Risiken bei der MFA-Umgehung

MFA verringert Kontoübernahmen erheblich, ist aber kein Allheilmittel.

Angreifer haben mehrere Techniken entwickelt, um schwächere MFA-Formen zu umgehen.

SIM-Swapping bringt einen Mobilfunkanbieter dazu, die Telefonnummer eines Opfers auf die SIM-Karte des Angreifers zu übertragen.

Alle SMS-basierten Codes gehen dann beim Angreifer ein. Deshalb ist SMS der schwächste zweite Faktor.

Werkzeuge wie Adversary-in-the-Middle-Proxys positionieren sich zwischen dem Benutzer und der echten Website.

Sie leiten die Anmeldung und das OTP in Echtzeit weiter und stehlen das resultierende Sitzungscookie. Dadurch werden SMS, TOTP und sogar Push umgangen.

Wenn ein Angreifer nach der MFA ein authentifiziertes Sitzungstoken oder -cookie stiehlt, kann er die MFA vollständig umgehen.

Malware, gestohlene Browserdaten oder XSS können diese Token offenlegen.

Bei Push-basierter MFA senden Angreifer, die das Passwort bereits kennen, massenhaft Genehmigungsaufforderungen.

Ein erschöpfter oder verwirrter Benutzer tippt schließlich auf Genehmigen und gewährt dadurch Zugriff. Der Nummernabgleich schützt dagegen.

Wiederherstellungsprozesse für Konten sind häufig eine Schwachstelle. Wenn zum Zurücksetzen eines Passworts oder der MFA nur ein E-Mail-Link oder eine Sicherheitsfrage erforderlich ist, greifen Angreifer stattdessen diesen Weg an.

Die Wiederherstellung muss genauso sicher sein wie die primäre Anmeldung.

Die stärkste Verteidigung ist phishing-resistente MFA: FIDO2-Sicherheitsschlüssel und Passkeys.

Da die Anmeldeinformationen an die echte Origin gebunden sind, kann eine Proxy-Phishing-Website keine gültige Authentifizierung weiterleiten.

Echtzeit-Phishing scheitert an FIDO2, weil der Sicherheitsschlüssel eine an die betrügerische Domain gebundene Challenge signiert, die der echte Server ablehnt.

Es gibt keinen Code, den der Benutzer erneut eingeben muss, und kein wiederverwendbares Geheimnis zu stehlen.

Kombinieren Sie MFA mit weiteren Kontrollen:

• Risikobasierte Step-up-Authentifizierung
• Kurze Sitzungslaufzeiten und erneute Authentifizierung für sensible Aktionen
• Gerätebindung und Tokenbindung
• Überwachung auf unmögliche Ortswechsel

So schließen Sie die Lücke bei der Wiederherstellung:

• Vermeiden Sie Sicherheitsfragen.
• Verlangen Sie für das Zurücksetzen der MFA einen registrierten zweiten Schlüssel.
• Fügen Sie Verzögerungen und Benachrichtigungen bei Wiederherstellungsversuchen hinzu.

Auch starke MFA profitiert von aufmerksamen Benutzern:

• Genehmigen Sie niemals eine Push-Anfrage, die Sie nicht selbst ausgelöst haben.
• Seien Sie bei dringenden Anmeldeaufforderungen misstrauisch.
• Melden Sie unerwartete MFA-Anfragen sofort.

Welche MFA-Methode schützt am besten vor einem Echtzeit-Phishing-Proxy, der Codes weiterleitet und Sitzungscookies stiehlt?

Sie haben gelernt, wie MFA umgangen und weiter abgesichert wird.

• SIM-Swapping, Echtzeit-Phishing, Sitzungsdiebstahl und MFA-Müdigkeit sind wichtige Bedrohungen.
• Phishing-resistente MFA (FIDO2 / Passkeys) ist die stärkste Verteidigung.
• Sichern Sie Wiederherstellungsprozesse ab und setzen Sie auf eine mehrschichtige Verteidigung.

Nächstes Modul: Identity and Access Management.