Kommentar: Wie Authentifizierungsverfahren Phishing-resistent werden

Multi-Faktor-Authentifizierung (MFA) galt lange als sicher – zahlreiche Unternehmen haben inzwischen darauf umgestellt, in einigen Bereichen wie etwa m Bankensektor ist sie sogar Pflicht. Allerdings bietet der Einsatz einer MFA per se keine Garantie für Unangreifbarkeit. Auf die Faktoren kommt es an.

Eine Phishing-Kampagne macht momentan Schlagzeilen, denn sie umging Multi-Faktor-Authentifizierung bei Office-Nutzern. Wie berichtet wurde, haben Sicherheitsforscher von Microsoft diese großangelegte Phishing-Kampagne aufgedeckt und bis September 2021 zurückverfolgt. Aufsehen erregt der Fall nicht nur deshalb, weil in diesem Zeitraum über 10.000 Unternehmen angegriffen wurden, sondern auch, da eine vermeintlich sichere Multi-Faktor-Authentifizierung (MFA) erfolgreich umgangen wurde. Doch auch hier hätte der Schaden abgewendet werden können, denn nicht jede MFA ist gleich und es gibt Lösungen, die Nutzer und Unternehmen auch gegen Phishing absichern können.

Doch was genau ist passiert? Die Kriminellen nutzten das sogenannte „Adversary in the Middle“-Phishing (AiTM). Beim AiTM-Phishing schalten Angreifer einen Proxy-Server zwischen den Zielbenutzer und die Website, die der Nutzer besuchen möchte, das heißt die Website, für die sich der Angreifer ausgeben möchte. Auf diese Weise kann der Angreifer das Kennwort der Opfer und die Session-Cookies, das die laufende und authentifizierte Sitzung mit der Website belegt, abfangen und weiternutzen.

Was diesen Fall so brisant macht, ist die Tatsache, dass sich die Täter durch Phishing dezidiert auf das Vorhandensein und Umgehen von MFA eingestellt hatten. Phishing gehört dem Sicherheitsindex von Deutschland sicher im Netz e.V. zufolge auch 2022 mit 30,5 Prozent immer noch zu den am meisten angewendeten Angriffsmethoden. Dabei ist die AiTM-Methode nicht neu. Da viele Unternehmen mittlerweile aber auf vermeintlich sichere MFA umgestellt haben, wird diese Methode derzeit massiv von Cyberkriminellen genutzt. Die Sorge für Unternehmen ist deshalb berechtigt, denn viele der implementierten Authentifizierungsmethoden sind, wie der aktuelle Fall zeigt, nicht Phishing-resistent.

Unternehmen haben zwar längst die Gefahr von Phishing erkannt, es ist aber an der Zeit, dass sie sich darüber bewusst werden, dass nicht jede MFA dagegen schützt. Da sich Cyberkriminelle schnell anpassen, müssen Unternehmen unzureichende und Phishing-anfällige Authentifizierungsverfahren wie One-Time-Passwords (OTP) oder auch Verifizierungen durch Apps ablösen. Die beste Alternative ist hier eine FIDO basierte (Fast IDentity Online) Authentifizierungslösung, welche sich am besten mit einem hardwarebasierten Sicherheitsschlüssel umsetzen lässt. Gerade durch die zusätzliche FIDO-Unterstützung und Nutzung der auch gegen AiTM wirksamen Man-in-the-Middle-Schutzmechanismen der FIDO-Allianz bieten hardwarebasierte Sicherheitslösungen das Maß an Sicherheit, das Unternehmensnetzwerke, Daten und Nutzer benötigen, um einen sicheren Arbeitsalltag und IT-Betrieb zu gewährleisten.