Home » News » Cybersecurity » Kommentar: Wie Authentifizierungsverfahren Phishing-resistent werden

Kommentar: Wie Authentifizierungsverfahren Phishing-resistent werden

Multi-Faktor-Authentifizierung (MFA) galt lange als sicher – zahlreiche Unternehmen haben inzwischen darauf umgestellt, in einigen Bereichen wie etwa m Bankensektor ist sie sogar Pflicht. Allerdings bietet der Einsatz einer MFA per se keine Garantie für Unangreifbarkeit. Auf die Faktoren kommt es an.

2 Min. Lesezeit
Foto: Foto: ©AdobeStock/jirsak

Multi-Faktor-Authentifizierung (MFA) galt lange als sicher – zahlreiche Unternehmen haben inzwischen darauf umgestellt, in einigen Bereichen wie etwa m Bankensektor ist sie sogar Pflicht. Allerdings bietet der Einsatz einer MFA per se keine Garantie für Unangreifbarkeit. Auf die Faktoren kommt es an.

Eine Phishing-Kampagne macht momentan Schlagzeilen, denn sie umging Multi-Faktor-Authentifizierung bei Office-Nutzern. Wie berichtet wurde, haben Sicherheitsforscher von Microsoft diese großangelegte Phishing-Kampagne aufgedeckt und bis September 2021 zurückverfolgt. Aufsehen erregt der Fall nicht nur deshalb, weil in diesem Zeitraum über 10.000 Unternehmen angegriffen wurden, sondern auch, da eine vermeintlich sichere Multi-Faktor-Authentifizierung (MFA) erfolgreich umgangen wurde. Doch auch hier hätte der Schaden abgewendet werden können, denn nicht jede MFA ist gleich und es gibt Lösungen, die Nutzer und Unternehmen auch gegen Phishing absichern können.

Doch was genau ist passiert? Die Kriminellen nutzten das sogenannte „Adversary in the Middle“-Phishing (AiTM). Beim AiTM-Phishing schalten Angreifer einen Proxy-Server zwischen den Zielbenutzer und die Website, die der Nutzer besuchen möchte, das heißt die Website, für die sich der Angreifer ausgeben möchte. Auf diese Weise kann der Angreifer das Kennwort der Opfer und die Session-Cookies, das die laufende und authentifizierte Sitzung mit der Website belegt, abfangen und weiternutzen.

Was diesen Fall so brisant macht, ist die Tatsache, dass sich die Täter durch Phishing dezidiert auf das Vorhandensein und Umgehen von MFA eingestellt hatten. Phishing gehört dem Sicherheitsindex von Deutschland sicher im Netz e.V. zufolge auch 2022 mit 30,5 Prozent immer noch zu den am meisten angewendeten Angriffsmethoden. Dabei ist die AiTM-Methode nicht neu. Da viele Unternehmen mittlerweile aber auf vermeintlich sichere MFA umgestellt haben, wird diese Methode derzeit massiv von Cyberkriminellen genutzt. Die Sorge für Unternehmen ist deshalb berechtigt, denn viele der implementierten Authentifizierungsmethoden sind, wie der aktuelle Fall zeigt, nicht Phishing-resistent.

Unternehmen haben zwar längst die Gefahr von Phishing erkannt, es ist aber an der Zeit, dass sie sich darüber bewusst werden, dass nicht jede MFA dagegen schützt. Da sich Cyberkriminelle schnell anpassen, müssen Unternehmen unzureichende und Phishing-anfällige Authentifizierungsverfahren wie One-Time-Passwords (OTP) oder auch Verifizierungen durch Apps ablösen. Die beste Alternative ist hier eine FIDO basierte (Fast IDentity Online) Authentifizierungslösung, welche sich am besten mit einem hardwarebasierten Sicherheitsschlüssel umsetzen lässt. Gerade durch die zusätzliche FIDO-Unterstützung und Nutzung der auch gegen AiTM wirksamen Man-in-the-Middle-Schutzmechanismen der FIDO-Allianz bieten hardwarebasierte Sicherheitslösungen das Maß an Sicherheit, das Unternehmensnetzwerke, Daten und Nutzer benötigen, um einen sicheren Arbeitsalltag und IT-Betrieb zu gewährleisten.

Rolf Steinbrück, Senior Solution Engineer bei Yubico (Foto: Yubico)

Andere interessante News

Cybersecurity – fünf Prognosen für 2023

Die IAM-Branche (Identity- und Access-Management) hat über die letzten Jahre ein bedeutendes Wachstum hingelegt: Regulatorische Vorgaben haben zugenommen, und die Angriffsflächen von Unternehmen für Cyberattacken ist durch Trends wie Internet of Things, Cloud-Technologien und Remote Work dramatisch gewachsen.

Fußball-WM Streaming-Seiten zocken Fans ab

Bereits wenige Tage nach Start der FIFA Fußball Weltmeisterschaft 2022 konnten die Sicherheitsforscher des Zscaler ThreatLabz eine Häufung von gefälschten Streaming-Seiten verzeichnen. Ziel sind Fußballfans, die mit angeblichen kostenlosen Streaming-Angeboten und Lotterie-Spielen auf Malware-infizierte Webseiten gelockt werden sollen.

Was die IT-Sicherheit 2022 bewegt hat

Fünf Entwicklungen haben die IT-Welt 2022 besonders in Atem gehalten. So sieht es Joseph Carson, Chief Security Scientist & Advisory CISO bei Delinea, in seinem Rückblick auf Trends und Entwicklungen, welche die IT-Branche im Jahr 2022 nachhaltig beeinflusst haben.