Multi-Faktor-Authentifizierung

Was ist Multi-Faktor-Authentifizierung?

Die Multi-Faktor-Authentifizierung (MFA) ist ein Sicherheitsprotokoll, das von Usern vor dem Zugriff auf digitale Ressourcen mehrere Identitätsnachweise fordert. Im Vergleich zu traditionellen Sicherheitssystemen, die lediglich die Eingabe eines Benutzernamens und Passworts erfordern, bietet MFA einen zusätzlichen Schutzwall. Die User müssen zum Beispiel einen Code eingeben, der ihnen auf ihr Handy oder per E-Mail geschickt wird, ein Gerät oder einen Token nutzen oder ihre Identität durch biometrische Daten nachweisen.

Während wir uns immer tiefer in das digitale Zeitalter bewegen, kann die Bedeutung starker Sicherheitsmaßnahmen und -gewohnheiten nicht oft genug betont werden. Als „Goldstandard“ in der Informationssicherheit wird MFA längst von Regierungseinrichtungen und führenden Großkonzernen, wie Google, Microsoft, Amazon Web Services und Apple, zur Stärkung ihrer Cyber-Verteidigungsstrategie eingesetzt.

Während wir ganz klar dazu raten, MFA als effektive Methode in Security-Strategien mit einzubinden, ist aber leider auch sie nicht gänzlich sicher vor missbräuchlicher Nutzung. So haben Cyberkriminelle mehrfach bewiesen, dass sie Schwachstellen gezielt ausnutzen und durch verschiedene Methoden in MFA-geschützte Konten eindringen können. Ein Beispiel war 2021 der Phishing-Angriff auf mehr als 10.000 Organisationen via Office 365 sowie der Angriff auf Uber im Jahr 2022, bei dem Cyberkriminelle Zugriff auf interne Informationen und Slack-Nachrichten erlangten. Wie viel Schutz MFA tatsächlich bietet, hängt letztlich von weiteren Faktoren ab: von ihrer Implementierung, der Awareness der Mitarbeitenden in Bezug auf MFA-Angriffe sowie von der Anzahl an ergänzenden Sicherheitsmaßnahmen.

Was ist der Unterschied zwischen Zwei-Faktor- (2FA) und Multi-Faktor-Authentifizierung (MFA)?

Oft werden Zwei-Faktor-Authentifizierung (2FA) und Multi-Faktor-Authentifizierung (MFA) synonym verwendet – es gibt jedoch einen kleinen entscheidenden Unterschied: Bei der 2FA sind nur zwei Faktoren zur Authentifizierung erforderlich, während bei der MFA mindestens zwei Faktoren, aber unter Umständen auch mehr angefordert werden. Die Zwei-Faktor-Authentifizierung ist somit eine bestimmte Form der MFA.

Sowohl 2FA und MFA sind heute weit verbreitet. Die 2FA wird vorwiegend auf Webseiten, in Social-Media-Apps und von Online-Diensten genutzt. Organisationen mit strengeren Compliance-Vorgaben für die Informationssicherheit setzen hingegen zum Schutz sensibler Daten und Systeme verstärkt auf MFA. Wenn wir im Folgenden den Oberbegriff „MFA“ nutzen, meinen wir dabei sowohl die Zwei- als auch die Multi-Faktor-Authentifizierung.

Wie funktioniert Multi-Faktor-Authentifizierung?

„Multi-Faktor-Authentifizierung“ mag kompliziert klingen, aber die meisten von uns haben sie bereits genutzt, zum Beispiel beim Anmelden in unserem E-Mail- oder Social-Media-Konto oder beruflich in Unternehmenssystemen. Der genaue Identifizierungsvorgang kann sich je nach System unterscheiden, ist grundsätzlich aber sehr intuitiv und besteht aus den folgenden Schritten:

