MFA ist nicht gleich MFA: Der Umstieg auf phishingresistente Authentifizierung

Kurz gesagt: SMS- und Push-basierte MFA wehren breit angelegte Angriffe weiterhin ab, moderne Phishing-Kits können sie jedoch umgehen. Phishingresistente Faktoren wie Passkeys und Hardwareschlüssel schließen die Sicherheitslücke, die Einmalcodes hinterlassen.

MFA legte die Messlatte höher – dann passten sich die Angreifer an

Die Multi-Faktor-Authentifizierung hat die Erfolgsquote von Credential-Stuffing drastisch reduziert, und dieser Erfolg ist unbestreitbar. Angreifer sind jedoch zu Echtzeit-Phishing-Proxys und MFA-Fatigue-Angriffen übergegangen, die Einmalcodes abfangen oder Benutzer so lange mit Push-Anfragen zermürben, bis sie eine davon bestätigen.

Die Schwachstelle ist das gemeinsame Geheimnis: Jeden Faktor, den ein Benutzer lesen und erneut eingeben kann, kann auch ein Angreifer weiterleiten.

Was phishingresistent tatsächlich bedeutet

• An die Herkunft gebundene Zugangsdaten, sodass eine täuschend ähnliche Domain sie nicht weiterleiten kann.
• Kryptografischer Besitznachweis anstelle eines Codes, den der Benutzer kopiert.
• Passkeys und FIDO2-Hardwareschlüssel als stärkste allgemein verfügbare Optionen.
• Push und SMS werden nur als Ausweichlösung beibehalten, niemals als alleiniger Faktor für privilegierten Zugriff.

Eine pragmatische Einführung

Sie müssen nicht alles auf einmal umstellen. Beginnen Sie mit den wichtigsten Konten – Administratoren, Finanzabteilung und allen Personen, die Änderungen genehmigen können – und schreiben Sie dort zuerst phishingresistente Faktoren vor. Erweitern Sie die Abdeckung, sobald die Tools zur Registrierung und die Geräteunterstützung entsprechend ausgebaut sind.

Die Sicherheitsstatusprüfungen von KENSAI zeigen Ihnen, wo schwache Authentifizierung noch immer den Zugriff auf sensible Ressourcen absichert. So richtet sich die Einführung nach tatsächlichen Risiken statt nach Vermutungen.

Einführung ohne Beeinträchtigung der Benutzer

Phishingresistente Methoden wie Passkeys und Hardware-Sicherheitsschlüssel wehren Angriffe ab, gegen die Push-Benachrichtigungen und Einmalcodes wirkungslos sind, da es kein gemeinsames Geheimnis gibt, das eine gefälschte Seite abfangen könnte. Bei der Migration geht es ebenso sehr um Veränderungsmanagement wie um Technologie.

Beginnen Sie mit den Konten mit dem höchsten Risiko – Administratoren und allen Personen, die Geld oder Daten bewegen können – und erweitern Sie die Abdeckung anschließend schrittweise. Registrieren Sie für jeden Benutzer einen Ersatzschlüssel, definieren Sie einen geprüften Wiederherstellungsprozess, der selbst phishingresistent ist, und messen Sie die Akzeptanz. So können schwache Ausweichmethoden auf Grundlage verlässlicher Daten statt bloßer Vermutungen deaktiviert werden.

Fazit

MFA ist notwendig, reicht allein jedoch nicht mehr aus. Phishingresistente Faktoren beseitigen das weiterleitbare Geheimnis. Ihre vorrangige Einführung für hochprivilegierte Konten erzielt am schnellsten die größtmögliche Risikoreduzierung.