Die Multi-Faktor-Authentifizierung wird zunehmend zu einer Grundvoraussetzung für die Cybersicherheit –Cyberversicherer verlangen sie, Sicherheitsverantwortliche in Unternehmen planen, mehr dafür auszugeben, und obwohl die MFA für Nutzer lästig sein kann, erkennen die meisten , dass sie zum Schutz ihrer Konten beiträgt. Tatsächlich gibt Microsoft an, dass die zweistufige Authentifizierung mehr als 99,9 % der Angriffsversuche blockieren kann , und Google beziffert die Erfolgsquote auf 76 % bis 100 %.
Was gibt es also daran auszusetzen?
Nun, wie bei den meisten Sicherheitsmaßnahmen finden Hacker auch bei der MFA zunehmend raffinierte Wege, diese zu umgehen.
„Hacker werden sich stets anpassen, und ich bin noch nicht davon überzeugt, dass die Multi-Faktor-Authentifizierung – selbst langfristig – das Allheilmittel sein wird, für das die meisten Menschen sie halten“, sagt Roger Grimes, Analyst für Cyberabwehr bei KnowBe4, einem Anbieter von Schulungen zur Sensibilisierung für Sicherheitsfragen unter . „MFA wird als diese äußerst sichere Lösung angepriesen, die alle Probleme mit Hackerangriffen lösen wird … und das entspricht schlichtweg nicht der Wahrheit.“
Um es klar zu sagen: Experten wie Grimes betonen, dass die MFA – bei der neben Benutzername und Passwort ein temporärer Code oder Schlüssel erforderlich ist, der an das Gerät des Benutzers gesendet wird – nach wie vor eine der wirksamsten Authentifizierungsmethoden darstellt und Bestandteil jeder Strategie zur Endpunktsicherheit im Rahmen von „ “ sein sollte. Und neuere Formen der MFA, die auf einem Framework namens „ FIDO2“ ( ) basieren, nutzen kryptografische Anmeldedaten, um das Risiko von Phishing, Passwortdiebstahl sowie Replay-Angriffen zu minimieren. Darüber hinaus ermöglicht das Framework den Einsatz von Innovationen wie Fingerabdrucklesern, Kameras und Sicherheitsschlüsseln als Teil des Prozesses.
Die meisten Organisationen stützen sich jedoch nach wie vor auf ältere, SMS-basierte Ansätze – also den Short Message Service oder das Versenden von Textnachrichten –, und genau diese Systeme sind es, auf die Hacker mit zunehmendem Erfolg abzielen.
Sie gehen dabei auf verschiedene Weise vor, unter anderem durch Social Engineering, indem sie Schwachstellen bei der Übermittlung von Einmalcodes an die Nutzer ausnutzen und indem sie inaktive Microsoft-Konten nutzen, um sich Zugang zu öffentlichen und privaten Netzwerken zu verschaffen.
Wie MFA dem Social Engineering zum Opfer fällt
Eine der gängigsten Taktiken ist der sogenannte „ “-MFA-Fatigue-Angriff. Dieser als „MFA-Bombing“ bezeichnete Angriff besteht darin, dass ein Angreifer das Gerät eines Endnutzers mit wiederholten Aufforderungen zur Bestätigung eines Anmeldeversuchs überflutet. Im Wesentlichen funktioniert dies, indem man jemanden unvorbereitet erwischt oder ihn dazu verleitet, zu glauben, er müsse eine Authentifizierungsanfrage genehmigen.
„Mitarbeiter müssen MFA-Authentifizierungsanfragen mit erhöhter Wachsamkeit begegnen [so, als ob] jemand an die Haustür käme und nach Kreditkartendaten fragen würde.“Chris Prewitt, CISO, Inversion6
Im vergangenen September nutzte die berüchtigte Hackergruppe Lapsus$ die sogenannte „MFA-Bombing“-Methode, um in die Mitfahr-App Uber einzudringen. Uber teilte mit, dass die Cyberkriminellen Zugangsdaten für das VPN unter von einem externen Auftragnehmer erhalten hätten – höchstwahrscheinlich durch Kauf im Dark Web – und anschließend wiederholt versucht hätten, sich unter in das Uber-Konto des Nutzers einzuloggen. Jedes Mal erhielt der Auftragnehmer eine Aufforderung zur Bestätigung der Zwei-Faktor-Anmeldung, wodurch der Zugriff zunächst blockiert wurde. Schließlich akzeptierte der Auftragnehmer jedoch einen Vorschlag, und der Angreifer konnte sich anmelden, teilte Uber mit. Von dort aus verschaffte sich der Angreifer Zugriff auf weitere Mitarbeiterkonten und erlangte erweiterte Zugriffsrechte auf verschiedene Tools, darunter G-Suite und Slack.
