Die Multi-Faktor-Authentifizierung (MFA) ist eine wirksame Methode, um die Kompromittierung von Konten zu reduzieren. Dennoch sind Einführung und Umsetzung in Unternehmen weiterhin uneinheitlich.
Angreifer können gestohlene Anmeldedaten verwenden, um auf Unternehmenskonten zuzugreifen, ohne Software-Schwachstellen auszunutzen. Untersuchungen zu identitätsbasierten Angriffen unterstreichen, wie wichtig MFA zum Schutz von Konten ist, wenn Passwörter kompromittiert wurden.
Die Auswahl der richtigen MFA-Methode bringt jedoch zusätzliche Herausforderungen mit sich. Sicherheitsteams müssen den Schutz vor Angriffen in der Praxis gegen die Benutzerfreundlichkeit abwägen und sicherstellen, dass Authentifizierungsanforderungen konsequent durchgesetzt werden.
Das Problem mit Passwörtern
Passwörter gehören nach wie vor zu den gängigsten Authentifizierungsmethoden und sind ein häufiges Ziel von Angreifern. Das Verhalten der Benutzer beeinträchtigt ihre Wirksamkeit weiterhin, insbesondere wenn Benutzer Anmeldedaten für mehrere Konten wiederverwenden. Dadurch werden Credential-Stuffing-Angriffe effektiver.
Angreifer müssen Passwörter häufig nicht knacken, weil sie sie über Informationsdiebstahl-Malware oder Phishing-Kampagnen erlangen können. Angriffe auf Drittanbieter liefern eine weitere Quelle kompromittierter Anmeldedaten, die Angreifer gegen Unternehmensanwendungen einsetzen können.
Inaktive Konten und veraltete Anwendungen ohne zusätzliche Authentifizierungskontrollen können die Gefährdung weiter erhöhen.
Warum MFA weiterhin wichtig ist
MFA bietet eine zusätzliche Schutzebene, wenn Passwörter kompromittiert wurden. Untersuchungen von Microsoft belegen die Wirksamkeit von MFA bei der Reduzierung von Kontokompromittierungen, selbst wenn Angreifer gültige Anmeldedaten erlangen.
Die Einführung von MFA ist jedoch weiterhin uneinheitlich. Manche Unternehmen schützen nur bestimmte Anwendungen oder Benutzer und lassen dadurch Authentifizierungslücken offen, die Angreifer ausnutzen können.
Grundlagen von MFA
Das National Institute of Standards and Technology (NIST) unterscheidet drei zentrale Authentifizierungsfaktoren. Unternehmen kombinieren in der Regel mehrere Faktoren, um die Kontosicherheit zu erhöhen, wobei jeder Faktor unterschiedliche betriebliche Herausforderungen mit sich bringt.
Etwas, das Sie wissen
Die wissensbasierte Authentifizierung verwendet Informationen, an die sich eine Person erinnert, etwa ein Passwort oder eine PIN. Diese Methoden sind kostengünstig und werden weithin unterstützt, bleiben jedoch anfällig für den Diebstahl von Anmeldedaten.
Die Kombination zweier Passwörter stellt keine MFA dar, da beide denselben Authentifizierungsfaktor verwenden.
Etwas, das Sie besitzen
Bei der besitzbasierten Authentifizierung müssen Benutzer ein Gerät oder einen Berechtigungsnachweis kontrollieren, etwa einen Hardwaresicherheitsschlüssel oder eine Authentifizierungs-App.
Das Schutzniveau hängt von der jeweiligen Methode ab. Einmalpasswörter bleiben anfällig für Phishing, während FIDO2-Sicherheitsschlüssel einen besseren Schutz vor diesen Angriffen bieten.
Verlorene oder gestohlene Geräte können die Kontowiederherstellung erschweren, während die Verwaltung physischer Authentifikatoren in großen Unternehmen die Administrationskosten erhöhen kann.
Etwas, das Sie sind
Die biometrische Authentifizierung verwendet körperliche Merkmale wie Fingerabdrücke oder Gesichtserkennung, um die Identität zu überprüfen. Diese Methoden vereinfachen die Authentifizierung, können jedoch aufgrund körperlicher Verletzungen oder von Umgebungsbedingungen zu Erkennungsfehlern führen.
Gemäß NIST SP 800-63B-4 können biometrische Merkmale nicht als eigenständige Authentifizierungsmethode dienen. Stattdessen müssen sie mit einem physischen Authentifikator kombiniert werden. Beispielsweise kann ein Fingerabdruck die Identität eines Benutzers lokal bestätigen, bevor das Gerät einen Passkey verwendet, um ihn gegenüber einer Anwendung zu authentifizieren.
Irgendwo, wo Sie sich befinden
Der Standort gehört nicht zu den drei Authentifizierungsfaktoren des NIST. Unternehmen können jedoch geografische oder Netzwerkinformationen verwenden, um das Anmelderisiko zu bewerten.
Standortbasierte Signale können Richtlinien für den bedingten Zugriff unterstützen, indem sie eine zusätzliche Überprüfung auslösen, wenn Authentifizierungsversuche von ungewöhnlichen Standorten ausgehen.
