Multi-Faktor-Authentifizierung

Multi-Faktor-Authentifizierung (MFA) verlangt von Benutzern, ihre Identität durch zwei oder mehr unabhängige Faktoren aus verschiedenen Kategorien nachzuweisen. Selbst wenn ein Faktor kompromittiert wurde (z. B. ein gestohlenes Passwort), bleibt das Konto geschützt.

Authentifizierungsfaktoren:

• Etwas, das Sie wissen — Passwort, PIN, Sicherheitsfrage
• Etwas, das Sie besitzen — Telefon, Hardware-Token, Smartcard
• Etwas, das Sie sind — Fingerabdruck, Gesicht, Stimme (Biometrie)

Echte MFA verwendet mindestens zwei verschiedene Kategorien — nicht zwei Passwörter.

TOTP erzeugt einen 6-stelligen Code, der sich mithilfe eines gemeinsamen Geheimnisses und der aktuellen Uhrzeit alle 30 Sekunden ändert (RFC 6238). Apps: Google Authenticator, Authy, Microsoft Authenticator.

TOTP ist gegen Replay-Angriffe sicher, aber anfällig für Echtzeit-Phishing.

SMS-basierte OTPs sind praktisch, weisen aber erhebliche Schwächen auf:

• SIM-Swapping — Der Angreifer bringt den Mobilfunkanbieter durch Social Engineering dazu, die Nummer des Opfers zu übertragen
• SS7-Angriffe — Abfangen von SMS auf Telekommunikationsebene durch staatliche Akteure
• Echtzeit-Phishing — Der Angreifer leitet das OTP sofort vom Opfer an die Ziel-Website weiter

SMS-OTP ist besser als gar keine MFA, aber die schwächste Form.

Hardware-Sicherheitsschlüssel (YubiKey, Google Titan) verwenden Public-Key-Kryptografie. Das Gerät signiert eine an die jeweilige Website gebundene Challenge und ist dadurch phishing-resistent – auf gefälschten Websites funktionieren diese Schlüssel nicht.

Dies ist der Goldstandard der MFA.

Die Authenticator-App sendet eine Push-Benachrichtigung: "Anmeldung aus New York genehmigen?" Der Benutzer tippt auf Genehmigen oder Ablehnen. Das ist praktisch, aber anfällig für MFA-Fatigue-Angriffe — Angreifer senden so lange Genehmigungsanfragen, bis ein müder Benutzer versehentlich eine genehmigt.

Auch Push-Bombing genannt: Der Angreifer kennt das Passwort und sendet Dutzende MFA-Push-Benachrichtigungen in der Hoffnung, dass der Benutzer aus Frustration oder Verwirrung eine davon genehmigt. Gegenmaßnahme: Verlangen Sie einen Zahlenabgleich in der Push-Benachrichtigung (der Benutzer muss einen auf dem Anmeldebildschirm angezeigten Code eingeben).

Passkeys (FIDO2/WebAuthn) verbinden "etwas, das Sie besitzen" (Geräteschlüssel) mit "etwas, das Sie sind" (biometrische Entsperrung) zu einer einzigen phishing-resistenten Anmeldeinformation. Kein Passwort erforderlich. Von den gängigen Plattformen unterstützt.

Moderne Identitätsplattformen unterstützen Conditional Access: MFA wird nur verlangt, wenn Risikosignale darauf hindeuten (unbekannter Standort, neues Gerät, sensible Ressource). Step-up-Authentifizierung verbessert die Benutzerfreundlichkeit und gewährleistet gleichzeitig die Sicherheit.

Angreifer umgehen MFA durch:

• Echtzeit-Phishing (AiTM) — Ein Proxy fängt nach der MFA das Session-Cookie ab
• SIM-Swapping — SMS-Codes abfangen
• MFA-Fatigue — Push-Benachrichtigungen massenhaft senden
• Social Engineering beim Helpdesk — MFA über ein Support-Ticket deaktivieren

Bei der Implementierung von MFA:

• MFA standardmäßig für alle Benutzer verlangen
• Mehrere MFA-Optionen anbieten, aber Hardware-Schlüssel und TOTP verfügbar machen
• Benutzer über MFA-Fatigue aufklären — wenn sie keine Anmeldung gestartet haben, die Push-Anfrage ablehnen
• Nach Mustern zur MFA-Umgehung in Authentifizierungsprotokollen suchen

Welche MFA-Methode ist phishing-resistent, weil sie die Authentifizierung kryptografisch an die jeweilige Website bindet?

MFA erfordert zwei Faktoren aus verschiedenen Kategorien (wissen/besitzen/sein). TOTP-Apps sind gut; Hardware-Schlüssel (FIDO2) sind am besten – sie sind phishing-resistent. SMS-OTP ist am schwächsten und anfällig für SIM-Swapping. MFA-Fatigue-Angriffe senden massenhaft Push-Benachrichtigungen; ein Zahlenabgleich wirkt dem entgegen. Passkeys verbinden Hardware und Biometrie zu einer einzigen nahtlosen Anmeldeinformation.