Zwar gelang es dem Angreifer, Nachrichten im unternehmensweiten Slack-Kanal zu veröffentlichen, doch Uber erklärte, man gehe nicht davon aus, dass die Angreifer Zugriff auf persönliche Kundendaten erlangt oder Änderungen am Quellcode vorgenommen hätten.
In einer kürzlich von „ “ und „Beyond Identity“ durchgeführten Umfrage gaben 62 % der Nutzer an, bereits Opfer eines MFA-Bombings geworden zu sein, und fast jeder 10 . erhielt nach solchen Angriffen nie wieder Zugriff auf ein Konto, das gesperrt worden war. Dem Bericht zufolge waren die fünf am häufigsten von dieser Taktik betroffenen MFA-Kontotypen: Bankgeschäfte (62 %), Facebook (45 %), Instagram (39 %), Kryptowährungen (36 %) und Twitter (34 %).
3 Möglichkeiten, Angriffe durch MFA-Müdigkeit abzuwehren
Um das Risiko eines erfolgreichen MFA-Angriffs zu verringern, empfehlen Experten folgende Maßnahmen:
1. Verschärfen Sie die MFA-Parameter: BeyondTrust empfiehlt , die Konfiguration Ihrer MFA-Authentifizierungsprozesse wie folgt zu optimieren: Verringern Sie das Zeitfenster zwischen den einzelnen Authentifizierungsfaktoren; begrenzen Sie die Anzahl der zulässigen fehlgeschlagenen Zugriffsversuche innerhalb eines bestimmten Zeitraums; fügen Sie Anforderungen hinsichtlich der geografischen Standortbestimmung oder biometrischer Merkmale hinzu; erhöhen Sie die Anzahl der für den Zugriff erforderlichen Authentifizierungsfaktoren; und melden Sie übermäßige Anmeldeversuche an einen Sicherheitsanalysten. Andere Experten empfehlen, Push-Benachrichtigungen zu MFA-Anfragen einzuschränken oder zu deaktivieren.
2. Schulen Sie Ihre Mitarbeiter: Chris Prewitt, CISO bei Inversion6, empfiehlt fortlaufende Schulungen für Ihre Mitarbeiter, um sicherzustellen, dass diese über den „MFA-Fatigue“-Angriff Bescheid wissen – und wissen, wie sie darauf reagieren sollen.
„Mitarbeiter müssen MFA-Authentifizierungsanfragen mit besonderer Wachsamkeit begegnen“, sagt er. „Wenn jemand an die Haustür käme und nach Kreditkartendaten fragen würde, würden die meisten Menschen diese nicht preisgeben.“ „Im Internet scheinen wir jedoch etwas eher dazu geneigt zu sein, auf Dinge zu klicken und Informationen weiterzugeben, die wir besser nicht preisgeben sollten – und das muss sich ändern.“
3. Das Prinzip der geringsten Berechtigungen durchsetzen: Ein weiterer Schritt besteht darin, die Zugriffsrechte für Personen, Konten und Rechner auf das für den jeweiligen Benutzer erforderliche Maß zu beschränken. Auf diese Weise fällt es Angreifern, die MFA-Ermüdungsangriffe nutzen, schwer, sich umfassenden Zugriff auf Konten oder Daten zu verschaffen. Sie werden im Grunde genommen in der Nähe ihrer Einreisestellen aufgehalten.
MFA-Angriffe, die Schwachstellen im SMS-Verfahren ausnutzen
Eine weitere Möglichkeit, wie Hacker die MFA umgehen können, besteht darin, das Verfahren mit dem einmaligen SMS-Code selbst zu überlisten.
„: Keine Sicherheit ist, wenn sie schlecht umgesetzt wird, die Lösung.“John Pescatore, Leiter des Bereichs „Neue Sicherheitstrends“ am SANS Institute
Die meisten Experten sind sich einig, dass es nicht besonders sicher ist, den zweiten Faktor der MFA auf eine SMS-Authentifizierung zu stützen, da Hacker sehr geschickt darin sind, SMS-Nachrichten mithilfe von Spoofing und Phishing abzufangen und zu lesen. Zudem wenden sie eine Social-Engineering-Masche an, die als „ “ oder „SIM-Swapping“ bezeichnet wird: Dabei verschaffen sie sich persönliche Daten über Sie, kontaktieren Ihren Mobilfunkanbieter, erzählen ihm eine erfundene Geschichte über ein verlorenes oder gestohlenes Handy und überreden ihn, Ihre alte Rufnummer auf ein neues Handy zu übertragen, das sie kontrollieren. Sobald dies geschehen ist, können sie SMS-Nachrichten abfangen, darunter auch MFA-Codes. Es gibt sogar eine Technik namens „SMS-Smishing“, bei der es sich um einen Phishing-Angriff handelt, der per SMS gestartet wird.