Allerdings können VPNs und Proxyserver den Standort eines Angreifers verschleiern. Auch legitime Reisen können Fehlalarme auslösen. Dadurch eignet sich der Standort eher zur Erkennung verdächtiger Anmeldeaktivitäten als zur Überprüfung der Identität eines Benutzers.
MFA-Methoden im Vergleich: Vorteile und Schwächen
MFA-Methoden bieten unterschiedlich hohen Schutz vor der Kompromittierung von Konten. Unternehmen müssen außerdem berücksichtigen, wie einfach sich die jeweilige Methode bereitstellen und verwalten lässt.
Die SMS-Authentifizierung ist weithin zugänglich und erfordert keine zusätzliche App. Angreifer können Bestätigungscodes jedoch durch SIM-Swapping erlangen oder Benutzer durch Phishing dazu bringen, sie preiszugeben.
Die E-Mail-Verifizierung ist praktisch, bietet aber nur begrenzten Schutz, wenn Angreifer Zugriff auf das E-Mail-Konto des Benutzers erhalten. Sie können dann möglicherweise Bestätigungscodes abfangen und unbefugte Anmeldungen abschließen. Die E-Mail-Verifizierung gilt möglicherweise auch nicht als echte MFA, wenn sie keinen unabhängigen Authentifizierungsfaktor bereitstellt.
Authentifizierungs-Apps erzeugen zeitbasierte Einmalpasswörter (TOTP), ohne auf Mobilfunknetze angewiesen zu sein. Dadurch werden Risiken durch SIM-Swapping vermieden, obwohl Angreifer Codes weiterhin durch Echtzeit-Phishing abfangen können.
Push-Benachrichtigungen vereinfachen die Authentifizierung, indem Benutzer Anmeldeanfragen auf ihren Geräten genehmigen können. Angreifer können wiederholte Aufforderungen jedoch für MFA-Fatigue-Angriffe ausnutzen. Die Zahlübereinstimmung reduziert versehentliche Genehmigungen, macht die Push-Authentifizierung aber nicht phishingresistent.
FIDO2-Sicherheitsschlüssel verwenden Public-Key-Kryptografie und ermöglichen eine phishingresistente Authentifizierung. Sie bieten starken Schutz für privilegierte Konten, doch der Kauf und die Verteilung physischer Geräte können die Administrationskosten erhöhen.
Passkeys bieten einen ähnlich hohen Schutz vor Phishing, ohne dass zwingend ein separater Hardwareschlüssel erforderlich ist. Gerätegebundene Passkeys bewahren Anmeldedaten auf einem bestimmten Authentifikator auf, während synchronisierte Passkeys den Zugriff über unterstützte Geräte hinweg ermöglichen. Vor der Einführung sollten Unternehmen Verfahren zur Wiederherstellung von Anmeldedaten und die Plattformkompatibilität bewerten.
Smartcards, darunter Berechtigungsnachweise für die Personal Identity Verification (PIV), verwenden eine zertifikatsbasierte Authentifizierung und werden häufig in verwalteten Unternehmensumgebungen eingesetzt. Sie erfordern jedoch eine unterstützende Infrastruktur und eine laufende Verwaltung der Berechtigungsnachweise.
Wie Angreifer MFA umgehen
Angreifer umgehen MFA häufig, indem sie Schwächen in Authentifizierungsabläufen ausnutzen, anstatt die zugrunde liegende Authentifizierungstechnologie zu überwinden.
MFA-Fatigue und Missbrauch von Push-Benachrichtigungen
MFA-Fatigue-Angriffe erfolgen, wenn Angreifer gestohlene Anmeldedaten verwenden, um wiederholt Authentifizierungsanfragen zu erzeugen. Ziel ist es, Benutzer unter Druck zu setzen oder zu verwirren, damit sie eine unbefugte Anmeldung genehmigen.
Die Zahlübereinstimmung reduziert versehentliche Genehmigungen, indem Benutzer eine angezeigte Zahl eingeben müssen, statt eine Benachrichtigung einfach zu akzeptieren. Unternehmen können die Gefährdung weiter begrenzen, indem sie wiederholte Authentifizierungsversuche einschränken und ungewöhnliche Push-Aktivitäten untersuchen.
Angreifer in der Mitte (AitM)
Angreifer-in-der-Mitte-Angriffe (AitM) verwenden eine von Angreifern kontrollierte Infrastruktur, um Authentifizierungsanfragen zwischen Benutzern und legitimen Diensten weiterzuleiten.
Opfer geben möglicherweise ihre Anmeldedaten ein und führen MFA-Herausforderungen über gefälschte Anmeldeseiten durch. Dadurch können Angreifer authentifizierte Sitzungscookies abfangen.
Phishingresistente Protokolle wie WebAuthn reduzieren dieses Risiko, indem sie die Authentifizierung an die Domain des legitimen Dienstes binden.
Sitzungsübernahme und Token-Diebstahl
AitM kann zu einer Sitzungsübernahme führen, aber Angreifer können Sitzungscookies oder Authentifizierungstoken auch über Informationsdiebstahl-Malware oder Anwendungsschwachstellen stehlen. Anschließend können sie dieses gestohlene Sitzungsmaterial verwenden, um sich als authentifizierte Benutzer auszugeben.
