Zu leicht abzufangen

Microsoft warnt vor Login mit SMS-Zusatzcode

(Bild: ©tippapatt - stock.adobe.com)

Um Benutzerkonten gegen Hackerangriffe abzusichern, setzen Firmen und Privatnutzer immer öfter auf sogenannte Zwei-Faktor-Authentifizierung. Hier verhindert ein meist aufs Handy gesendeter Zusatz-Code, dass sich jemand ohne Zugang zum Smartphone bei einem Dienst anmelden kann. Doch nicht jede Zwei-Faktor-Authentifizierung ist gleich sicher: Ein Microsoft-Experte warnt eindringlich vor Authentifizierungs-Codes, die per SMS oder Anruf zugestellt werden.

Das Problem mit SMS und Anrufen sei laut Microsoft-Manager Alex Weinert, der die Thematik in einem Blogeintrag aufarbeitet, dass mobilfunkbasierte Zwei-Faktor-Authentifizierung von versierten Angreifern immer noch abgefangen werden könnte.

Das fange damit an, dass SMS und Anrufe nicht verschlüsselt sind, von fähigen Angreifern also mit speziellem Equipment oder Phishing-Tools abgefangen werden könnten. Außerdem könnten Angreifer Mitarbeiter des Mobilfunkers mit Social-Engineering-Tricks dazu bringen, die Telefonnummer auf das Handy eines Angreifers umzuleiten - und damit auch die Zwei-Faktor-Codes, die an diese Nummer geschickt werden. Hinzu komme das Risiko, dass Handynetze ausfallen und die SMS dann nicht mehr zugestellt werden.

Ich glaube, SMS und Anrufe sind die unsicherste Multi-Faktor-Authentifizierungsmethode, die wir heute haben.

Alex Weinert, Microsofts Director of Identity Security

SMS und Anrufe seien „die unsicherste Multi-Faktor-Authentifizierungsmethode, die wir heute haben“. Sicherer seien Verfahren, die auf einen in einer Smartphone-App erzeugten Authentifizierungs-Code setzen - sogenannte Authenticator-Apps. Und noch eine Stufe sicherer seien Hardware-basierte Methoden, bei denen der Nutzer mit einem physischen Schlüssel - etwa einem USB-Stick - Zugang zu seinem Konto erlangt.

Die Unterschiede bei der Sicherheit der einzelnen Verfahren würden sich künftig nur noch vergrößern, so der Microsoft-Manager. Grundsätzlich biete Zwei-Faktor-Authentifizierung aber ein hohes Maß an Sicherheit und verhindere 99,9 Prozent der automatischen Angriffsversuche.