Ein Passwort landet früher oder später in falschen Händen. Es wird bei einem Hackerangriff auf einen Drittanbieter geleakt, auf einer gefälschten Login-Seite eingegeben, oder von einer Website zur anderen wiederverwendet, bis eine davon kompromittiert wird. Das Problem ist nicht die Nachlässigkeit Ihrer Mitarbeitenden, sondern die Natur eines Geheimnisses, das mehrmals täglich eingegeben werden muss.
Die Zwei-Faktor-Authentifizierung setzt genau hier an. Statt zu versuchen, das Durchsickern eines Passworts zu verhindern, sorgt sie dafür, dass es allein nicht mehr ausreicht. Sie ist, nach den Backups, die Massnahme mit dem besten Verhältnis zwischen erforderlichem Aufwand und erreichtem Schutz.
Was ist die Zwei-Faktor-Authentifizierung?
Zwei Faktoren bedeuten zwei Identitätsnachweise unterschiedlicher Art: etwas, das Sie wissen, das Passwort, und etwas, das Sie besitzen, Ihr Telefon oder ein kleiner Schlüssel. Diesem Prinzip begegnen Sie jeden Tag, ohne darüber nachzudenken: Eine Bankkarte am Geldautomaten funktioniert nur zusammen mit ihrem Code.
Für die Nutzerin oder den Nutzer ändert sich konkret nichts ausser einem zusätzlichen Schritt. Sie oder er gibt das Passwort wie gewohnt ein, und ein Bildschirm fragt anschliessend nach einem sechsstelligen Code, den sie oder er auf dem Telefon abliest. Das dauert etwa fünf Sekunden.
Sie werden auf mehrere Bezeichnungen für dieselbe Sache stossen: 2FA, MFA, starke Authentifizierung, Zwei-Faktor-Authentifizierung, Zwei-Schritt-Verifizierung. Das Kürzel MFA, für Multi-Faktor-Authentifizierung, ist schlicht der Oberbegriff. In einem KMU bezeichnen alle dieselbe Handlung.
Warum neutralisiert diese Massnahme den Diebstahl von Passwörtern?
Sehen wir uns an, wie ein gewöhnlicher Angriff abläuft. Der Angreifer beschafft sich eine Liste von Zugangsdaten, durch ein Datenleck bei einem Anbieter oder durch eine gefälschte Login-Seite. Er probiert diese Zugangsdaten automatisiert an Hunderten von Diensten aus. Sobald einer funktioniert, gelangt er hinein.
Der zweite Faktor durchbricht diese Kette am letzten Glied. Der Angreifer hat das Passwort, aber nicht das Telefon, das auf dem Schreibtisch Ihrer Buchhalterin liegt. Die Anmeldung schlägt fehl, und Ihr Mitarbeitender erhält eine Bestätigungsanfrage, die er nicht selbst ausgelöst hat, was Sie gleichzeitig alarmiert.
Sie ist auch die wirksamste Abwehr gegen klassisches Phishing. Eine gefälschte Seite, die Ihr Webmail imitiert, sammelt das Passwort, aber der auf dem Telefon angezeigte Code ändert sich alle dreissig Sekunden und ist kurz darauf nichts mehr wert. Der vollständige Mechanismus wird in unserem Artikel zu Phishing beschrieben.
Eine Verwaltungsleiterin verwendet das Passwort ihrer geschäftlichen Mailbox auch für eine Bestellwebsite für Büromaterial. Diese Website wird gehackt, die Zugangsdaten werden weiterverkauft. Drei Monate später versucht jemand, sich von einem anderen Land aus in ihre Mailbox einzuloggen. Mit einem zweiten Faktor schlägt der Versuch fehl, und sie erhält eine Benachrichtigung. Ohne ihn liest der Angreifer wochenlang ihre Korrespondenz mit, bevor er sich gegenüber einem Kunden als sie ausgibt.
Wo anfangen? Zwei Konten, nicht dreissig
Der klassische Fehler besteht darin, alles auf einmal abdecken zu wollen und dann angesichts des Umfangs der Aufgabe aufzugeben. Beginnen Sie mit den zwei Zugängen, deren Kompromittierung den grössten Schaden anrichten würde.
Zuerst die geschäftliche Mailbox. Das ist das kritischste Konto des Unternehmens, und selten dasjenige, an das man zuerst denkt. Ihre Mailbox enthält die Geschichte Ihrer Korrespondenz mit Kundinnen, Kunden, Lieferanten und Ihrer Bank. Vor allem dient sie dazu, die Passwörter fast aller anderen Dienste zurückzusetzen: Wer die Mailbox kontrolliert, kontrolliert letztlich den Rest. Die konkreten Folgen werden in unserem Artikel zur Kompromittierung der Mailbox ausführlich beschrieben.
Danach das Online-Banking. In der Schweiz ist das in der Regel bereits der Fall, da die Institute es vorschreiben. Prüfen Sie trotzdem die sekundären Zugänge: Lohnzahlungstool, Rechnungsstellungsplattform, Portal der Ausgleichskasse.
Sobald diese beiden Konten erledigt sind, erweitern Sie in Ihrem eigenen Tempo: Buchhaltungstools, Geschäftsverwaltung, Fernzugriffe, Hosting-Plattformen, soziale Medien des Unternehmens. Fernzugriffe verdienen besondere Aufmerksamkeit, sobald ein Teil des Teams ausserhalb der Räumlichkeiten arbeitet, eine Situation, die wir in Homeoffice und mobile Geräte behandeln.