Da Angreifer eine bestehende Sitzung ausnutzen, erhalten sie möglicherweise Zugriff, ohne eine weitere MFA-Herausforderung abzuschließen – selbst wenn eine phishingresistente Authentifizierung aktiviert ist.
Unternehmen sollten verdächtige Sitzungsaktivitäten überwachen und, sofern unterstützt, Kontrollen zum Schutz von Token anwenden.
Angriffe auf Helpdesk und Kontowiederherstellung
Bedrohungsakteure können sich als Mitarbeiter ausgeben und den technischen Support kontaktieren, um eine MFA-Zurücksetzung anzufordern. Schwache Verfahren zur Identitätsprüfung können es Angreifern ermöglichen, ihre eigenen Authentifizierungsgeräte zu registrieren.
Sobald ein nicht autorisierter Authentifikator registriert ist, können Angreifer über ansonsten legitime Authentifizierungsabläufe Zugriff erlangen.
Unternehmen sollten die Identität von Benutzern überprüfen, bevor sie MFA zurücksetzen. Änderungen an registrierten Authentifizierungsgeräten sollten außerdem Sicherheitswarnungen und eine zusätzliche Prüfung auslösen.
MFA-Downgrade und Missbrauch von Ausweichverfahren
Einige Anwendungen erlauben schwächere Authentifizierungsmethoden, wenn stärkere Optionen nicht verfügbar sind. Beispielsweise kann ein Unternehmen für den regulären Zugriff FIDO2-Sicherheitsschlüssel verlangen, bei der Kontowiederherstellung jedoch die SMS-Verifizierung zulassen.
Angreifer, die diese Ausweichverfahren ausnutzen, können die stärkere Authentifizierungsanforderung möglicherweise umgehen.
Sicherheitsteams sollten sicherstellen, dass Wiederherstellungsmethoden einen Schutz bieten, der der Sensibilität der betreffenden Konten angemessen ist.
Der Wandel hin zu phishingresistenter MFA
Stärkere Wiederherstellungsverfahren helfen zwar, Authentifizierungslücken zu schließen, Unternehmen benötigen jedoch auch MFA-Methoden, die gegen Phishing-Angriffe resistent sind.
NIST SP 800-63B-4 erkennt kryptografische Authentifizierungsmethoden wie WebAuthn an, die die Authentifizierung mithilfe von Public-Key-Kryptografie an den legitimen Dienst binden. Der private Schlüssel verbleibt beim Authentifikator, während der Dienst die Antwort mithilfe des zugehörigen öffentlichen Schlüssels überprüft.
Dadurch sind FIDO2-Sicherheitsschlüssel und Passkeys phishingresistenter als herkömmliche MFA-Methoden. Angreifer können jedoch weiterhin Endgeräte kompromittieren oder authentifizierte Sitzungen übernehmen.
Wie Unternehmen den MFA-Schutz verbessern können
Sicherheitsteams sollten die folgenden Maßnahmen priorisieren, um Authentifizierungsrisiken zu reduzieren:
- Phishingresistente MFA priorisieren. FIDO2-Sicherheitsschlüssel oder Passkeys für privilegierte Konten und sensible Anwendungen bereitstellen.
- Authentifizierungslücken schließen. Konten und Anwendungen ohne MFA identifizieren, einschließlich veralteter Systeme.
- Kontowiederherstellung absichern. Die Identität von Benutzern überprüfen, bevor MFA zurückgesetzt oder neue Authentifikatoren registriert werden.
- Authentifizierte Sitzungen schützen Verdächtige Sitzungsaktivitäten überwachen und risikobasierte Richtlinien für den Ablauf von Sitzungen durchsetzen.
- Schwächere Ausweichverfahren einschränken. Weniger sichere Optionen daran hindern, stärkere Authentifizierungsanforderungen zu umgehen.
- Authentifizierungsänderungen überwachen. Ungewöhnliche Anmeldemuster und die unbefugte Registrierung von Authentifikatoren untersuchen.
- Mitarbeiter schulen. Benutzern beibringen, unerwartete MFA-Aufforderungen zu erkennen und verdächtige Anfragen zur Kontowiederherstellung zu melden.
Diese Maßnahmen helfen Unternehmen, den MFA-Schutz zu verbessern und gleichzeitig die Schwachstellen zu beheben, die Angreifer weiterhin ausnutzen.
Fazit
MFA bleibt eine wirksame Maßnahme gegen die Kompromittierung von Konten, doch ihre Wirksamkeit hängt von den Methoden ab, für die sich Unternehmen entscheiden, und davon, wie sie diese implementieren. Sicherheitsverantwortliche sollten MFA als wichtigen Bestandteil ihrer Strategie für Identitätssicherheit betrachten, nicht jedoch als vollständige Lösung für identitätsbasierte Bedrohungen.
Weitere Hinweise dazu, wie Sie das Identitäts- und Zugriffsmanagement mit Zero Trust stärken finden Sie hier.