Die fünf größten Risiken der SMS-basierten Multifaktor-Authentifizierung

Als erfahrene Cybersicherheitsexperten haben CyberHoot vCISOs die Entwicklung der Multi-Faktor-Authentifizierung (MFA) über die Jahre hinweg miterlebt. SMS-basierte MFA ist zwar aufgrund ihrer Benutzerfreundlichkeit und einfachen Implementierung weit verbreitet, weist aber auch Schwachstellen auf, die von Angreifern ausgenutzt werden können. In diesem Blogbeitrag besprechen wir die mit SMS-basierter MFA verbundenen Risiken, darunter fehlende Verschlüsselung, Netzwerkausfälle, SS7-Angriffe, Social Engineering und SIM-Swapping. Darüber hinaus empfehlen wir alternative MFA-Lösungen mit besserer Sicherheit.

Mit SMS-basierter MFA verbundene Risiken:

SMS-basierte MFA ist anfällig für verschiedene Angriffsarten und daher weniger sicher als andere MFA-Methoden. Die fehlende Verschlüsselung von SMS-Nachrichten, das Risiko von SS7-Angriffen, Social Engineering und SIM-Swapping sind erhebliche Risiken, die mit SMS-basierter MFA verbunden sind.

Fehlende Verschlüsselung:

SMS-Nachrichten sind nicht verschlüsselt und können daher von Angreifern abgefangen und gelesen werden. Enthält die SMS vertrauliche Informationen, wie beispielsweise einen sechsstelligen Authentifizierungscode, können Angreifer diese nutzen, um Zugriff auf das Zielkonto zu erhalten.

Netzwerkausfälle

Auch Mobilfunknetze sind nicht vor Netzausfällen gefeit, die SMS-Dienste unzugänglich machen. Solche Ausfälle sind zwar selten, können aber auch bei laufendem Internet auftreten und verhindern so im Notfall den Zugriff auf wichtige Konten.

Angriff auf Signalsystem 7 (SS7):

SS7 steht für Signaling System 7, ein Protokoll, das erstmals 1988 eingeführt und zuletzt 1993 (vor 30 Jahren) aktualisiert wurde. Es wird von Telekommunikationsunternehmen zum Informationsaustausch zwischen Mobilfunknetzen verwendet. Hacker können Schwachstellen in SS7 ausnutzen, um SMS-Nachrichten, die für den vorgesehenen Empfänger bestimmt sind, abzufangen und umzuleiten. Dieser Angriff wird als SS7-Angriff bezeichnet. Er ermöglicht es Angreifern, den MFA-Prozess abzufangen und Zugriff auf die Zweitfaktor-Anmeldeinformationen der Zielkonten zu erhalten. In Kombination mit einem wiederverwendeten Passwort können Hacker mit dieser Form des MFA-Schutzes Zugriff auf kritische Konten erlangen.

Soziale Entwicklung:

Social Engineering ist eine Taktik, mit der Angreifer Personen dazu verleiten, vertrauliche Informationen preiszugeben. Bei SMS-basierter MFA können Angreifer den Mobilfunkanbieter des Opfers kontaktieren und sich als dieses ausgeben, um die mit dessen Telefonnummer verknüpfte SIM-Karte zu erhalten. Mit der SIM-Karte kann der Angreifer SMS-Nachrichten empfangen, die für das Opfer bestimmt sind, den MFA-Prozess umgehen und Zugriff auf das Zielkonto erhalten. Eine weitere Form des SIM-Kartenangriffs ist das sogenannte SIM-Swapping, das wir nun untersuchen.

SIM-Swapping:

SIM-Swapping ist eine Technik, mit der Angreifer die Kontrolle über die Telefonnummer eines Opfers erlangen. Angreifer können sich als Opfer ausgeben und den Mobilfunkanbieter davon überzeugen, die Telefonnummer des Opfers auf eine SIM-Karte in seinem Besitz zu übertragen. Mit der Kontrolle über die Telefonnummer des Opfers erhält der Angreifer Zugriff auf den zweiten Faktor, einen SMS-Code, und gelangt mit dem offengelegten, wiederverwendeten oder geknackten Kontopasswort auf das Zielkonto.

