Phishing trotz Zwei-Faktor-Authentifizierung Erfolgreiche Hacks trotz 2FA – das können Unternehmen tun

Anbieter zum Thema

indevis IT Consulting and Solutions GmbH

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

Lange galt der Einsatz von Zwei-Faktor-Authentifizierung (2FA) als optimale Sicherung gegen Phishing-Versuche. Doch Hacker entwickeln ihre Techniken weiter und verschaffen sich trotz 2FA Zugang zu Geräten und Netzwerken. Wie sind die neuen Angriffsmethoden aufgebaut und was können Unternehmen dagegen tun?

Wer in einer größeren Institution oder Firma arbeitet, kennt Cybersecurity-Awareness-Trainings wohl mittlerweile zur Genüge. Insbesondere die Gefahr durch Phishing wurde in den letzten Jahren von Sicherheitsverantwortlichen bekämpft – nicht nur mit Schulungen, sondern auch mit der Einführung von verstärkten Authentifizierungsmethoden wie 2FA. Doch trotz dieser Bemühungen erlitten laut einer aktuellen Bitkom-Studie im Jahr 2024 immer noch ein Viertel aller befragten Unternehmen Schäden durch Phishing-Angriffe. Die Bedrohung durch Phishing bleibt also hoch.

Das liegt auch daran, dass die verstärkte Absicherung der Unternehmen Cyberkriminelle in Zugzwang brachte. Mittlerweile haben die Bedrohungsakteure eine Reihe neuer Methoden und Strategien entwickelt, die Unternehmen vor Herausforderungen stellen.

MFA schützt nicht vor Tycoon 2FA mit PaaS-Ansatz

Gezielte Phishing-Angriffe auf Gmail und Microsoft 365

Neue Phishing-Techniken sorgen für Herausforderungen

Browser-in-the-Browser-Angriffe etwa simulieren Popup-Anmeldefenster auf Webseiten, wie User es beispielsweise von PayPal-Zahlungen gewohnt sind. Diese Fenster sehen den authentischen Login-Seiten täuschend ähnlich und sind dazu ausgelegt, die in Awareness-Schulungen gelernten Erkennungsmaßnahmen zu umgehen. Selbst für ein geschultes Auge wird es hier herausfordernd zu erkennen, dass es sich um ein Phishing handelt. Alle hier eingegebenen Daten landen beim Angreifer.

Bei Evilginx handelt es sich wiederum um eine Open-Source-Technologie, mit der Angreifer in der Lage sind, sich zwischen das Opfer und den Zielserver zu schalten. Auf diese Weise kann der Angreifer die Anmeldedaten im Kommunikationsfluss mitlesen und erhält eventuell Zugriff auf Nutzername, Passwort und Access Tokens (Sitzungszugangsdaten) – trotz eines aktiven zweiten Faktors. Der Access Token ist dabei eine Repräsentation des Nutzers gegenüber einem Service und bildet das Äquivalent zur Kombination aus Nutzername, Passwort und 2FA. Es enthält alle Berechtigungen und Aktionen, die ein Nutzer durchführen darf – beispielsweise Mails lesen und verschicken oder Dateien auf dem Sharepoint ablegen. Im Falle eines Angriffs, sind Angreifer so in der Lage Malware auf dem Sharepoint abzulegen und im Namen der gehackten Person eine E-Mail zu versenden, die Kollegen dazu bewegen soll, Malware auszuführen. Der Sprung in die interne IT ist dann geschafft. Dementsprechend attraktiv sind Access Token.