Grimes stellt fest, dass einige MFA-Lösungen bei der Abwehr von Phishing- oder Smishing-Versuchen immer besser geworden sind, und erklärt: „Jeder sollte, wann immer möglich, eine phishingresistente MFA nutzen, um wertvolle Daten und Systeme zu schützen.“ Er warnt jedoch: „Selbst ein gutes MFA-Verfahren wehrt bestenfalls vielleicht 30 % bis 50 % der heutigen Angriffe ab.“
Microsoft und andere Branchenführer fordern ihrerseits Unternehmen dazu auf, von der telefonbasierten MFA – die sie als „die unsicherste der derzeit verfügbaren MFA-Methoden“ bezeichnen – abzurücken und stattdessen Sicherheitsschlüssel oder Authentifizierungs-Apps zu verwenden. Microsoft kündigte sogar Pläne an , die Zwei-Faktor-Authentifizierung in Windows 11 zu verbessern, indem dem von der Microsoft Authenticator-App gesendeten Code für den zweiten Faktor eine Zahl hinzugefügt wird. Die Funktion befindet sich noch in der Testphase. Twitter hat ebenfalls die Nutzer , die den kostenpflichtigen Dienst „Twitter Blue“ nicht abonniert haben, darüber informiert, dass das Unternehmen ab dem 20. März keine SMS mit Anmeldecodes mehr versenden wird. Das Unternehmen empfahl Nutzern ohne kostenpflichtiges Abonnement, kostenlose Authentifizierungs-Apps oder Sicherheitsschlüssel zu verwenden.
„Ich halte dies für einen großartigen Schritt in die richtige Richtung“, sagt Prewitt. „SMS ist schon seit langem Ziel von Angriffen.“
MFA nutzen, um MFA anzugreifen? Erfahren Sie mehr über die Übernahme inaktiver Konten
Eine der heimtückischsten Methoden, mit denen Hacker die MFA umgehen können, besteht darin, inaktive Microsoft-Konten zu übernehmen. Das Cybersicherheitsunternehmen Mandiant gibt an, dass es kürzlich einen Trend beobachtet hat, bei dem Hacker, darunter die russische Spionagegruppe „ APT29“, den Selbstregistrierungsprozess für die Multi-Faktor-Authentifizierung (MFA) in Azure Active Directory und anderen Plattformen ausnutzen.
In einem Fall führte die Gruppe „ APT29 “ offenbar einen Angriff durch, bei dem Passwörter für eine Liste von E-Mail-Postfächern erraten wurden, an die sie auf irgendeine Weise gelangt war. Es gelang ihnen, das Passwort für ein Konto zu erraten, das zwar eingerichtet, aber nie genutzt worden war. Da das Konto inaktiv war, forderte Azure AD laut Mandiant „ APT29 “ auf, sich für die MFA zu registrieren; sobald dies geschehen war, konnte die Hackergruppe auf die VPN-Infrastruktur zugreifen, die Azure AD für die Authentifizierung und die MFA nutzte.
Um solchen Angriffen entgegenzuwirken, empfiehlt Mandiant, sicherzustellen, dass für alle aktiven Konten mindestens ein MFA-Gerät registriert ist, und gemeinsam mit Ihrem Plattformanbieter zusätzliche Verifizierungsschritte in den MFA-Registrierungsprozess zu integrieren.
John Pescatore, Leiter des Bereichs „Emerging Security Trends“ beim SANS Institute, erklärt, dass die meisten derartigen Angriffe zur Umgehung der Multi-Faktor-Authentifizierung (MFA) eines gemeinsam haben: Sie nutzen mangelhaft implementierte Prozesse aus, anstatt die MFA-Lösung direkt zu kompromittieren.
„Keine Sicherheitsmaßnahmen – wenn sie schlecht umgesetzt werden – sind die Lösung“, sagt er. „Doch dank strenger Sicherheitsmaßnahmen wie MFA ( ), der Verwaltung von Zugriffsrechten, der Anwendungskontrolle , der Anwendungssteuerung sowie der zügigen Bereitstellung von Patches und der Durchführung von Penetrationstests durch qualifiziertes Personal ist es vielen Unternehmen gelungen, größere Schäden durch Cyberangriffe zu vermeiden – ohne dass der Geschäftsbetrieb beeinträchtigt wurde.“
