gesponsertRiskante Scheinsicherheit bei Remote Work Kompromittierte Passwörter machen aus Ihrem VPN eine gefährliche Hintertür

Gesponsert von

Specops Software GmbH

Nutzen Sie Virtual Private Networks, so eine zentrale Sicherheitsempfehlung für Remote Work. Doch VPN alleine sorgt für keine sicheren Zugriffe. Nur wenn der Zugang zum VPN sicher ist, kann dieser Kanal Schutz bieten. Auch bei aktiviertem MFA (Mehr-Faktor-Authentifizierung) bleibt die Passwortsicherheit ein wichtiges Thema. Eine aktuelle Untersuchung von Specops Software zeigt den Handlungsbedarf.

Sicherheitsempfehlung „VPN“ greift zu kurz

Mobile Arbeit und Homeoffice sind in vielen Unternehmen zum Standard geworden. Unternehmen werden auch in Zukunft auf hybride Arbeitsmodelle setzen, um als attraktiver Arbeitgeber wahrgenommen zu werden, so der Digitalverband Bitkom. Gegenwärtig bietet die Hälfte der Unternehmen mobile Arbeit an, wie eine Bitkom-Umfrage ergab.

Doch bei Remote Work darf die Datensicherheit nicht leiden. Eine häufige Sicherheitsempfehlung ist die Nutzung einer VPN-Verbindung, dann wird aller Datenverkehr darüber verschlüsselt, so dass kein Dritter Einblick nehmen kann, so jedenfalls die gängige Vorstellung. Die Wirklichkeit der IT-Sicherheit sieht leider anders aus.

Auch VPN und MFA bieten keinen automatischen Schutz

Der Einsatz von Virtual Private Networks (VPNs) soll einen sicheren Tunnel durch das ansonsten unsichere Internet ermöglichen. Über diesen Tunnel erhalten die Mitarbeiterinnen und Mitarbeiter im Homeoffice oder unterwegs dann geschützten Zugang auf das Firmennetzwerk, die Anwendungen und Daten.

Diese Vorstellung übersieht allerdings, dass VPN nur dann sichere Zugriffe ermöglichen kann, wenn der Zugang zu dem VPN selbst auch sicher ist. Wenn die VPN-Passwörter zu schwach oder bereits kompromittiert sind, kann ein Angreifer den VPN-Zugang übernehmen und für weitere Attacken missbrauchen.

Dieses Risiko ist nicht theoretischer Natur, entsprechende Attacken finden bereits statt: Über das Administratorkonto eines ehemaligen Mitarbeiters wurde zum Beispiel das Netzwerk einer Behörde eines US-Bundesstaats kompromittiert. Dabei hatten sich die Angreifer mit den Anmeldedaten eines ehemaligen Mitarbeiters erfolgreich bei einem VPN (Virtual Private Network)-Zugangspunkt authentifiziert. Von dort aus konnten sie auf eine virtuelle Maschine zugreifen und sich unter den legitimen Datenverkehr mischen, um unerkannt zu bleiben, bis sie schließlich Zugriff auf ein zweites Administratorkonto und vertrauliche Daten erlangten.

So wird dann der vermeintlich sichere Tunnel zu einer heimlichen Hintertür ins Firmennetzwerk – und das, ohne dass der VPN-Anbieter kompromittiert wurde. Das gilt auch dann, wenn der VPN-Zugang mittels MFA (Mehr-Faktor-Authentifizierung) geschützt scheint, aber die schwachen oder bei Datendieben bekannten Passwörter als einer der „Sicherheitsfaktoren“ keinen wirklichen Schutz bieten können. MFA bietet leider zahlreiche Angriffspunkte, mit denen Internetkriminelle die Sicherheitsmechanismen wie den zweiten Sicherheitsfaktor umgehen und austricksen können.

Bei einem MFA-Bombing-Angriff zum Beispiel senden Cyberkriminelle eine Flut von MFA-Aufforderungen an das mobile Gerät des Opfers, um die Zielperson zu frustrieren, zu ärgern, um sie letztendlich zur Authentifizierung des Anmeldeversuchs zu bewegen. Wenn jemand Hunderte von Nachrichten hintereinander erhält, bestätigt er diese möglicherweise nur, um die Flut an lästigen Benachrichtigungen zu stoppen, und schon wird MFA umgangen und der Zugriff auf die Firmendaten via VPN ist freigegeben.