Um anstatt von Passwörtern auf Access Token zuzugreifen, hat sich das Device Code Phishing als weitere Angriffstechnik etabliert. Im Rahmen des Device Code Phishing simulieren Hacker Authentifizierungsprozesse, die eigentlich für den komfortableren Login auf Geräten ohne Tastatur (wie etwa Smart-TVs) vorgesehen sind. Zu diesem Zweck gibt sich der Angreifer als Gerät aus und fordert den Nutzer auf, nach dem erfolgreichen Login einen weiteren Authentifizierungs-Code auf der echten Website des Dienstanbieters einzugeben. Dies wird häufig mit Social-Engineering kombiniert. So kann ein Angreifer beim Opfer anrufen und sich als IT-Mitarbeiter ausgeben. Nachdem das Vertrauen hergestellt wurde, wirkt es dann oft nicht mehr unnatürlich, besagten Code auf einer offiziellen Login-Seite einzugeben. Der User authentifiziert dabei unabsichtlich den Zugriff durch den Angreifer, sodass dieser den Access Token erlangt. Anschließend hat dieser auch ohne Nutzername und Passwort Zugang zum Benutzerkonto des Users hat.

Diese neuen Techniken sind wesentlich ausgereifter und subtiler als frühere Phishing-Methoden. Reguläre Sicherheitsmaßnahmen der klassischen Authentifizierung wie Einmalpasswörter (OTP) oder Push-Benachrichtigungen via App reichen deshalb in vielen Fällen nicht mehr aus. Sie sind zu unsicher und können durch moderne Phishing-Techniken umgangen oder ausgehebelt werden. Wie lässt sich also der neuen Gefahr begegnen?

privacyIDEA Workshop – Teil 1

So geht Mehr-Faktor-Authentifizierung mit Open Source

Was können Unternehmen tun?

Vor allem gilt es, die Mitarbeiter noch stärker zu sensibilisieren. Es braucht regelmäßige und dynamische Schulungen mit Demonstrationen und Selbsterfahrung, in denen Mitarbeiter mit modernen Phishing-Methoden konfrontiert werden. Simulierte Phishing-Angriffe sorgen dabei für den notwendigen Aha-Effekt. Neben der Ausbildung von Awareness sind zudem ausgeklügelte technische Schutzmaßnahmen notwendig. Dazu gehören etwa durchdacht konfigurierte Anti-Phishing-Filter und -Policies für E-Mails, sowie starke Authentifizierungsmechanismen wie FIDO2 (Fast Identity Online) und Passkeys.

Die passwortfreie Authentifizierung mit FIDO2 funktioniert dabei über kryptografische Schlüsselpaare, die auf einem Gerät gespeichert und durch Biometrie (Fingerabdruck, FaceID) oder eine PIN gesichert sind. Mit diesen Methoden lassen sich Man-in-the-Middle-Angriffe wie bei Evilginx effektiv verhindern, da die Domain des Dienstes quasi in die Schlüsselpaare „eingebrannt“ wurde. Die Schlüssel passen bei anderen Domains ganz einfach nicht ins Schloss, ein Login ist unmöglich. Da der private Schlüssel bei dieser Authentifizierung das Gerät nie verlässt können gespeicherte Anmeldedaten nicht durch einen Daten-Leak oder Angriff auf den Diensteanbieter entwendet werden. Ganz nebenbei sind die passwortlosen Verfahren einfacher und schneller und sorgen für eine höhere Akzeptanz der User.

Sollte ein Phishing-Angriff trotzdem Erfolg haben, ist eine schnelle Angriffserkennung essenziell, um hohen Schaden zu verhindern. Dafür ist ein modernes Security Operations Center (SOC) nötig, das sämtliche Logdaten der Systeme über ein Security Incident & Event Management-System (SIEM) zentral einsammelt und die Umgebungen mittels SOAR (Security Orchestration, Automation and Response) fortlaufend überwacht. So lassen sich verdächtige Aktivitäten schnell erkennen und blockieren.

Was haben unsichtbare Agenten und Schnüffler in Dateien zu suchen?

