Die dringende Notwendigkeit, SMS-basierte MFA zu ersetzen

Im Dezember 2024 rieten das FBI und die Cybersecurity and Infrastructure Security Agency (CISA) Amerikanern davon ab, SMS-Codes für Multi-Faktor-Authentifizierung (MFA/2FA) zu verwenden. In der Mobile Communications Best Practice Guidance von CISA heißt es klar: „Verwenden Sie SMS nicht als zweiten Faktor zur Authentifizierung. SMS-Nachrichten sind nicht verschlüsselt – ein Angreifer mit Zugriff auf das Netzwerk eines Telekommunikationsanbieters kann abgefangene Nachrichten lesen.“

Diese Empfehlung folgte auf die Salt Typhoon Cyber-Spionageangriffe, bei denen Angreifer mehrere Telekommunikationsunternehmen kompromittierten und Zugriff auf Anruf- und Datenprotokolle zahlreicher Opfer erhielten.

Der Hinweis, SMS-basierte Zwei-Faktor-Authentifizierung zu ersetzen, ist jedoch deutlich älter. Sicherheitsexperten warnten bereits 2023, 2020, 2018 und sogar 2016, als NIST erstmals empfahl, SMS nicht mehr als Authentifizierungsfaktor zu verwenden.

Nach zahlreichen öffentlich bekannten MFA-Bypass-Angriffen ist diese Empfehlung heute dringender denn je. Unternehmen müssen ihre Authentifizierungsstrategien neu bewerten – insbesondere dort, wo OTP Codes per SMS eingesetzt werden.

Warum SMS-basierte MFA riskant ist

Es gibt viele Gründe, warum Einmalpasswörter (OTP Codes) per SMS ein schwacher Authentifizierungsfaktor sind. Ein Einmalcode, der per SMS versendet wird, kann in verschiedenen Angriffsszenarien kompromittiert werden – und viele dieser Angriffe erfordern keineswegs besonders große oder hochentwickelte Hackergruppen.

Zu den häufigsten Angriffsmethoden gehören:

SIM-Swapping-Angriffe Angreifer überzeugen einen Mobilfunkanbieter, ihnen die Kontrolle über die Telefonnummer ihres Opfers zu übertragen. Dadurch erhalten sie Zugriff auf eingehende SMS-Nachrichten und können den OTP Code für den Login abfangen.

Smishing Bei SMS-Phishing-Angriffen werden Nutzer auf gefälschte Webseiten gelockt, auf denen sie ihre Daten eingeben – oft auch den aktuellen Einmalcode oder andere Einmalpasswörter.

Man-in-the-Middle-Angriffe (MitM) Da SMS-Nachrichten nicht verschlüsselt sind, können Angreifer den Inhalt während der Übertragung oder auf einem infizierten Gerät mitlesen und so den OTP Code abfangen.

Trotz dieser Risiken ist SMS-basierte MFA weiterhin weit verbreitet. Der Grund dafür ist einfach: Fast jeder besitzt ein Mobiltelefon, das SMS empfangen kann. Nicht jeder hat jedoch Zugang zu sichereren Methoden wie Hardware-Schlüsseln, biometrischer Authentifizierung oder einem OTP Authenticator.

Früher waren MFA-Bypass-Angriffe außerdem relativ selten. Doch MFA ist inzwischen deutlich verbreiteter geworden – und Angreifer haben gelernt, gezielt die schwächsten Faktoren auszunutzen. Besonders häufig sind das OTP Codes per SMS.

Der langjährige Rat, SMS-basierte MFA abzuschaffen, ist daher heute kaum noch zu ignorieren. Unternehmen suchen nach Alternativen, die sicherere Authentifizierung ermöglichen, ohne Arbeitsprozesse zu erschweren.

Wie sich SMS-2FA durch sicherere Authentifizierungsfaktoren ersetzen lässt

SMS ist als Authentifizierungsfaktor so verbreitet, weil die Technologie nahezu überall verfügbar ist. Es gibt daher keinen einzelnen Ersatz, der SMS vollständig ersetzen kann. Organisationen müssen stattdessen einen mehrschichtigen Ansatz für Authentifizierung entwickeln.

Die Best Practices von CISA empfehlen mehrere Methoden, um eine phishing-resistente MFA aufzubauen.

FIDO-Authentifizierung

CISA betont, dass FIDO-Authentifizierung eine der stärksten Formen von MFA darstellt und gegen viele MFA-Bypass-Techniken schützt.

Die sicherste Variante sind Hardware-Schlüssel wie die von Yubico. Für viele Organisationen ist es jedoch nicht praktikabel, solche Geräte für alle Mitarbeitenden bereitzustellen. Für den Großteil der Nutzer können Passkeys eine geeignete Alternative sein.

1Password unterstützt Passkeys vollständig und ermöglicht die sichere Speicherung und Weitergabe innerhalb der 1Password-App.