• Schritt 1: Der User gibt seinen Benutzernamen, seine E-Mail-Adresse und sein Passwort ein – der erste Authentifizierungsfaktor.  
• Schritt 2: Das System wertet die Zugangsdaten aus, indem es sie mit den gespeicherten Informationen abgleicht. Sind die Angaben korrekt, folgt der nächste Bestätigungsschritt. Anderenfalls wird der User benachrichtigt, dass seine Authentifizierung fehlgeschlagen ist.  
• Schritt 3: Nachdem der erste Schritt erfolgreich abgeschlossen wurde, folgt der zweite Authentifizierungsfaktor. Dem User wird beispielsweise ein Einmal-Passwort (auch „OTP“ von Englisch „One-time password“) per SMS geschickt, es kommt eine spezielle Authentifizierungs-App zum Einsatz oder es muss ein Gerät verbunden oder biometrische Daten bereitgestellt werden. (Mehr zu den Authentifizierungsmethoden im Abschnitt „Mehr als nur Passwörter“)
• Schritt 4: Nachdem der User die Informationen für den zweiten Authentifizierungsschritt eingegeben hat, werden die Angaben erneut vom System geprüft. Sind sie korrekt, wird der User angemeldet. Anderenfalls erhält der User die Benachrichtigung, dass seine Authentifizierung fehlgeschlagen ist. Während im Falle einer Zwei-Faktor-Authentifizierung der Login bereits nach diesem Schritt erfolgt, können bei anderen Systemen eine dritte oder sogar vierte Form der Authentifizierung erforderlich sein. In diesem Fall wiederholt sich Schritt 3 und es müssen weitere MFA-Anforderungen erfüllt werden. 

Der User muss nicht zwangsläufig bei jedem Login mindestens zwei Schritte durchlaufen. Ist seine Identität einmal bestätigt, bleibt die MFA-Sitzung je nach System eine bestimmte Zeit lang aktiv.

Wie MFA Cyberangriffe verhindern kann

Im Bereich der Cybersicherheit erfüllt die MFA die wichtige Aufgabe, Accounts und Systeme vor unbefugtem Zugriff zu schützen. Selbst wenn Angreifende an Ihre Zugangsdaten gelangen – sei es durch das Darkweb, Brute Force, Phishing oder ein Datenleck – werden sie nicht in der Lage sein, den zweiten Authentifizierungsschritt zu passieren und in das System einzudringen. Ihr Konto ist somit vor geläufigen Angriffsmethoden, wie Phishing, Brute-Force-Angriffen, Credential Stuffing, Man-in-the-Middle-Angriffen und mehr, geschützt. Ein weiterer Vorteil des MFA-Systems ist, dass es Sie über jeden fehlgeschlagenen Anmeldeversuch informiert und Ihnen so ausreichend Zeit gibt, Ihre Sicherheitseinstellungen entsprechend zu ändern und einen weiteren Angriff abzuwenden. 

Die Vorteile von MFA: Besserer Schutz Ihrer Daten

MFA schützt vor Cyberangriffen und somit auch Ihre Daten. Von diesem zusätzlichen Schutzwall profitieren Sie in vielen Lebensbereichen – sowohl im beruflichen als auch privaten Umfeld: 

• Private Konten: MFA hält Angreifende davon ab, auf Ihre E-Mails, Social-Media-Accounts oder Konten auf Shopping-Plattformen zuzugreifen. Ihre Unterhaltungen, Nachrichten und (Zahlungs-)Informationen zu Ihren Einkäufen bleiben privat.  
• Finanzdaten: Indem Sie MFA auf Ihren Online-Banking- und Zahlungsplattformen aktivieren, machen Sie es Kriminellen deutlich schwerer, auf Ihre Konten und Mittel zuzugreifen. Ihre Bankauszüge, Überweisungen und finanzielle Privatsphäre sind besser geschützt.
• Geschäftsinformationen: Viele Organisationen nutzen MFA, um den Zugang zu ihren internen Systemen, VPNs und Kollaborationstools zu sichern. Der Zugriff auf wichtige Unternehmensinformationen, wie sensible Daten, vertrauliche Dokumente und geistiges Eigentum, wird somit nur für ausgewählte autorisierte Mitarbeitende freigegeben.
• Cloud Services und Remote-Zugriff: Cloud-Speicherplattformen bieten meist die Möglichkeit, MFA zum Schutz Ihrer cloudbasierten Dokumente, Dateien und Informationen zu aktivieren – eine Option, die insbesondere Organisationen mit Remote-Work-Regelungen zusätzliche Sicherheit bietet. Sie können ihre Ressourcen zusätzlich schützen, indem von remote-tätigen Mitarbeitenden vor dem Zugriff auf das System mehrere Authentifizierungsfaktoren angefordert werden.
• Kritische Infrastrukturen: In Industriezweigen wie der Gesundheits- oder Energiebranche oder dem Transportwesen, die zur Kritischen Infrastruktur gehören, ist MFA unerlässlich. Da es sich um essenzielle Systeme handelt, müssen sie entsprechend gesichert sein, um ihren ununterbrochenen Betrieb zu gewährleisten.  

