Was zeichnet sichere MFA-Lösungen aus? Wie sicher ist Multi-Faktor-Authentifizierung wirklich?

Anbieter zum Thema

G DATA CyberDefense AG

WatchGuard Technologies GmbH

XOPERO SOFTWARE S.A.

MFA-Lösungen sollen Phishing-Angriffen den Garaus machen. Doch die Methoden von Cyberkriminellen werden immer perfider und nicht jede Lösung hat dafür Antworten parat. Um auch MFA Phishing-sicher zu gestalten, sollten ein paar Dinge beachtet werden.

Wer kennt sie nicht, die gute alte Phishing-Mail. Mal mehr, mal weniger gut konzipiert, gehört sie nach wie vor zu den am häufigsten verwendeten Methoden von Cyberkriminellen, um an Zugangsdaten von Nutzer:innen zu gelangen. Wer nun aber denkt, man können diese ja ohnehin problemlos erkennen, etwa durch obskure Absender-Adressen, der sei an den vor kurzem publik gewordenen Fall beim Finanzdienstleister PayPal erinnert: Hier hatten sich vermeintliche Betrüger Zugriff auf den Mail-Server des Unternehmens verschafft, und über die offizielle Adresse des Unternehmens Phishing-Mails verschickt, um Login-Daten zu erbeuten.

Wenn solche Fälle öffentlich werden, ist der Ruf nach Multi-Faktor-Authentifizierung (MFA) oft die naheliegende Reaktion vieler Unternehmen. Einige Firmen, etwa Salesforce oder auch Microsoft bestehen schon auf das Verfahren und auch branchenspezifisch gibt es bereits strenge Vorgaben. Doch es ist ein weit verbreiteter Irrglaube, dass jede MFA-Lösung zuverlässigen Schutz vor Phishing bietet.

Um hier etwas Licht ins Dunkel zu bringen, sei kurz rekapituliert, um was es bei MFA geht. Die Authentifizierung der Person wird bei MFA durch mehrere Stufen verifiziert. Am häufigsten ist dabei die Kombination aus Login-Credentials (also einem Nutzernamen sowie Passwort) und einem weiteren Faktor, der in der zweiten Stufe abgefragt wird. Dazu erhalten Nutzer:innen häufig einen Bestätigungscode auf ein gesondertes Gerät, etwa dem Handy, und müssen diesen wiederum auf der Website oder in der App eingeben. Alternativ werden auch biometrische Merkmale abgefragt oder ein Sensor einer Chipkarte beziehungsweise USB-Token wird angepingt, um die physische Verortung zu bestätigen.

Sicherheitsfaktoren auf dem Prüfstand

Die einzelnen Faktoren werden dabei allgemein in drei Kategorien unterteilt: Wissen (zum Beispiel beim Passwort oder bei einer Sicherheitsfrage), Besitz (physische Verfügbarkeit einer Hardware-Komponente) und Inhärenz (biometische Merkmale wie der Fingerabdruck). Sie alle verfügen über ein unterschiedliches Schutzniveau und es gibt eine Reihe von Angriffsmöglichkeiten. Der Wissensfaktor ist dabei das wohl schwächste Element, dicht gefolgt vom Besitzfaktor. Beides lässt sich verhältnismäßig einfach stehlen oder ausspionieren: Vom Blick über die Schulter bis hin zum Klonen von physischen Keys gibt es ein breites Spektrum von Möglichkeiten. Der Inheränzfaktor ist zwar schwerer zu erbeuten, doch im Grunde spielt das keine Rolle, denn der Faktor Mensch und die Kommunikationswege zwischen den einzelnen Faktoren bieten ebenfalls Optionen für Hacker.

Eindrucksvoll hat das der Fall Uber im September 2022 demonstriert, wobei hier das sogenannte Prompt Bombing – eine besondere Form des Push-Phishings – zum Einsatz kam. Diese einfache und hocheffektive Methode zielt häufig auf MFA-Systeme und nutzt dabei Social Engineering, um Nutzer:innen dazu zu drängen, MFA-Anfragen des Systems leichtfertig zu bestätigen. Sind Kriminelle einmal im Besitz von Login-Credentials, werden in kurzer Zeit multiple Login-Versuche getätigt, die dann – via Push-Nachricht – zur Verifizierung auffordern. Genervt von den Anfragen, werden die Nutzer:innen dazu verleitet, “einfach zu bestätigen”.

Dieses Beispiel macht deutlich, dass es keine Rolle spielt, auf welchen Faktor die MFA-Lösung setzt: Ein 100-prozentiger Schutz gegen Credential-basierte Angriffe existiert so lange nicht, solange der eigentliche Angriffe auf den “Mittelsmann” – hier die Nutzer – erfolgt.

Was zeichnet sichere MFA-Lösungen aus?

Denn neben den einzelnen Faktoren der MFA-Lösung gibt es eine Reihe von Schwachstellen, die auf den ersten Blick nicht ersichtlich sind. Beispiele dafür sind etwa die Art, wie ein neues Gerät zur Authentifizierung hinzugefügt wird oder auch die Kontowiederherstellung.

Um hier auf Nummer sicher zu gehen, sollten MFA-Dienste gewählt werden, die für den Login auf die Authentifizierungsschnittstelle des Endgerätes setzen. Diese umfassen neben der biometrischen Login-Funktion durchaus auch PINs. Wichtig ist bei letzterem jedoch, dass dieser PIN ausschließlich auf dem lokalen Gerät funktioniert. Hier spricht man von “Same Device MFA”, einer Funktion, die nicht Kosten und Mühen im Fall verlorener Geräte verringert, sondern auch das On- und Offboarding neuer Mitarbeiter:innen erleichtert.

Ein weiteres Merkmal, auf das geachtet werden sollte, ist die Art und Weise, wie Nutzerdaten und Private Keys gespeichert werden. Cloud-Lösungen, die die Keys zentral speichern, sind hier nicht zu empfehlen, denn diese bieten einen weiteren Angriffsvektor. Stattdessen empfiehlt sich die Speicherung direkt auf dem Endgerät. Durch diesen dezentralen Ansatz lassen sich Angriffe deutlich besser eindämmen.

Und nicht zuletzt sollte für den gesamten Prozess der Authentifizierung, von der Kontoerstellung, über das Hinzufügen neuer Geräte bis hin zum Offboarding, darauf geachtet werden, dass konsequent ein Zero-Trust-Ansatz verfolgt wird. Grundsätze des Null-Vertrauens und des transitiven Vertrauens helfen dabei, auch Angriffe von innen zu erschweren.

Fazit

MFA trägt definitiv zur Sicherheit in Unternehmen bei und erschwert Phishing-Angriffe, da Passwörter nun endlich nicht mehr alleinig für den Schutz verantwortlich sind. Doch wie immer im Security-Kontext ist es nur eine Frage der Zeit, bis Cyberkriminelle die nächste Schwachstelle entdecken und diese ausnutzen. Von daher sollten sich Unternehmen nicht auf der Tatsache ausruhen, dass MFA eingeführt wurde und ihre Prozesse und Praktiken stetig auf den Prüfstand stellen. Nur wenn auch die MFA-Lösung selbst Phishing-sicher gestaltet wird, bietet sie nachhaltig Sicherheit.

Über den Autor: Al Lakhani ist CEO der IDEE GmbH.

(ID:49258139)