werden. Doch wenn es Angreifern gelingt, – wie gerade beschrieben – E-Mail-Konten zu übernehmen oder SIM-Karten zu wechseln, sind sie auch in der Lage, diese Identitätsprüfungen zu umgehen. Die Antworten auf „geheime“ Fragen, die beim Zurücksetzen von Passwörtern verwendet werden, sind oft über soziale Medien oder andere Quellen öffentlich zugänglich. Passwort-Wiederherstellungsprozesse untergraben daher häufig die MFA, indem sie den zweiten Identifizierungsfaktor (E-Mail, Telefon etc.), den ein Angreifer benötigt, um auf das Konto eines Benutzers zuzugreifen, zum Alleinigen machen.

Implementierung von sicherer, passwortloser MFA

Die Ausführungen haben gezeigt, dass herkömmliche MFA-Lösungen nicht den Schutz bieten, den sie vorgeben, weil sie fälschbare, unsichere Faktoren für die Authentifizierung verwenden. Soll die MFA wirkliche Sicherheit bieten, muss sie sich auf Authentifizierungsfaktoren beruhen, die Cyberkriminelle nicht so ohne Weiteres kompromittieren können. Dazu zählen unter anderem die biometrische Authentifizierung wie das Scannen von Fingerabdrücken oder die Gesichtserkennung sowie Sicherheitsprüfungen auf Geräteebene.

Eines der Hauptargumente für eine MFA mit Kennwort und OTP ist, dass sie einfach zu implementieren ist. Die FIDO-Standards definieren jedoch auch Methoden zur einfachen Implementierung einer starken MFA. Unternehmen können somit eine Kombination aus biometrischer Authentifizierung und gerätespezifischen privaten Schlüsseln für ihre MFA verlangen, anstatt lediglich die Eingabe eines Passworts und eines MFA-Codes.

Fazit: Eine moderne passwortlose MFA, die biometrische Daten und gerätespezifische private Schlüssel nach dem FIDO-Standard verwendet, bietet eine stärkere und besser nutzbare Authentifizierung als herkömmliche MFA-Lösungen – und sie minimiert die Angriffsfläche von Unternehmen nachhaltig.

Über den Autor

Patrick McBride ist Chief Marketing Officer bei Beyond Identity.

(ID:48504418)