Mehr als nur Passwörter: Gängige MFA-Methoden

Um die Identität eines Users zu überprüfen, der auf ein System oder einen Account zugreifen will, setzt MFA auf verschiedene Faktoren. Dazu gehört normalerweise etwas, das der User weiß, etwas, das er besitzt, und ein körperliches Merkmal. Indem MFA zwei oder mehr dieser Faktoren kombiniert, steigert sie den Schutz und bietet einen nahezu undurchdringbaren Authentifizierungsmechanismus. Sehen wir uns genauer an, wie bei der MFA die verschiedenen Faktoren eingesetzt werden:

Wissen als Authentifizierungsfaktor

Dieser Faktor bezieht sich auf spezielle Informationen, die nur Sie als Kontoinhaberin oder -inhaber kennen. Meistens handelt es sich um ein Passwort oder eine PIN (Personal Identification Number). Als geläufigster Faktor im Rahmen der MFA wird diese Information im Authentifizierungsvorgang als Erstes abgefragt.

Die größte Problematik rund um Passwörter ist, dass die meisten Menschen dazu neigen, Standard-Passwörter zu verwenden, und ihre Konten dadurch für verschiedene Angriffsmethoden verletzbar machen. Und auch wenn es einige Empfehlungen zur Erstellung sicherer Passwörter gibt, besteht doch stets das Risiko, sein Passwort zu vergessen – was wiederum administrativen Mehraufwand erzeugt.

Um dem entgegenzuwirken, führten die FIDO (Fast Identity Online) Alliance und das WWWC (World Wide Web Consortium) einen passwortlosen Anmeldestandard ein. Dieser ermöglicht Usern, sich mit alternativen Authentifizierungsmethoden, wie Fingerabdrücken, Face-Scan oder Geräte-PIN, einzuloggen. Als Mitglieder der FIDO Alliance kündigten Apple, Google und Microsoft ihre Pläne an, diese Technologie auf ihren Geräten und Plattformen zu implementieren.

Gegenstände als Authentifizierungsfaktor

Dabei handelt es sich um ein Gerät, das ein Einmal-Passwort („One-time password“, kurz OTP) generiert – wie ein Smartphone oder einen OTP-Generator – oder ein physisches Gerät mit integriertem Chip, auf dem Ihre Zugangsdaten gespeichert sind und das zur Authentifizierung mit einem anderen Gerät verbunden werden muss. Das kann ein Hardware-Token sein, wie ein USB-Stick, eine Smart-Card, ein Fob (ein Schlüsselanhänger mit integriertem Transponder) oder eine Schlüsselkarte.

Manche OTP-Generatoren nutzen eine zeitbasierte Authentifizierungstechnologie. Dabei erzeugt der Algorithmus ein OTP, das nur einmal genutzt werden kann und nur für kurze Zeit – meist für 30 Sekunden – gültig ist. Diese als „time-based one-time password“ (TOTP) bekannte Methode hält Cyberkriminelle besonders effektiv in Schach, da sie das OTP nach Ablauf der Zeitspanne nicht mehr zu ihren Zwecken missbrauchen können.

Der Besitzfaktor ist ein wichtiger Schutzwall. Denn selbst wenn jemand Ihr Passwort kennt, kann er die Authentifizierung ohne den jeweiligen Gegenstand oder das Gerät nicht abschließen. Sollten Sie Ihre Geräte wechseln, denken Sie daran, Ihre Authentifizierungsdaten auf das neue Gerät zu übertragen und die Daten vom alten Gerät zu entfernen, falls Sie dieses nicht mehr nutzen.