Sniffing- und Man-in-the-Middle-Angriffe erkennen und verhindern

Angriffe mit Experten-Know-how stoppen

Allerdings verfügen die meisten mittelständischen Unternehmen nicht über die notwendigen Ressourcen, um ein eigenes SOC zu betreiben. Der Fachkräftemangel, das immer komplexere Security-Management und die Masse an Security Alerts führen meist dazu, dass Incidents nicht schnell genug ausgewertet werden und Bedrohungen zu lange unbemerkt bleiben. Firmen können in diesem Fall auf die Hilfe eines MSSP (Managed Security Service Provider) zurückgreifen, der MDR (Managed Detection and Response) bereitstellt. Innerhalb dieses Services betreibt der Dienstleister ein leistungsstarkes Toolset sowie ein SOC mit spezialisierten Security-Analysten für seine Kunden. Er bindet die Log-Quellen an, modelliert sie, kümmert sich um den kontinuierlichen Betrieb der Lösung und entwickelt Playbooks stetig gemäß den Anforderungen der aktuellen Bedrohungslandschaft weiter.

Entdecken die Analysten des MSSP Anzeichen für einen verfolgungswürdigen Vorfall, verständigen sie den Kunden. Sie führen in enger Zusammenarbeit mit ihm weitere Untersuchungen durch und geben konkrete Handlungsempfehlungen, um den Angriff zu stoppen. Falls nötig, ziehen sie zusätzliche Spezialisten hinzu, zum Beispiel aus der IT-Forensik. Der MSSP kann auch bei der Umsetzung von notwendigen Schutzmaßnahmen unterstützen. Ob und welche Aktionen ergriffen werden sollten, lässt sich beispielsweise mittels Pentesting zur Validierung der eingesetzte Sicherheitslösungen herausfinden.

Ab Februar 2025

MFA wird Pflicht im Microsoft 365 Admin Center

Fazit: Neue Angriffsstrategien erfordern mehrschichtige Defensiven

Die Welt der Cyberbedrohungen steht niemals still. Hacker entwickeln ihre Techniken stetig weiter, um an den modernen Sicherheitsmechanismen vorbeizukommen. Dabei bleibt Phishing einer der größten und am meisten genutzten Angriffsvektoren.

Um sich vor Phishing-Angriffen wirksam zu schützen, ist eine Defense-in-Depth-Strategie vonnöten, die mehrere Schichten an Schutzmechanismen umfasst – einschließlich regelmäßiger dynamischer Mitarbeiterschulungen und moderner Authentifizierungsmethoden wie FIDO2 und Passkey. Ein SIEM- und SOC-basiertes Erkennungssystem sorgt zudem für eine gute Absicherung und (teil-)automatisierte Threat Response im Falle eines erfolgreichen Angriffes. Für kleinere und mittelständische Unternehmen ist es allerdings meist nicht praktikabel, ein eigenes SOC mit SIEM zu betreiben. Sie können daher auf den MDR-Service externer Experten zurückgreifen. Dann profitieren sie von einem leistungsstarken Service mit spezialisiertem Analysten-Know-how, ohne dass sie selbst komplexe Systeme betreiben müssen. Außerdem erhalten sie fundierte Handlungsempfehlungen zur Response. Mit minimalem eigenem Aufwand können sie sich so genauso gut absichern wie große Konzerne – und sorgen für leere Fangnetze bei Phishing-Angreifern.

Über die Autoren

Daniel Hoyer ist Pre-Sales Consultant bei indevis und verfügen über langjährige Berufserfahrung im IT-Security-Umfeld. Er berät Kunden in allen Belangen rund um die Abwehr und Bekämpfung von Cyberbedrohungen.

Tobias Wicke ist IT Security Analyst bei Nside Attack Logic. Sein Fachgebiet umfasst unter anderem Red Teaming, Social Engineering und Web Application Security. Kunden berät er im Rahmen umfassender Security Audits.

Notfallaccounts überwachen und absichern

MFA-Pflicht für Break Glas-Accounts in Azure und Microsoft 365

(ID:50317687)