Zwei-Faktor-Authentifizierung umgehen

Die 2FA gilt zurzeit als sicherster Schutz von Login-Daten. Wer sie verwendet, kann relativ sicher sein, dass die eigenen Daten gut geschützt sind. Doch mit einem neuen Phishing-Trick lässt sich die Zwei-Faktor-Authentifizierung umgehen.

Wie dieser Trick aussieht und wie Sie sich schützen, erfahren Sie hier.

Was ist Zwei-Faktor-Authentifizierung?

Die Zwei-Faktor-Authentifizierung, auch 2FA genannt, gehört zu den Multi-Faktor-Authentifizierungen. Wer sie verwendet, kann nach heutigem Stand der Technik sehr sicher sein, dass seine Login-Daten nicht von Fremden ausspioniert werden können. Denn: Für einen Login beispielsweise auf einer Online-Shopping-Seite oder im sozialen Netzwerk benötigt man eben nicht nur Nutzername und Passwort, sondern einen weiteren Faktor. Das kann ein Code sein, der an ein anderes Gerät, meistens das Smartphone, gesendet wird oder per Authenticator-App einmalig generiert wird.

Allerdings: Einen 100-prozentigen Schutz kann es nicht geben, denn die Cyberkriminellen versuchen immer, jeglicher IT-Sicherheit einen Schritt voraus zu sein. Dazu gehört beispielsweise, die Multi-Faktor-Authentifizierung (MFA) mittels MFA-Fatigue-Angriff auszuhebeln.

Grundsätzlich aber gilt: Wer die 2Fa oder MFA einsetzt, macht es den Kriminellen deutlich schwerer, als wenn man auf jeglichen Passwortschutz verzichtet oder nur die einfachsten Passwörter verwendet. Lesen Sie unbedingt unsere Blogbeiträge Passwörter verwalten und Passwort-Manager im Vergleich, um sich erfolgreich vor Passwortdiebstahl zu schützen.

Die gespeicherten Cookies sind die Ursache der neuen Phishing-Masche. Bild: Pexels/Lisa Fotios

2FA und Cookies

Wenn Sie sich mit der 2FA bei einem Online-Zugang anmelden, geht das folgendermaßen: Sie gehen auf die entsprechende Webseite  und melden sich im Login-Bereich mit Ihren Zugangsdaten an. Meistens ist das die E-Mail-Adresse und ein von Ihnen erstelltes Passwort. Ist beides korrekt eingegeben, bekommen Sie auf einem weiteren Gerät oder per Authenticator einen Code, mit dem Sie den Login bestätigen müssen.

Da diese Prüfung für jede Aktion auf der Webseite sehr nervig wäre, speichern die Seiten zusätzlich Cookies im Browser. Diese Cookies erlauben den Zugriff für die Sitzung oder bis zum Abmelden ohne Unterbrechung. Wäre das nicht so, müssten Sie sich beispielsweise beim Online-Shoppen erneut authentifizieren, wenn Sie auf den Warenkorb zugreifen oder die Bestellung endgültig aufgeben.

Doch genau in diesen dauerhaft für die Sitzung gespeicherten Cookies liegt der Haken: Mit diesen Cookies bekommen die Angreifer nämlich ebenfalls den vollen Zugriff und können dadurch die Zwei-Faktor-Authentifizierung umgehen. Übrigens: Die Sitzungs-Cookies werden von allen gängigen Browsern so gespeichert, dass keine anderen Programme oder Webseiten rankommen. Und auch, wenn man die 2FA nicht aktiviert hat, werden dieselben Cookies erstellt.

Zwei-Faktor-Authentifizierung umgehen – geht das?

Der Sicherheitsforscher mr.dOx hat nun allerdings herausgefunden, dass WebView2, eine Spezialversion des Microsoft-Browsers Edge, Angriffe ermöglicht, die die eigentlich sichere Zwei-Faktor-Authentifizierung umgehen. Microsoft selbst wiegelt ab und weist darauf hin, dass Nutzer zunächst eine schädliche Datei ausführen müssen, ehe die Gefahr entsteht. Bekanntermaßen ist das allerdings kein Hindernis für die Kriminellen.

Wie funktioniert das Aushebeln der 2FA? Webview2 als eine Art Browser-Modul ermöglicht App-Herstellern, dass sie keinen Browser in Apps einbauen müssen, sondern WebView2 nutzen können, um Edge in der eigenen App zu öffnen.

Das Problem: Damit besucht man nicht nur tatsächlich die Seiten, auf denen man sich anmelden will, sondern WebView 2 erlaubt den Entwicklern auch, auf sämtliche Cookies, die WebView2 erstellt, zuzugreifen und Javascript-Code in die Seiten einzufügen.

Die Folge: Die Kriminellen können Tastatureingaben protokollieren und die Cookies an Server im Internet schicken. Anschließend müssen sie nur noch die Cookies an der richtigen Stelle speichern, die gewünschte Seite besuchen und schon haben sie Vollzugriff. Warum? Weil die Seite „denkt“, es sei der Nutzer, der sich bereits authentifiziert hat.

Mit der Zwei-Faktor-Authentifizierung tun Sie viel für den Schutz Ihrer persönlichen Daten. Bild: Pexels/RODNAE Productions

Schutz vor Phishing-Trick – Tipps

Da es sich bei der neuen Masche, mit der Kriminelle die Zwei-Faktor-Authentifizierung umgehen können, um Phishing handelt, gelten die üblichen Tipps:

• Achten Sie darauf, dass Ihr Antivirenprogramm aktuell ist. Eine geeignete Software bekommen Firmen und Privatkunden bei PC-SPEZIALIST vor Ort.
• Öffnen Sie keine Dateien, die Sie nicht selbst heruntergeladen oder angefordert haben – auch nicht von vertrauenswürdigen Kontakten, fragen Sie im Zweifelsfall beim Absender nach!
• Laden Sie Programme nur von vertrauenswürdigen Seiten herunter, vermeiden Sie alternative App-Stores.
• Wenn Sie sich auf einer Webseite einloggen wollen, rufen Sie die Seite selbst im Browser auf.
• Sie habe unerwartet E-Mails mit Anhang erhalten? Bleiben Sie misstrauisch!
• Öffnen Sie keine Links, von denen Sie nicht wissen, wohin sie führen.

Wenn Sie diese Tipps beherzigen, sind Sie auf einem guten Wege, nicht auf Phishing hereinzufallen. Wenn Sie als Firmenchef Ihre Mitarbeiter schulen wollen, nutzen Sie Awareness-Schulungen, denn die Tricks der Kriminellen sind vielfältig. Baiting, Tailgaiting, CEO-Betrug und Whaling sind nur vier Beispiele für Betrugsversuche. Sie alle gehören zum große Thema Social Engineering.

_______________________________________________

Andere Stimmen zum Thema: Computerbild, mrdOx