Körperliche Merkmale als Authentifizierungsfaktor

Der letzte Faktor bezieht sich auf individuelle körperliche Merkmale, also Ihre biometrischen Daten. Dabei handelt es sich um einzigartige Körper- oder Verhaltensmerkmale, die man schwer nachahmen oder fälschen kann. Dazu gehören Finger- oder Handabdruck, Gesichtserkennung sowie Stimm- und Irismuster. Manche biometrischen Methoden, wie die Stimmmustererkennung, sind mittels KI-Tools und Methoden wie Voice-Cloning etwas leichter zu überwinden. Individuelle körperliche Merkmale sind hingegen deutlich schwerer zu fälschen und bei der MFA kaum zu überwinden.

Mit der Verbreitung von Smartphones und anderen Mobilgeräten wuchs auch die Zugänglichkeit biometrischer Authentifizierungsmethoden. Da die meisten modernen Smartphones über integrierte Fingerabdrucks-Scanner oder Gesichtserkennung verfügen, wird die MFA sowohl für Einzelpersonen als auch für Organisationen immer einfacher umsetzbar.

Adaptive bzw. risikobasierte Authentifizierung

Adaptive Authentifizierungslösungen berücksichtigen verschiedene Risikofaktoren und passen die Authentifizierungsanforderungen an das jeweilige Risikolevel an. Mittels künstlicher Intelligenz (KI) und Machine Learning (ML) analysieren adaptive Modelle verschiedene Faktoren, wie Verhalten, Gerätedaten, Geolokalisierung und IP-Adresse, um den aktuellen Anmeldeversuch mit zuvor analysierten Mustern abzugleichen. Abweichungen von der Norm – wie Logins mitten in der Nacht oder zu ungewöhnlichen Zeiten, an ungewöhnlichen Standorten, aus öffentlichen Netzwerken oder von unbekannten Geräten – werden markiert und mit einem Risiko-Score bewertet. Je höher das Risiko-Level, desto größer die Wahrscheinlichkeit, dass es sich um einen unrechtmäßigen Zugriff bzw. Angriffsversuch handelt.

Basierend auf dem Risikowert, fügt das System weitere Authentifizierungsschritte hinzu. Es kann Sie erneut auffordern, Ihre Identität zu bestätigen, oder Echtzeit-Warnungen an Sie oder Ihren Systemadministrator schicken.

Mit der Hilfe von KI und ML können risikobasierte Authentifizierungssysteme große Datenmengen analysieren, Muster erkennen und das Risikolevel eines jeden Anmeldeversuchs präzise bewerten. Sie bieten effektiven Schutz vor nicht autorisiertem Zugriff, Kontoübernahmen und anderen Cyberbedrohungen, ohne die Anmeldung für den Kontoinhaber selbst zu erschweren, da bei niedrigem Risiko keine weiteren MFA-Schritte angefordert werden.

MFA-Angriffstaktiken

MFA bietet zwar sehr hohen Schutz, ist jedoch genau wie jede andere Cyber-Sicherheitsmaßnahme nicht völlig immun gegen Angriffe. Zu den größten Risikofaktoren von MFA gehören Social-Engineering-Angriffe, mangelnde Gerätesicherheit oder Schwachstellen bei der Implementierung der MFA. Um sich optimal vor Angriffen zu schützen, sollte man achtsam vorgehen, auf die Sicherheit seiner Geräte achten und sich über neue MFA-Hacking-Methoden informieren. Hier einige der häufigsten MFA-Angriffsmethoden:

MFA-Fatigue

MFA-Fatigue ist eine Social-Engineering-Methode, bei der das Zielgerät mit Authentifizierungsanfragen überflutet wird, bis das Opfer die Anfrage aus Versehen oder einfach aus Ermüdung bestätigt. Diese geläufige Methode spielt mit der (fehlenden) Widerstandsfähigkeit der Zielperson gegenüber Spam-Nachrichten. MFA-Fatigue kam auch 2022 beim Uber-Hack zum Einsatz, als die Angreifenden das Passwort eines Mitarbeiters stahlen und ihn dazu brachten, die MFA-Push-Benachrichtigung zu bestätigen. So gelang es ihnen, auf ein Netzwerk mit Anmeldedaten mit privilegierten Zugangsrechten und letztlich auf interne Daten und Slack-Nachrichten zuzugreifen. 

