Cybersecurity-Mythen, weit verbreitet
Autor/Redakteur: Bernd Achatz, Technischer Direktor bei F5 Networks/gg
Mythen sollten vor allem unterhaltsam sein. Leider existieren aber auch Mythen, die Gefahren mit sich bringen, nicht zuletzt in Bezug auf die Cybersicherheit. Werden nämlich Schutzmaßnahmen falsch verstanden, kann es zu katastrophalen Sicherheitslücken kommen. Deswegen wollen wir an dieser Stelle über die sieben größten Cybersecurity-Mythen aufklären.
1. Multi-Faktor-Authentifizierung verhindert Credential Stuffing
Multi-Faktor-Authentifizierung (MFA) ist zwar ein Cybersicherheits-Tool, verhindert aber nicht Credential Stuffing. Versucht sich ein Hacker mit falschen Anmeldedaten einzuloggen, reagiert der Server mit einer Fehlermeldung. Sind die Anmeldedaten korrekt, fordert der Server einen zweiten Authentifizierungsfaktor an. Dadurch erhalten Angreifer nützliche Informationen. Mit den korrekten Anmeldedaten können sie sich auf Schemata konzentrieren und zum Beispiel per Social Engineering, Portierungsbetrug oder SIM-Swapping einen Zugang für den zweiten Authentifizierungsfaktor erhalten.
2. Nur ein Bruchteil des Login-Traffics ist automatisiert
Unternehmen unterschätzen, welche Bedrohung automatisierte Methoden darstellen. Mit Botnetzen, offenen Proxyservern, kompromittierten IoT-Geräten, gemeinsam genutzten VPNs, virtuellen Servern und ähnlichem können Angreifer unter Verwendung von vielen Millionen IPs aus aller Welt verteilte Angriffe starten. Vorhandene Gegenmaßnahmen, wie etwa Web Application Firewalls, erkennen in der Regel nur einen geringen Anteil des Angriff-Traffics. Deshalb verfehlen viele Gegenmaßnahmen IPs mit geringem Datenverkehr. Doch gerade diese sind oftmals für den meisten Angriff-Traffic verantwortlich.
3. CAPTCHA stoppt Bots
CAPTCHAs führen zwar manchmal bei Personen vor dem Bildschirm zu erhöhtem Blutdruck, sind für Angreifer jedoch kein wirkliches Hindernis. Längst gibt es menschliche Click-Farmen – wie etwa das russische Unternehmen 2CAPTCHA – die Betrügern einen automatisierten API-Zugang anbieten, den ganzen Tag CAPTCHAs lösen und somit automatisierte Angriffe möglich machen.
4. Finanzdaten- und Treuepunkt-Aggregatoren nehmen Sicherheit ernst
Viele Anwender nutzen einen Finanzdaten-Aggregator, um sich in Online-Bankkonten einzuloggen. Sie erhalten so einen Überblick über ihren Finanzstatus und müssen sich nicht jedes Mal neu einloggen, wenn sie mehrere Bankkonten besitzen. Gleiches gilt für Treuepunkt-Aggregatoren. Allerdings wird zunächst für jedes Konto der Benutzername und das Passwort abgefragt, um es mit dem Aggregator zu verlinken. Hacker nutzen gestohlene Benutzer-/Passwort-Paare, die sie im Dark Web gekauft haben, und testen diese in Login-Formularen von hunderten Internetseiten über Aggregatoren. Da viele Menschen Benutzernamen und Passwörter häufig wiederverwenden, erhalten Kriminelle so mithilfe von Credential Stuffing Zugang zu tausenden Benutzerkonten.
5. Cybersicherheit ist für den Einzelnen immer anstrengend
Das ist falsch, denn gute Cybersicherheit funktioniert, ohne dass der Nutzer es überhaupt merkt oder beeinträchtigt wird. Verhaltensbezogene Biometrie läuft im Hintergrund und analysiert Tastenanschläge, Touch-Befehle, Mausbewegungen und Geräteausrichtung, um ein Nutzerprofil zu erstellen und sicher aufzubewahren. Diese Daten werden analysiert und bewertet, um eine Regelmäßigkeit zwischen dem aktuellen Verhalten des Benutzers und seinem bisherigen und zu erwartenden Verhalten zu berechnen. So wird verhindert, dass Angreifer Konten übernehmen. Diese Art von Cybersicherheit ist viel sicherer als traditionelle Logins.
6. Ohne Verlust gibt es keinen Betrug
Betrug ist immer Betrug, auch ohne Datenverlust. Sobald ein Hacker eine Täuschung vornimmt, beispielsweise indem er sich Zugang auf ein E-Mail-Konto verschafft, handelt es sich um einen Betrug, auch wenn noch kein Schaden entstanden ist. Es gibt durchaus einige Angriffsarten, die sich zunächst einen Zugang verschaffen und dann erst einmal abwarten. Dennoch handelt es sich um Betrug. So ist es nicht ungewöhnlich, dass Unternehmen infiltriert werden, lange bevor sie einen Angriff entdecken.
7. Passwortrichtlinien sollten bestimmte Zeichen enthalten
Sonderzeichen machen ein Passwort nicht notwendigerweise sicherer. So ist zum Beispiel „Watch4T!m3“ ein stärkeres Passwort als „qwerty“. „Caterpillar Motorboat Tree January“ ist jedoch dreimal so stark wie „Watch4T!m3“, obwohl es kein einziges Sonderzeichen enthält. Daher sollten Nutzer eher längere Passwörter verwenden. Passwörter mit willkürlichen Sonderzeichen sind nicht sicherer, sie sorgen nur für Frust beim Nutzer.
