MFA-Lösung: Nicht ohne Mobile DNA

Multifaktor-Authentifizierung ist weltweit im Kommen. Immer mehr wird in entsprechende Lösungen investiert, wobei die Treiber vielfältiger Natur sind: Zum einen erhöht sich – angespornt durch zahlreiche globale Initiativen – der Druck auf die Gesetzgebung hinsichtlich verbindlicher, einschlägiger Sicherheitsvorgaben. Gleichzeitig setzen immer mehr Unternehmen – wie beispielsweise Salesforce – von sich aus die Multifaktor-Authentifizierung bei der Nutzung ihrer Dienste voraus. Aber auch der zunehmende Trend zur Implementierung von Zero-Trust-Konzepten befeuert die MFA-Adaption.

Laut Schätzungen beträgt der Umsatz im MFA-Markt derzeit 12,9 Milliarden Dollar. Bis zum Jahr 2027 soll dieser auf 26,7 Milliarden Dollar ansteigen, was einer jährlichen Wachstumsrate von 15,6 Prozent entspricht. Bereits im Jahr 2022 haben rund 92 Prozent der Unternehmen MFA-Technologie zumindest für einige Geschäftsbereiche eingesetzt.

Grundsätzlich gewährleistet Multifaktor-Authentifizierung einen wichtigen zusätzlichen Schutz für Anmeldedaten. Doch dieser könnte sich ebenso als unzureichend erweisen – wenn es den Cyberkriminellen beispielsweise gelingt, Anwender mithilfe von Phishing- und Social-Engineering-Angriffen auszutricksen. Darüber hinaus gibt es etliche andere Techniken, um die MFA-Verteidigung auszuhebeln.

Was ist SIM-Swapping und wie wird dabei vorgegangen?

Einmalcodes, die per SMS verschickt werden, sind bei herkömmlichen MFA-Verfahren weit verbreitet. Bei einem Swap-Angriff übernimmt ein böswilliger Akteur die Telefonnummer der auserkorenen Zielperson. Hierfür fragt er beim Mobilfunkanbieter an, die Nummer mit einer neuen SIM-Karte zu verknüpfen, die sich unter der Kontrolle des Cyberkriminellen befindet.

Zunächst muss der Telekommunikationsanbieter dazu gebracht werden, den SIM-Tausch vorzunehmen. An diesem Punkt kommen Social-Engineering-Techniken zum Einsatz, mit denen sich der Angreifer als eigentlicher Kunde ausgibt und behauptet, die Original-SIM sei beschädigt oder verloren gegangen. Hat er damit Erfolg, verliert das Telefon des Opfers die Verbindung zum Netz und kann weder Anrufe empfangen noch tätigen.

Sobald die neue SIM-Karte installiert ist, haben Hacker ein leichtes Spiel, um an die benötigten Codes zu gelangen. Diese ermöglichen es ihnen dann, die MFA zu umgehen, Kontodaten zurückzusetzen und unbefugten Zugriff zu erhalten. Um sich als Opfer auszugeben, sammeln Angreifer vorab alle notwendigen Daten. Um an diese zu gelangen, gibt es verschiedene Wege wie beispielsweise Social Engineering, Phishing, Malware, die Recherche in sozialen Medien oder die Auswertung von Informationen, die im Zuge von Sicherheitsverletzungen in die falschen Hände geraten sind.

Mit dem nötigen Wissen ausgestattet, können Cyberkriminelle den Mobilfunkbetreiber davon überzeugen, die Handynummer auf eine neue SIM-Karte zu übertragen oder den Vorgang selbst online durchführen. Im letzten Jahr gab die zentrale Sicherheitsbehörde der Vereinigten Staaten, das FBI, eine öffentliche Warnung über die Zunahme dieser Art von Bedrohung heraus: Von Januar 2018 bis Dezember 2020 wurden insgesamt 320 SIM-Swapping-Vorfälle gemeldet. Infolgedessen entstand ein Schaden in Höhe von rund 12 Millionen US-Dollar. Allein im Jahr 2021 gingen 1.611 SIM-Swap-Anzeigen ein, die einen Schaden von über 68 Millionen US-Dollar nach sich zogen. Diese Zahlen zeigen deutlich, dass Handlungsbedarf besteht, um SIM-Swapping zu verhindern.

Schutzfunktionen optimieren mit Mobile DNA

Selbst Anwender mit dem größten Sicherheitsbewusstsein können den immer intelligenter daherkommenden Taktiken von Cyberkriminellen erliegen. Einem Bericht von Verizon zufolge ist menschliches Versagen für 82 Prozent der Datenschutzverletzungen verantwortlich. Daher reicht die Implementierung einer herkömmlichen MFA-Lösung möglicherweise nicht aus.

Die AuthPoint-Lösung von WatchGuard wird durch eine Funktion gestärkt, die garantiert, dass nur der tatsächliche Benutzer eines mobilen Geräts auf seine Online-Konten und die jeweiligen Informationen zugreifen kann. Die Lösung nutzt die sogenannte "Mobile DNA", um sicherzustellen, dass die Person, die sich anmelden möchte, auch der Eigentümer des Telefons ist. Somit wird verhindert, dass sich Hacker durch SIM-Tausch Zugang verschaffen. Mobile DNA basiert auf der eindeutigen Gerätekennung, sodass jeder Anmeldeversuch von einem anderen Mobiltelefon sofort blockiert wird. Gleichzeitig sind Anwender der WatchGuard-Lösung vor der Ausnutzung von Schwachstellen des Protokolls Signaling System No. 7 (SS7) gefeit – und agieren konform zu den Vorgaben der CISA (Cybersecurity and Infrastructure Security Agency) zur Multifaktor-Authentifizierung. Sobald eine Session initiiert wird, erstellt die AuthPoint-Anwendung die mobile DNA neu und integriert sie in die Berechnung des One-Time-Passworts (OTP). Sollte eines der einzigartigen Merkmale des mobilen Geräts verändert werden (z.B. beim Versuch, SIM auf einem anderen Gerät einzurichten), wird ein ungültiges OTP generiert und der Zugriff verweigert. Gleichzeitig ist es möglich, zu überprüfen, ob ein Angreifer versucht hat, sich Zugang zum Konto zu verschaffen, da die Informationen zur Zugriffsfreigabe und -ablehnung jederzeit protokolliert werden.

Weil die DNA für jedes Gerät eindeutig ist, muss beim Wechsel auf ein neues Mobiltelefon der Token von einem Gerät auf das andere migriert werden. Bei Nutzung von zwei Mobiltelefonen ist auch eine zusätzliche Registrierung durch das IT-Team möglich. Ein neuer Token deaktiviert automatisch den alten. Selbst im Falle eines Diebstahls besteht somit kein Risiko, dass es zum Missbrauch kommt. Verlässt ein Mitarbeiter das Unternehmen, können die entsprechenden Token schnell aus der Cloud gelöscht werden, um zu verhindern, dass diese zu einem späteren Zeitpunkt nochmal zur Authentifizierung verwendet werden. Sollte ein Personalwechsel anstehen, muss zudem keine neue Lizenz erworben werden. Die bestehende lässt sich einfach übertragen und weiter nutzen, so dass hinsichtlich der Lizensierung keine Mehrkosten entstehen.

Mobile DNA sollte bei der Multifaktor-Authentifizierung unbedingt Berücksichtigung finden. Denn selbst wenn Anwender den immer raffinierter werdenden Taktiken der Cyberkriminellen aufsitzen, sorgt dieses Feature für zusätzlichen, wichtigen Schutz.