Dass Passwörter zur Zugangskontrolle nicht mehr ausreichend sind, hat sich inzwischen herumgesprochen. Dementsprechend weit verbreitet in Firmen ist die Multifaktor- Authentifizierung (MFA), und das zu Recht. Dennoch gelingt es Hackern immer wieder, auch mit MFA geschützte Konten zu plündern. Tatsächlich lassen sich die meisten MFA-Umgebungen auf verschiedene Arten angreifen.

In seinem 540-seitigen Buch "Hacking Multifactor Authentication" beleuchtet Roger A. Grimes diese Methoden. Dabei zeigt der Autor auf, wie MFA hinter den Kulissen funktioniert und welche Arten von Authentifizierung es gibt – etwa PINs, Einmal-Passwörter, FIDO-Systeme oder OAuth. Anschließend behandelt der Autor mehr als zwei Dutzend Möglichkeiten, mit denen sich MFA hacken lässt. Während der direkte Angriff auf die Endpoints der Nutzer noch naheliegend ist, haben viele Nutzer SIM-Swap-Angriffe vermutlich nicht auf dem Radar.

Natürlich lässt Grimes die Leser nicht im Dunkeln tappen, wenn es um die Abwehr der genannten Attacken geht. Hilfreich dabei: Auch ein einfaches Verfahren zur schnellen Bewertung der selbst genutzten MFA-Produkte ist enthalten. Als IT-Verantwortlicher erfahren Sie somit, welche technologischen Entscheidungen und Vorbereitungen Sie treffen müssen, um erfolgreiche Angriffe auf MFA zu vermeiden. Dass die Ausführungen des Autors Hand und Fuß haben, rührt nicht zuletzt daher, dass er sich als Sicherheitsexperte seit mehr als 30 Jahren einen Namen macht.

Fazit: Einfache Passwörter stellen gewiefte Angreifer kaum noch vor größere Hürden. Doch mit dem Einführen einer Multifaktor-Authentifizierung allein ist es auch nicht getan. Zwar ist selbst eine schlecht implementierte MFA besser als gar keine, doch lässt sich eine solche mit genügend Aufwand eben auch angreifen. Firmen sollten sich daher nicht zurücklehnen und darauf vertrauen, dass ihre MFA schon sicher genug sein wird. Vielmehr können IT-Verantwortliche nach der Lektüre des englischsprachigen Werks von Roger A. Grimes ihre Systeme einer kritischen Prüfung unterziehen.