VPN-Passwörter stehen im Cybercrime hoch im Kurs

Wie kritisch kompromittierte Passwörter für VPN-Zugänge sein können, zeigt eine aktuelle Untersuchung des Specops-Forschungsteams. Das Forschungsteam hat im vergangenen Jahr über zwei Millionen VPN-Passwörter gefunden, die durch Malware kompromittiert wurden. Hierbei handelt es sich um echte gestohlene Passwörter, die von Endbenutzern für den Zugriff auf VPNs ausgewählt werden, sie stellen also eine mögliche Gelegenheit für einen Hacker dar, sich unbefugten Zugriff zu und über VPN zu verschaffen.

Darren James, Senior Product Manager bei Specops Software, sagte zu den Ergebnissen: „Organisationen verlangen von ihren Endbenutzern vor allem aus Sicherheits- und Datenschutzgründen, dass sie über VPNs auf Unternehmensnetzwerke zugreifen. VPNs verschlüsseln Daten, die zwischen dem Gerät des Benutzers und dem Unternehmensnetzwerk übertragen werden, und tragen so dazu bei, sensible Informationen vor dem Abfangen durch Unbefugte zu schützen, insbesondere wenn Mitarbeiter ungesicherte oder öffentliche WLAN-Netzwerke nutzen“.

Doch der IT-Sicherheitsexperte warnt: „Wenn aber VPN-Passwörter kompromittiert werden, können diese Cybersicherheitsvorteile zunichte gemacht werden und Angreifern tatsächlich einen Weg in ein Unternehmen bieten. Endbenutzer verwenden häufig ihre Active Directory-Anmeldeinformationen, um sich bei Unternehmens-VPNs anzumelden, und sie verwenden möglicherweise auch ihre Active Directory-Kennwörter wieder, um auf persönliche VPNs zuzugreifen.“

Ohne Passwortsicherheit geht es nicht

Gestohlene Passwörter sind also auch deshalb ein besonderes Risiko für die Sicherheit von VPN-Lösungen, weil viele Beschäftigte dazu neigen, ihre Kennwörter wiederzuverwenden. Die vielen, verschiedenen Passwörter, die man eigentlich benötigt, machen die Mitarbeitenden müde, man spricht sogar von Passwortmüdigkeit.Dies führt zu einem fahrlässigen Umgang mit Passwörtern und dazu, das auch die besten Awareness-Schulungen missachtet werden. Das gewählte VPN-Passwort ist deshalb dann zum Beispiel das gleiche Kennwort, das auch für eines oder sogar alle der sozialen Netzwerke genutzt wird.

Wurden aber die Passwörter der Nutzerinnen und Nutzer des sozialen Netzwerkes ausgespäht, ist indirekt auch das VPN-Passwort des betreffenden Beschäftigten in den Fängen der Datendiebe. Der VPN-Zugang des oder der Beschäftigten kann dann leicht und ohne Probleme übernommen werden.

Damit der VPN-Zugang und damit Remote Work und die externen Zugriffe besser geschützt werden können, müssen Unternehmen ihre Passwortsicherheit optimieren.

Mit Specops Password Policy lassen sich die Empfehlungen der Sicherheitsbehörden wie BSI, NIST, CJIS, NCSC, ANSSI oder CNIL an Passwortsicherheit einfach und schnell umsetzen. Unternehmen können damit starke Passwörter durchsetzen: Administratoren können Nutzerinnen und Nutzer an der Erstellung schwacher Passwörter hindern und kontinuierlich nach Passwörtern suchen, die durch Leaks, Infostealer oder der Wiederverwendung von Passwörtern kompromittiert wurden, und deshalb nicht als VPN-Passwort oder Sicherheitsfaktor bei MFA zum Einsatz kommen sollten.

Die Continuous Scan-Funktion prüft alle Active Directory-Passwörter einmal täglich mit Breached Password Protection auf Kompromittierung. Die Liste der kompromittierten Passwörter enthält heute schon mehr als vier Milliarden bekannte kompromittierte Kennwörter und wird täglich mit neu entdeckten gestohlenen Passwörtern aktualisiert.

Dadurch werden schwache und ausgespähte Passwörter bei VPN-Zugängen und an anderen kritischen Stellen erkannt und blockiert. VPN kann so zum sicheren Tunnel werden, anstatt eine gefährliche Hintertür ins Firmennetzwerk zu sein, die Internetkriminelle für Attacken nutzen könnten.

(ID:50173457)