Die meisten erfolgreichen Angriffe auf Unternehmen beginnen nicht mit einer ausgeklügelten Sicherheitslücke, sondern mit einem gestohlenen Passwort. Multi-Faktor-Authentifizierung hat die Lage deutlich verbessert, aber nicht jede MFA ist gleich gut.
Das Problem mit Codes und Push-Nachrichten
SMS-Codes, Einmalcodes aus einer App oder Push-Bestätigungen sind ein großer Fortschritt gegenüber dem reinen Passwort. Doch Angreifer haben sich angepasst: Mit täuschend echten Phishing-Seiten, die sich zwischen Nutzer und echten Dienst schalten, lassen sich auch diese Codes abgreifen. Und wer zehnmal nachts eine Push-Anfrage bekommt, drückt irgendwann auf “Bestätigen”.
Warum FIDO2 anders ist
Sicherheitsschlüssel nach dem FIDO2-Standard und Passkeys funktionieren grundlegend anders: Der Schlüssel prüft selbst, auf welcher Website er sich anmeldet. Auf einer gefälschten Seite funktioniert er schlicht nicht. Es gibt keinen Code, den man abtippen oder weitergeben könnte.
Das macht FIDO2 zur derzeit wirksamsten Maßnahme gegen Phishing, und Cyberversicherer wissen das. Die Frage nach phishing-resistenter MFA für Administratorkonten taucht in Risikochecks immer häufiger auf.
So gehen wir bei der Einführung vor
- Admin-Konten zuerst: Konten mit weitreichenden Rechten bekommen als erstes zwei Sicherheitsschlüssel, einen für den Alltag und einen als Reserve im Tresor.
- Wichtige Dienste: Microsoft 365, Passwort-Manager, Fernzugriff und Banking werden umgestellt, soweit sie FIDO2 unterstützen.
- Alle Mitarbeitenden: Passkeys auf Smartphone oder Laptop machen die Anmeldung für alle bequemer und sicherer.
- Regelmäßig prüfen: In unseren Serviceverträgen kontrollieren wir quartalsweise, ob alle wichtigen Konten tatsächlich geschützt sind.
Ein Nebeneffekt, der überzeugt
Die Rückmeldung, die wir nach einer Einführung am häufigsten hören: “Das ist ja schneller als vorher.” Schlüssel einstecken, berühren, fertig. Sicherheit, die angenehmer ist als die Alternative, setzt sich durch.
Sie möchten Ihre Konten umstellen? Wir unterstützen Sie von der Auswahl der Schlüssel bis zur Schulung. Mehr unter IT-Sicherheit.