Erschleichen des Bestätigungscodes durch Phishing oder Vishing

Beim Phishing und Vishing versuchen Cyberkriminelle, durch emotionale oder psychologische Manipulation Daten zu erschleichen, die Sie zum Durchbrechen der MFA brauchen. Beim Phishing wird meist durch täuschend echte E-Mails und Textnachrichten mit dringlichen Anfragen, alarmierenden Warnungen oder attraktiven Angeboten die Aufmerksamkeit der Zielperson geweckt. Beim Vishing kommen zwar dieselben Social-Engineering-Methoden zum Einsatz. Anstatt per E-Mail werden die Opfer jedoch per Telefonanruf kontaktiert. In beiden Fällen geben sich die Angreifenden als vertrauenswürdige Personen aus, wie als Bank-Angestellte, Kundensupport-Mitarbeitende oder sogar Regierungsbeamte, und manipulieren so ihre Opfer zur Preisgabe sensibler MFA-Daten.

Attacker-in-the-Middle-Methode (AiTM)

Die Attacker-in-the-Middle-Angriffstaktik läuft ähnlich wie ein Phishing-Angriff ab, ist jedoch etwas komplexer. Der Angriff beginnt mit dem Klick auf eine Phishing-Mail. Von dort aus wird die Zielperson auf eine Fake-Login-Seite weitergeleitet, deren Design dem der echten Seite bis ins kleinste Detail ähnelt. Zwischen der echten und der Fake-Webseite steht ein Proxy, der es den Angreifenden ermöglicht, den Sitzungscookie zu speichern, der nach der Eingabe der Login-Daten und des MFA-Passworts generiert wird. Die Hacker nutzen daraufhin diese Cookies in ihren eigenen Browsern, um sich automatisch im Konto des Opfers anzumelden, ohne den Authentifizierungsvorgang erneut durchlaufen zu müssen. Nach dieser Methode lief auch der Business Email Compromise 2022 ab, bei dem Hacker durch die Kombination aus Spear Phishing und AitM in verschiedenste Microsoft-365-Konten von Führungspersonen in großen Konzernen eindrangen und Transaktionen auf ihre eigenen Bankkonten umlenkten.

SIM-Swapping

Beim SIM-Swapping wird die Handynummer als wichtiger Faktor der MFA ausgehebelt. Der Angriff erfolgt nicht auf die Zielperson selbst, sondern auf den Mobilfunkanbieter. Dabei geben sich die Angreifenden als Kundinnen und Kunden aus und bringen den Anbieter dazu, neue SIM-Karten auszustellen und der bestehenden Telefonnummern zuzuweisen. Laut FBI ist durch SIM-Swapping im Jahr 2021 in den USA ein Schaden von 68 Millionen US-Dollar entstanden. Um das Risiko solcher Angriffe zu reduzieren, empfiehlt das FBI, seine Handynummer privat zu halten, keine finanziellen oder persönlichen Daten online zu speichern, verschiedene einzigartige Passwörter zu verwenden, starke MFA-Methoden zu nutzen und sich über gängige SMS-Kontaktmethoden auf dem Laufenden zu halten.

Man-in-the-Endpoint-Angriffe (MitE)

Bei MitE-Angriffen wird Malware auf dem Gerät des Opfers installiert, über die die Hacker betrügerische Sitzungen im Hintergrund – nur für sie selbst sichtbar – ausführen können, sobald der User die MFA abschließt. Diese betrügerischen Sitzungen können die Angreifenden zu ihren perfiden Zwecken nutzen, zum Beispiel indem sie Gehaltszahlungen auf ihr eigenes Bankkonto umleiten, Daten stehlen, Vertrauensverhältnisse ausnutzen oder die MFA-Einstellungen manipulieren.

Nachbilden von Passwortgeneratoren in OTP-Systemen durch Reverse Engineering

Mit dieser Betrugsmasche umgehen Cyberkriminelle Passwortgeneratoren in Authentifizierungssystemen, die auf einem einmaligen Code basieren. Diese Taktik setzt ein hohes Level an technischen Fertigkeiten voraus, denn sie erfordert das Reverse Engineering des Algorithmus und des Ausgangswerts des Generators, um die Kontrolle darüber zu übernehmen. Ist das geschafft, können die Kriminellen jedoch Zugangscodes an User schicken und auf diese Weise die MFA umgehen.

