Nicht alle MFA sind gleich: Umstellung auf Phishing-resistente Authentifizierung

Kurz gesagt: SMS und Push-basierte MFA stoppen immer noch Massenangriffe, aber moderne Phishing-Kits besiegen sie. Phishing-resistente Faktoren wie Passkeys und Hardwareschlüssel schließen die Lücke, die Einmalcodes offen lassen.

MFA legte die Messlatte höher – dann passten sich die Angreifer an

Die Multi-Faktor-Authentifizierung hat den Erfolg beim Credential-Stuffing drastisch reduziert, und dieser Gewinn ist real. Doch die Angreifer gingen zu Echtzeit-Phishing-Proxys und MFA-Fatigue-Angriffen über, die einmalige Codes sammeln oder einen Benutzer mit Push-Eingabeaufforderungen ermüden, bis er einen genehmigt.

Die Schwachstelle ist das gemeinsame Geheimnis: Jeder Faktor, den ein Benutzer lesen und erneut eingeben kann, kann ein Angreifer weitergeben.

Was Phishing-resistent eigentlich bedeutet

• Anmeldeinformationen sind an den Ursprung gebunden, sodass eine ähnliche Domäne sie nicht weiterleiten kann.
• Kryptografischer Besitznachweis anstelle eines Codes, den der Benutzer kopiert.
• Passkeys und FIDO2-Hardwareschlüssel als die stärksten allgemein verfügbaren Optionen.
• Push und SMS bleiben nur als Fallback erhalten, niemals als alleiniger Faktor für privilegierten Zugriff.

Eine pragmatische Einführung

Sie müssen den Ozean nicht zum Kochen bringen. Beginnen Sie mit den Konten, die am wichtigsten sind – Administratoren, Finanzen und alle, die Änderungen genehmigen können – und fordern Sie dort zunächst Phishing-resistente Faktoren ein. Erweitern Sie die Abdeckung, wenn Registrierungstools und Geräteunterstützung aufholen.

Die Statusprüfungen von KENSAI helfen Ihnen zu erkennen, wo eine schwache Authentifizierung immer noch sensible Zugriffe blockiert, sodass die Einführung auf echte Risiken und nicht auf Vermutungen abzielt.

Einführung ohne Benutzerunterbrechung

Phishing-resistente Methoden wie Passkeys und Hardware-Sicherheitsschlüssel schlagen die Angriffe ab, die Push-Benachrichtigungen und Einmalcodes nicht können, da es kein gemeinsames Geheimnis gibt, das eine gefälschte Seite erfassen könnte. Bei der Migration geht es sowohl um Änderungsmanagement als auch um Technologie.

Beginnen Sie mit den Konten mit dem höchsten Risiko, den Administratoren und allen Personen, die Geld oder Daten bewegen können, und weiten Sie dann die Abdeckung schrittweise aus. Registrieren Sie einen Sicherungsschlüssel für jeden Benutzer, definieren Sie einen geprüften Wiederherstellungspfad, der selbst Phishing-resistent ist, und messen Sie die Akzeptanz, damit die schwachen Fallback-Methoden mit Zuversicht und nicht mit Vermutungen ausgeschaltet werden können.

Imbiss

MFA ist notwendig, reicht aber allein nicht mehr aus. Phishing-resistente Faktoren entfernen das weitergabefähige Geheimnis, und wenn sie zunächst auf Konten mit hohen Berechtigungen eingeführt werden, wird das Risiko am schnellsten reduziert.