18.09.2023 Multi-Faktor-Authentifizierung

Wichtige Komponente, aber sie reicht allein nicht aus

Ingo Buck, Geschäftsführer der Imprivata Ogitix GmbH, erklärt im Kommentar, was Unternehmen bei der Absicherung ihrer MFA-Workflows beachten müssen.

Ingo Buck: „Um die Abwehr zu stärken, sollten Unternehmen eine ganzheitliche IAM-Strategie verfolgen.“

Die einfache Antwort auf immer häufigere und raffiniertere Cyberangriffe ist die Multi-Faktor-Authentifizierung (MFA). Hackern gelingt es jedoch, MFA mit immer ausgefeilteren Angriffen zu umgehen. Neben MFA-Phishing wird auch „MFA-Fatigue“ immer häufiger genutzt. Dabei werden die Nutzer in kurzer Zeit mit vielen MFA-Anfragen bombardiert, bis sie eine Anfrage versehentlich akzeptieren.

Schutzniveau reicht nicht aus

MFA-Phishing und MFA-Fatigue-Angriffe sind gute Beispiele dafür, wie schnell sich die Bedrohungslandschaft verändert. Viele Cybersicherheitsexperten bezweifeln heute, dass MFA nahezu alle Angriffe verhindern kann. Dennoch bleibt MFA eine wichtige Komponente, aber sie reicht allein nicht aus, um die IT eines Unternehmens zu schützen. Die folgenden drei Tipps helfen Unternehmen sicherzustellen, dass ihre MFA-Lösung nicht nur eine trügerische Sicherheit vortäuscht:

1. MFA muss in solide IAM-Strategie integriert werden

MFA-Angriffe versuchen, mit gestohlenen Zugangsdaten Kontrolle über Nutzerkonten und das Netzwerk zu erlangen. Hacker bewegen sich dabei im Perimeter, weshalb sich Unternehmen nicht mehr nur auf den Perimeterschutz verlassen können. Einer Imprivata-Umfrage zufolge haben dies 91 Prozent der IT-Verantwortlichen erkannt. Sie setzen auf IAM-Strategien, die Benutzeridentitäten schützen. MFA ist wichtig, aber nicht der einzige Schutz. Eine ganzheitliche Identity-&-Access-Management-Strategie (IAM) schafft weitere Sicherheitsebenen, denn begrenzte Zugriffsrechte verringern den Schaden eines Hackers, selbst wenn er MFA umgeht.

2. MFA ist nicht gleich MFA

Beachten Sie die Schwächen und Vorteile der einzelnen MFA-Lösungen. MFA-Fatigue kann verhindert werden, indem die Anzahl der MFA-Anfragen pro Zeitperiode begrenzt wird. MFA basiert oft auf OTPs, was Risiken birgt, da MFA-Phishing beabsichtigt, dass Nutzer OTPs auf manipulierten Webseiten preisgeben. Daher ist es sicherer, auf App-basierte MFA zu setzen. Diese Apps sind nicht komplizierter zu bedienen als das klassische OTP per SMS oder E-Mail. Auch Smartcards erlauben eine einfache Authentifizierung, da diese hardwaregebundenen Authentifizierungsoptionen die mit der digitalen Identität eines Nutzers verknüpften Anmeldedaten speichern können.

3. Der Faktor Mensch

Menschen machen Fehler. Regelmäßige Schulungen zur IT-Sicherheit sind daher wichtig, auch um bereits geschulte Mitarbeiter über immer neue Angriffsmethoden zu informieren.

Unternehmen haben ihre IT-Sicherheit in der Hand

Die verschärften KRITIS-Kriterien (NIS2) fordern zu Recht, dass Unternehmen ihren IT-Schutz verstärken. Cyberkriminelle werden Angriffe weiter perfektionieren und auch MFA im Visier behalten. Ohne Zusatzmaßnahmen wird die als zusätzliche Sicherheitsschicht gedachte MFA zu einem nutzlosen „zweiten Passwort“. Um die Abwehr zu stärken, sollten Unternehmen eine ganzheitliche IAM-Strategie verfolgen und zugleich Mitarbeiter über die Risiken von MFA-Angriffen aufklären.