MFA im Homeoffice: Phishing-sicherer Remote Access

Autor/Redakteur: Al Lakhani, CEO und Gründer von IDEE/gg

Die Remote-Arbeit hat die bereits vorhandenen Herausforderungen in der Cybersicherheit verstärkt. Phishing-Angriffe sind nach wie vor eine der größten Bedrohungen. Laut einer Studie des Digitalverbands Bitkom sehen 31 Prozent der befragten Unternehmen Phishing als ein ernsthaftes Problem an, ein Anstieg von neun Prozent im Vergleich zu den letzten zwei Jahren. Die Anti-Phishing Working Group bestätigt diesen Trend und bezeichnet das Jahr 2022 als „Rekordjahr“ für Phishing-Vorfälle. Betroffen sind alle – vom IT-Riesen bis zu kleinen und mittelgroßen Unternehmen (KMU).

Die Phishing-Anfälligkeit von Remote-Arbeit

Die Möglichkeit, remote zu arbeiten, hat den Wettbewerb zwischen großen Unternehmen und KMU etwas ausgeglichen. In Sachen Cybersicherheit haben jedoch größere Unternehmen immer noch die Nase vorn. Sie verfügen über größere Budgets und haben Zugang zu einem breiteren Talentpool. Das heißt allerdings nicht, dass IT-Giganten gänzlich vor der Phishing-Gefahr gefeit sind. Erst Anfang September hat etwa Microsoft Untersuchungsergebnisse zu einem verhängnisvollen Vorfall im Juli veröffentlicht, bei dem Angreifer mit gestohlenen Zugriffsschlüsseln unter anderem die Kontrolle über Outlook-Konten von US-Behörden erlangten.

KMU bleiben indes ein attraktives Ziel von Cyberattacken: Sie fungieren oft als Dienstleister für größere Unternehmen und ihre häufig weniger robusten Sicherheitsmaßnahmen machen sie zu beliebten Einstiegspunkten für Cyberkriminelle. Das Risiko erstreckt sich folglich auf ihre größeren Geschäftspartner. Aktuelle Umfragedaten des Versicherers HDI zeigen, dass 39 Prozent der kleinen und 36 Prozent der mittelständischen Unternehmen im vergangenen Jahr Cyberangriffen ausgesetzt waren. Daher ist die Bedeutung strenger Sicherheitsmaßnahmen, wie fortschrittlicher MFA-Lösungen, kaum zu unterschätzen.

Warum herkömmliche Multi-Faktor-Authentifizierung nicht ausreicht

Traditionelle MFA-Methoden, die normalerweise eine zusätzliche Verifizierungsebene wie einen SMS-Code erfordern, galten lange als wirksame Gegenmaßnahmen gegen Phishing. Allerdings können Angreifer mit neuen Methoden wie „Prompt Bombing“ und „Adversary-in-the-Middle“-Angriffe (AiTM) an diesen Barrieren vorbeimogeln. Bei Prompt Bombing überschwemmen Angreifer ihre Opfer mit Anmeldeversuchen, um einen zweiten Verifizierungsschritt auszulösen. Bei Adversary-in-the-Middle-Angriffen fangen sie aktiv den Datenverkehr zwischen dem Benutzer und dem legitimen Server ab und manipulieren ihn, anstatt nur eine gefälschte Website zu präsentieren.

Nicht zuletzt ist auch das Thema Künstliche Intelligenz bei der dunklen Seite der E-Mail angekommen: KI hat Phishing- und anderen Social-Engineering-Angriffen eine neue Dimension verliehen. KI-Modelle können E-Mails erzeugen, die vertrauenswürdige Quellen täuschend echt imitieren, sogar bis hin zu Stimmen und Gesichtern von Führungskräften. Diese Raffinesse erschwert teilweise selbst für Cybersicherheitsexperten die Erkennung von Phishing-Kampagnen und stellt insbesondere für KMU mit begrenzten IT-Sicherheitsressourcen eine zusätzliche Belastung dar.

Im Kontext von Remote-Desktop-Anwendungen können diese Umgehungstaktiken zu erheblichen Sicherheitsverletzungen führen und unbefugten Zugriff auf sensible Unternehmensdaten und -systeme ermöglichen. Daher reicht es nicht aus, sich nur auf herkömmliche MFA-Methoden zu verlassen.

Phishing-sichere MFA für Remote-Desktops

Angesichts der Schwachstellen herkömmlicher MFA-Methoden und dem immer raffinierten Vorgehen der Cyberkriminalität rückt die Bedeutung einer MFA-Lösung, die über bloße Phishing-Resistenz hinausgeht und absoluten Phishing-Schutz bietet, immer mehr in den Fokus. Doch wie sieht eine Phishing-sichere MFA aus?

Ein Phishing-sicheres MFA-System sollte zum einen eng an die Zero-Trust-Prinzipien angelehnt sein. Nach dem Motto „Vertraue nie, überprüfe immer“ bietet Zero Trust eine zusätzliche Sicherheitsebene. In einem Zero-Trust-Modell wird der gesamte Datenverkehr verschlüsselt, und jeder Anmeldeversuch wird unabhängig von seiner Quelle überprüft. Transitives Vertrauen ergänzt die Zero-Trust-Prinzipien, indem es eine untrennbare Verbindung zwischen dem authentifizierenden Gerät, der Anwendung und der Benutzeridentität herstellt. Nach einer gründlichen Identitätsüberprüfung wird dieses hohe Maß an Vertrauen in die Benutzeridentität hergestellt und an das authentifizierende Gerät und die Anwendung gebunden. Es ermöglicht einen vereinfachten, aber sicheren Zugang zu verschiedenen vernetzten Systemen bei gleichzeitiger ständiger Überprüfung der Benutzerdaten nach dem Null-Vertrauens-Prinzip, da das System sicherstellt, dass nur der rechtmäßige Benutzer, der sich über ein vertrauenswürdiges Gerät authentifiziert hat, Zugang zur Anwendung erhält.

Als weitere Sicherheitsebene sollte eine Phishing-sichere MFA die Nutzung vorhandener biometrischer und PIN-Systeme auf dem Endgerät des Benutzers, bekannt als Same Device MFA, unterstützen. Sie sollte offenen Standards wie WebAuthn folgen und hardwaregestützte kryptografische Techniken verwenden, um den Authentifizierungsprozess vor Phishing-Angriffen zu schützen. Schließlich bieten bedingte Zugriffsrichtlinien eine zusätzliche Schutzschicht und beschränken den Zugang ausschließlich auf firmeneigene Geräte, was für Cyberkriminelle ein weiteres Hindernis darstellt.

Fazit

Die Arbeitswelt im Bereich der Remote-Desktops ändert sich ständig und wird durch  Bedrohungen wie KI-gesteuertes Phishing und „Adversary-in-the-Middle“-Angriffe weiter kompliziert. Traditionelle Multifaktor-Authentifizierungsmethoden sind zwar hilfreich, aber nicht vollständig in der Lage, fortgeschrittene Angriffe wie AiTM abzuwehren. Unternehmen, insbesondere KMU, müssen daher ihre MFA-Strategien überprüfen und sich auf Phishing-sichere Lösungen konzentrieren, die mit Zero Trust und hardwaregestützten kryptografischen Techniken arbeiten. Nur so können sie der sich ständig ändernden Cyberkriminalität einen Schritt voraus sein.