Keine 100-prozentige Sicherheit

Trotz des erhöhten Schutzes vor Angriffen auf Enduser-Konten, eine Rundumversicherung ist der Einsatz von MFA trotzdem nicht. Denn Hacker fänden immer Wege, um auch bei eingeschalteter MFA anzugreifen, gibt Berger zu Bedenken. «100-prozentigen Schutz gibt es schlichtweg nicht», meint er. «Erwähnenswert ist in diesem Zusammenhang der ‹Person-In-The-Middle-Angriff›, wobei der Angreifer sich zwischen Opfer und Cloudanbieter befindet und quasi in Echtzeit die MFA-Anfrage vom Cloud­anbieter an den Benutzer weiterleitet, um sich so einloggen zu können», erklärt Berger die Methode.

Doch damit nicht genug: «MFA Spamming ist ebenfalls eine Taktik, die wir öfters sehen», führt er weiter aus. «Dabei kann ein Angreifer, der über funktionierende Credentials eines Benutzers verfügt, durch mehrmaliges Einloggen den MFA-Dialog beim Opfer aufpoppen lassen. Das Opfer – genervt, verunsichert oder unwissend – bestätigt schliesslich die MFA-Anfrage, wodurch der Angreifer Zugriff auf den Account erhält.»

Auch Avantecs Preid sieht noch Schwachpunkte. «Während die 2FA eine zusätzliche Sicherheitsebene bietet, ist sie nicht die kugelsichere Lösung, für die viele Leute sie halten», hält er fest und bringt ebenfalls Beispiele, wie die Methode ausgehebelt werden kann. «Die 2FA kann für mehrere Angriffe von Hackern anfällig sein, da ein Benutzer versehentlich den Zugriff auf eine von einem Hacker gestellte Anfrage genehmigen kann, ohne dies zu merken», berichtet Preid. Die Angreifer führten die User mit manipulierten Mails und gefälschten Webseiten in die Irre. «So können beispielsweise Eingaben auf diesen gefälschten Webseiten von den Angreifern weiter genutzt werden», erklärt er weiter.