Dies sind die fünf größten Risiken der SMS-basierten Multi-Faktor-Authentifizierung. Wir betrachten die Best Practices, die Sie befolgen sollten, wenn Sie SMS-MFA verwenden müssen, obwohl CyberHoot dies nicht mehr empfiehlt. Wir stellen Ihnen alternative MFA-Methoden vor, die deutlich sicherer sind als SMS-basierte MFA.

Best Practices für SMS-basierte MFA:

Trotz ihrer Schwachstellen bietet SMS-basierte MFA bei korrekter Anwendung zusätzliche Sicherheit. Hier sind einige Best Practices, die dazu beitragen können, die mit SMS-basierter MFA verbundenen Risiken zu minimieren:

1. Verwenden Sie eine eindeutige, nicht veröffentlichte Telefonnummer: Verwenden Sie eine Telefonnummer, die keinen anderen Konten oder Diensten zugeordnet ist und wenn möglich unveröffentlicht ist, um das Risiko von Social-Engineering-Angriffen und SIM-Swapping zu verringern.
2. Vermeiden Sie die Verwendung von SMS-basierter MFA für Hochrisikokonten: Vermeiden Sie die Verwendung von SMS-basierter MFA für Konten, die Zugriff auf vertrauliche Informationen oder Finanzanlagen haben.
3. Überwachen Sie die Kontoaktivität: Überwachen Sie die Kontoaktivität regelmäßig und melden Sie verdächtige Aktivitäten sofort dem Dienstanbieter.

Bessere alternative MFA-Lösungen zu SMS MFA:

Um die Sicherheit der MFA zu erhöhen, gibt es verschiedene alternative Lösungen, die sicherer sind als SMS-basierte MFA. Hier sind einige Beispiele:

1. Mobile Authenticator-Apps: Authentifizierungs-Apps wie Google Authenticator, Microsoft Authenticator und Authy generieren ein zeitbasiertes Einmalkennwort (TOTP), das alle 30 Sekunden geändert wird. Das TOTP dient als zweiter Faktor im Authentifizierungsprozess und bietet zusätzliche Sicherheit.
2. Hardware-Token: Hardware-Token wie YubiKey und RSA SecurID generieren einen eindeutigen Code, der als zweiter Faktor im Authentifizierungsprozess dient. Diese Token sind sicherer als SMS-basierte MFA und nicht anfällig für SS7-Angriffe, Social Engineering, SIM-Swapping oder fehlende Verschlüsselung.
3. Biometrische Authentifizierung: Bei der biometrischen Authentifizierung werden physische Merkmale wie Fingerabdrücke, Gesichtserkennung oder Stimmerkennung als zweiter Faktor im Authentifizierungsprozess verwendet. Diese Methode ist äußerst sicher, da biometrische Daten für jede Person einzigartig sind und nicht leicht reproduziert oder gestohlen werden können. Die biometrische Authentifizierung ist zudem praktisch, da sich Benutzer keine Passwörter merken oder Token mit sich führen müssen.

Schlussfolgerungen zur Multi-Faktor-Authentifizierung:

SMS-basierte MFA ist eine weit verbreitete Methode, um zusätzliche Sicherheit zu gewährleisten. Sie weist jedoch erhebliche Schwachstellen auf, die von Angreifern ausgenutzt werden können. Fehlende Verschlüsselung, Netzwerkausfälle, SS7-Angriffe, Social Engineering und SIM-Swapping sind allesamt Risiken, die mit SMS-basierter MFA verbunden sind. Zwar gibt es bewährte Methoden, um diese Risiken zu minimieren, doch gibt es alternative MFA-Lösungen, die mehr Sicherheit bieten, wie beispielsweise mobile Authentifizierungs-Apps, Hardware-Token und biometrische Authentifizierung.

Als erfahrener Cybersicherheitsexperte empfiehlt CyberHoot Einzelpersonen und Organisationen, diese alternativen Lösungen in Betracht zu ziehen, um ihre Sicherheitslage zu verbessern und ihre vertraulichen Informationen und Vermögenswerte zu schützen.

Sichern Sie Ihr Unternehmen noch heute mit CyberHoot!!!

Jetzt anmelden

Sehen Sie sich dieses 2-minütige Video zu den fünf größten Risiken der SMS-basierten MFA an:

Weiterführende Lektüre: Geschichten aus der Gruft über die Risiken der SMS-basierten MFA