OTP Authenticator statt SMS

Einmalcodes bleiben ein beliebter Authentifizierungsfaktor, weil sie eine einfache Möglichkeit bieten, die Identität eines Nutzers zu bestätigen.

Der entscheidende Unterschied liegt jedoch darin, wie der Einmalcode übertragen wird.

Ein OTP Authenticator erzeugt sichere OTP Codes direkt auf dem Gerät des Nutzers, ohne sie über ein unverschlüsseltes Kommunikationssystem wie SMS zu senden. Dadurch wird das Risiko reduziert, dass ein Angreifer den Code abfängt.

Authenticator-Apps generieren regelmäßig neue Einmalpasswörter, die nur für kurze Zeit gültig sind. Diese OTP Codes können anschließend zur Anmeldung verwendet werden.

Allerdings bleiben auch OTP Codes aus Authenticator Apps grundsätzlich phishbar. Ein Social-Engineering-Angriff kann Nutzer weiterhin dazu bringen, ihren aktuellen Einmalcode weiterzugeben.

Eine Möglichkeit, dieses Risiko zu reduzieren, besteht darin, den Austausch des Codes möglichst zu automatisieren. 1Password kann als OTP Authenticator fungieren und automatisch den richtigen OTP Code eintragen. Dadurch wird sowohl die Sicherheit erhöht als auch die Benutzerfreundlichkeit verbessert.

Passwortmanager

Passwörter werden meist als primärer Authentifizierungsfaktor verwendet. Dennoch spielen sie auch eine wichtige Rolle beim Schutz vor MFA-Bypass-Angriffen.

Viele dieser Angriffe beginnen mit einem gestohlenen Passwort, gefolgt vom Abfangen eines OTP Codes.

Wenn weniger Passwörter kompromittiert werden, sinkt automatisch auch die Zahl erfolgreicher Angriffe.

CISA empfiehlt ausdrücklich die Nutzung von Passwortmanagern, die Nutzer auf schwache, wiederverwendete oder geleakte Passwörter hinweisen.

1Password Watchtower informiert Nutzer über solche Risiken und zeigt außerdem Websites an, bei denen Zwei-Faktor-Authentifizierung verfügbar ist, aber noch nicht aktiviert wurde.

Gerätebasierte Authentifizierung

Eine weitere Methode besteht in der gerätebasierten Authentifizierung. Dabei wird eine eindeutige Kennung eines Geräts als Authentifizierungsfaktor verwendet.

Diese Methode kombiniert mehrere Vorteile:

• sie ist nicht phishbar,

• sie benötigt keinen OTP Code,

• und sie erfordert keine zusätzliche Hardware.

1Password Extended Access Management bietet diese Möglichkeit über 1Password Device Trust. Damit können sich nur bekannte und sichere Geräte bei Unternehmensanwendungen anmelden.

Starke Authentifizierung muss ganzheitlich umgesetzt werden

Nicht jeder Mitarbeiter benötigt das gleiche Sicherheitsniveau.

Ein Systemadministrator kann beispielsweise zusätzlich zu einem Passwort einen Hardware-Schlüssel und biometrische Authentifizierung benötigen, während für andere Mitarbeitende ein starkes Passwort und ein OTP Authenticator ausreichend sein kann.

Unabhängig von der Rolle eines Mitarbeiters gilt jedoch: SMS-basierte Einmalcodes sollten nicht mehr Teil moderner Authentifizierung sein.

Selbst Mitarbeitende mit scheinbar geringem Risiko besitzen oft Zugang zu wichtigen Unternehmensressourcen – etwa Social-Media-Konten oder internen Tools. Gelangen diese Zugangsdaten in falsche Hände, kann erheblicher Schaden entstehen.

Deshalb sollten Sicherheitsmaßnahmen wie Passwortmanager, OTP Authenticator Apps und Device Trust in allen Bereichen einer Organisation eingesetzt werden.

Leider erhalten einige der anfälligsten Konten häufig den geringsten Schutz. Studien zeigen, dass Administratoren deutlich häufiger Ziel von Angriffen sind, gleichzeitig jedoch oft schwächere Authentifizierung nutzen.

Die Lösung besteht aus zwei wichtigen Maßnahmen:

Erstens sollten Unternehmen versuchen, Reibung in Authentifizierungsprozessen zu reduzieren. Wenn Sicherheitsmaßnahmen zu kompliziert sind, versuchen Nutzer häufig, sie zu umgehen.

Zweitens müssen Organisationen eine Sicherheitskultur etablieren, in der starke Authentifizierung für alle Mitarbeitenden gilt.

Wenn Sie mehr darüber erfahren möchten, wie 1Password Unternehmen bei sicherer Authentifizierung unterstützen kann, vereinbaren Sie noch heute ein Gespräch.