Consent-Phishing

OAuth (Open Authorization) ist ein Authorisierungsprotokoll, das über bestimmte Apps begrenzten Zugang auf Nutzerkonten anfordert, ohne dass das Passwort preisgegeben werden muss. Wenn Sie zum Beispiel auf Instagram auf einen YouTube-Link klicken, fordert OAuth Zugriff auf Ihren YouTube-Account an, ohne dass Sie Ihre Identität bestätigen müssen. Sie können den Zugriff schnell und einfach freigeben, ohne den gesamten Anmeldevorgang zu durchlaufen. 

Cyberkriminelle machen sich dieses Protokoll zunutze, indem sie für beliebte Social-Media- und Kollaborations-Apps Fake-Versionen entwickeln. Wenn sie damit Zugang erlangen, können Angreifende die MFA-Anforderungen umgehen und Ihr Konto übernehmen.  

Bei einer Cyber-Investigation bei GitHub wurde 2022 aufgedeckt, dass Cyberkriminelle OAuth-User-Token Dritter für den Download aus privaten Repositorien von Organisationen verwendeten. Der Schaden wurde nie offiziell angezeigt, aber GitHub und der Token-Drittanbieter waren gezwungen, während der Problembehandlung die Integration vorübergehend zu deaktivieren. 

Brute-Force-Angriffe

Bei Brute-Force-Angriffen kommt automatisierte Software zum Einsatz, um an Bestätigungscodes zu gelangen oder das MFA-System zu durchdringen. Dabei werden systematisch alle möglichen Kombinationen durchprobiert, bis der richtige Code erraten wurde. Ein mögliches Szenario: Cyberkriminelle erhalten Ihre Zugangsdaten durch einen Cyberangriff oder aus dem Darkweb, doch ihnen fehlt der Bestätigungscode. Mit den richtigen Tools ist es ein Leichtes für sie, einen vierstelligen Code zu knacken, selbst wenn dieser per Zufallsprinzip generiert wird. 

Konten mit MFA sind zwar grundsätzlich besser vor Brute-Force-Angriffen geschützt als Konten, die nur durch ein Passwort gesichert sind. Die Stärke des Passworts spielt dabei jedoch eine entscheidende Rolle. In Konten mit schwachen Passwörtern oder beliebten Standardpasswörtern dringen Hacker innerhalb von Sekunden ein, während es bei komplexen Passwörtern viele Jahre dauern kann. 

Diebstahl physischer Token

Wie zuvor erwähnt, umfassen die meisten MFA-Methoden einen Besitzfaktor – meist ein Hardware-Gerät, das ein OTP generiert. Genau wie andere physische Objekte, können auch Token, Fobs, Schlüsselkarten und andere Hardware entwendet werden – insbesondere, wenn sie nicht sicher aufbewahrt werden. Auch wenn sie verloren gehen oder verlegt werden, können physische Token in die falschen Hände geraten und für nicht autorisierten Zugriff missbraucht werden.

So schützen Sie sich vor MFA-Angriffen

Indem Sie sichere MFA-Methoden implementieren und die aktuellen Cybertrends kennen, können Sie Ihr Risiko für MFA-Angriffe deutlich reduzieren und die Sicherheit Ihrer Online-Konten steigern. Während keine Sicherheitsmaßnahme Cyberangriffe vollständig vermeiden kann, helfen die folgenden Tipps, Ihre Sicherheit zu steigern:  

