SMS sind keine wirkungsvolle Sicherheitsschranke
SMS sind als zweiter Faktor zum Passwort unsicher
Doppelt genäht hält besser, mit dieser alten Weisheit lässt sich der Vorteil der Zwei-Faktor-Authentifizierung am besten zusammenfassen. Das Prinzip: Zusätzlich zum normalen Passwort wird ein zweites, nur für einen Anmeldevorgang gültiges Einmal-Passwort eingesetzt. In der Ursprungsform dieses Sicherungsverfahrens werden die Einmal-Passwörter als vier- oder sechsstellige Zahlencodes per SMS an das Handy des Anwenders übertragen.
Das Verfahren ist weit verbreitet, gilt aber unter Sicherheitsexperten als nicht ausreichend sicher. Wie unsicher das Verfahren ist, konnte der Chaos Computer Club (CCC) Kürzlich zeigen. Angreifer sind vergleichsweise leicht in der Lage, eine SMS abzufangen. Zudem werden Nutzer durch Phishing dazu verleitet, ihre SMS-Einmalpasswörter zu verraten.
Der Chaos Computer Club (CCC) demonstriert nun einen bisher vernachlässigten Angriff auf SMS: Zum Versenden der Nachrichten ist die Nutzung von Dienstleistern üblich. Diese Anbieter versenden große Mengen an SMS für viele unterschiedliche Unternehmen und Services. Sie haben dabei Einblick in die SMS. Die Sicherheit des Authentifizierungsverfahrens hängt also auch von der Sicherheit der Dienstleister ab.
In einem Blogpost beschreibt der CCC, dass einzelne Dienstleister sehr nachlässig beim Schutz der SMS-Daten sind. So war es den CCC-Experten möglich, fast 200 Millionen SMS von 200 Unternehmen einzusehen. Um tatsächlich Schaden anzurichten, sind zwar noch die zugehörigen Passwörter notwendig, doch Die Aktion des CCC zeigt die Unsicherheit von einfachen SMS als zweiten Authentifizierungsfaktor.
Die Experten empfehlen Anwendern, als zweiten Faktor ausschließlich das Erzeugen von Einmalpasswörtern per App oder mit einem Hardware-Token zu nutzen, sofern es von den entsprechenden Services angeboten wird. Das SMS-Verfahren sollte nur dann eingesetzt werden, wenn es keine bessere Alternative gibt.
Web-Special: Cloud
Es gibt viele Wege in die „Wolke“ - doch nicht jede Cloud-Migration gestaltet sich einfach. Auswahlkriterien und noch mehr hilfreiche Tipps rund um die Migration erfahren Sie in unserem aktuellen Special.
Web-Special: IT-Security
Trügerische Sicherheit
Welche Sicherheitsmaßnahmen jetzt am wichtigsten sind, erfahren Sie in unserem aktuellen IT-Security-Special.
Web-Special: Rechenzentren
Unternehmen und ihre Rechenzentren müssen effizienter werden. Es ist an der Zeit für neue, umweltfreundliche Lösungsansätze. Wie diese aussehen können, lesen Sie in unserem Special.