• Nutzen Sie starke Passwörter. Das Passwort ist die wichtigste Schutzbarriere eines Accounts – wählen Sie also starke Passwörter und verwenden Sie jedes Passwort nur einmal. Wenn Sie dasselbe Passwort für mehrere Konten verwenden, erlangen Hacker Zugriff auf alle Konten, sobald sie eines davon geknackt haben. 
• Setzen Sie auf biometrische Daten. Nutzen Sie biometrische Daten zur Authentifizierung, wann immer diese Option geboten ist. Sie bieten den stärksten Schutz, da biometrische Daten einmalige Merkmale einer Person sind und es somit nahezu unmöglich ist, sie zu fälschen oder das System hinters Licht zu führen.  
• Nutzen Sie eine bewährte MFA-App bzw. ein MFA-Gerät. Die Wahl einer zuverlässigen MFA-Methode eines vertrauenswürdigen Anbieters, die stetig aktualisiert wird, ist von fundamentaler Wichtigkeit. Optionen wie Google Authenticator, Microsoft Authenticator oder Hardware-Token wie YubiKey generieren einmalige Codes, die Sie beim Login zusätzlich zu Ihrem Passwort eingeben müssen.
• Bleiben Sie wachsam. Da Phishing und Vishing immer noch zu den beliebtesten Angriffsmethoden der Cyberkriminellen gehören, werden Sie immer skeptisch, sobald Sie in einer Nachricht nach persönlichen Daten gefragt werden – selbst, wenn sie scheinbar von vertrauenswürdigen Quellen stammen. Überprüfen Sie die Echtheit der Anfrage stets über einen anderen Kommunikationskanal, bevor Sie sensible Daten weitergeben.
• Aktualisieren Sie Geräte und Apps regelmäßig. Führen Sie regelmäßig Updates Ihrer Geräte, MFA-Apps und Betriebssysteme durch, um sicherzustellen, dass sie über die neuesten Sicherheits-Patches und Schutzmaßnahmen verfügen. Veraltete Versionen können Schwachstellen aufweisen, die sie für MFA-Hacking anfällig machen.  
• Überwachen Sie Kontoaktivitäten. Aktivieren Sie Push-Benachrichtigungen, die Sie über verdächtige Login-Versuche und Änderungen in Ihrem Konto informieren. Sollten Sie außergewöhnliche Aktivitäten feststellen, handeln Sie umgehend: Ändern Sie Ihr Passwort und/oder melden Sie den Zwischenfall. 
• Begrenzen Sie mögliche Anmeldeversuche. Das Einschränken der Anmeldeversuche ist eine effektive Methode zum Schutz vor unrechtmäßigem Zugriff, da der Zugang für den User vorübergehend oder dauerhaft blockiert wird, wenn alle zulässigen Versuche fehlschlagen. Dies ist besonders effektiv zum Schutz vor Brute-Force-Angriffen, da die Angreifenden nicht die Möglichkeit haben, in kurzer Zeit viele verschiedene Passwortkombinationen zu testen. 

MFA-Angriffe vermeiden: So können Organisationen ihr Risiko reduzieren

Multi-Faktor-Authentifizierung erhöht den Schutz von Konten, indem Sie vom User zwei oder mehr Authentifizierungsmethoden verlangt. Unbefugtes Eindringen wird so deutlich schwieriger. Genauso wie die Sicherheitsmaßnahmen entwickeln sich jedoch auch die Methoden der Cyberkriminellen ständig weiter. Sie stimmen ihre Angriffstaktiken kontinuierlich auf entstehende Schwachstellen ab und umgehen auch MFA durch Methoden wie MFA-Fatigue, Phishing, SIM-Swapping, Attacker-in-the-Middle-Angriffe und andere komplexe Strategien. Deshalb ist es unerlässlich, die neuesten Hacking-Trends zu kennen und einen vielschichtigen Sicherheitsansatz zu verfolgen. Nicht nur MFA, sondern auch regelmäßiges Security Awareness Training, starke Passwörter und häufige Software-Updates sind zum Schutz Ihrer Daten entscheidend.

Um Organisationen im Kampf gegen MFA-Angriffe zu unterstützen, haben wir ein umfassendes E-Learning zu Cyber Security und Datenschutz entwickelt, das Ihren Mitarbeitenden das nötige Wissen vermittelt, um MFA-Hacking zu erkennen, und ihnen die richtigen Tools an die Hand gibt, um es effektiv abzuwehren. Durch zusätzliche realistische Phishing-Simulationen und praxisnahe Beispiele tragen unsere leicht verdaulichen Lernmodule maßgeblich dazu bei, kontinuierlich sicheres Verhalten zu fördern und die Informationssicherheit in Ihrer Organisation zu stärken.