Die drei gängigen Formen, und was sie unterscheidet
Nicht alle Formen des zweiten Faktors sind gleichwertig. So stehen sie im Vergleich zueinander.
| Form | Wie es funktioniert | Robustheit | Für wen |
|---|---|---|---|
| SMS-Code | Ein Code trifft per Textnachricht auf der registrierten Nummer ein | Solide, aber die schwächste der drei | Wer keine andere Möglichkeit hat, oder für einen schnellen Start |
| Authentifizierungs-App | Eine App auf dem Telefon erzeugt einen Code, der sich alle 30 Sekunden ändert | Gut, und kostenlos | Die richtige Standardwahl für ein KMU |
| Physischer Schlüssel | Ein kleines Objekt zum Anschliessen oder Annähern an das Telefon | Am höchsten, widersteht gefälschten Seiten | Geschäftsleitung, IT, Zugänge mit Zahlungsberechtigung |
Die Authentifizierungs-App hat einen unauffälligen, aber entscheidenden Vorteil: Sie funktioniert ohne Netzverbindung, da der Code direkt auf dem Gerät berechnet wird. Sie ist also weder vom Mobilfunkanbieter noch von der Netzabdeckung abhängig.
Der physische Schlüssel geht noch weiter. Er überprüft die Adresse der Website, bevor er antwortet, was ihn immun gegen gefälschte Login-Seiten macht: Selbst ein getäuschter Mitarbeitender kann keine Anmeldung bei einer betrügerischen Website bestätigen. Seine Kosten bleiben moderat, und er ist bei Konten mit Zahlungsberechtigung voll und ganz gerechtfertigt.
Ein per SMS versendeter Code kann abgefangen werden, und es gibt eine Betrugsmasche, bei der eine Telefonnummer auf eine neue SIM-Karte übertragen wird, um die Codes anstelle der berechtigten Person zu empfangen. Diese Angriffe sind real, erfordern aber einen gezielten Aufwand, während fast alle Angriffsversuche, denen ein KMU ausgesetzt ist, automatisiert sind und vor jedem beliebigen zweiten Faktor abrupt stoppen. Wenn SMS Ihre einzige Möglichkeit ist, aktivieren Sie es noch heute. Sie wechseln später zu einer App, wenn das möglich wird.
Die Einwände, die Sie hören werden
Es sind immer dieselben, und sie alle haben eine einfache Antwort.
«Das kostet uns nur Zeit.» Rechnen Sie mit fünf Sekunden, einige Male im Monat, auf einem gewohnten Gerät. Das steht im Vergleich zu den Tagen an Betriebsausfall nach der Kompromittierung einer Mailbox.
«Ich möchte mein privates Telefon nicht für die Arbeit verwenden.» Der Einwand ist berechtigt und verdient eine echte Antwort, kein Durchsetzen mit Druck. Eine Authentifizierungs-App gibt dem Arbeitgeber keinen Zugriff auf das Telefon und übermittelt keine Daten. Bleibt die Zurückhaltung bestehen, löst ein vom Unternehmen bereitgestellter physischer Schlüssel die Frage endgültig.
«Wir sind zu klein, um für jemanden interessant zu sein.» Angriffe mit gestohlenen Zugangsdaten wählen ihr Ziel nicht aus, sie testen Listen. Die Grösse des Unternehmens spielt keine Rolle dabei, ob es getroffen wird, nur bei seiner Fähigkeit, den Schock zu verkraften.
«Und wenn ich mein Telefon verliere?» Das ist der einzige Einwand, der eine echte Vorbereitung erfordert. Erstellen Sie die Ersatzcodes bei der Aktivierung, bewahren Sie sie ausserhalb des Informationssystems auf, und registrieren Sie für wichtige Konten einen zweiten Ersatzfaktor.
Was MFA nicht schützt
Eine ehrliche Massnahme misst sich auch daran, was sie durchlässt.
Sie schützt nicht vor einem bereits infizierten Gerät. Ist Schadsoftware auf dem Computer installiert, kann sie von einer bereits geöffneten Sitzung aus handeln, ohne sich je erneut authentifizieren zu müssen.
Sie schützt nicht vor fortgeschrittenem Phishing, bei dem der Angreifer den soeben eingegebenen Code in Echtzeit weiterleitet. Nur der physische Schlüssel blockiert dieses Szenario.
Vor allem schützt sie nicht vor Betrugsfällen, die keine technische Schwachstelle ausnutzen. Beim CEO-Betrug wird die Überweisung von einem authentifizierten Mitarbeitenden in gutem Glauben auf Anweisung einer falschen Führungsperson ausgeführt. Kein zweiter Faktor kommt dabei zum Einsatz, weil es nichts zu umgehen gibt.
Ein Häkchen in den Einstellungen zu setzen, ist für jeden machbar. Die vollständige Liste der wichtigen Zugänge in Ihrem Unternehmen zu erstellen, ist deutlich schwieriger. Fast jedes KMU vergisst dieselben Dinge: das Administrationskonto der Website, den Fernzugriff, der vor drei Jahren für einen Dienstleister eingerichtet wurde, die von mehreren Personen genutzte allgemeine Mailbox, das Konto eines Mitarbeitenden, der letztes Jahr das Unternehmen verlassen hat. Genau diese vergessenen Zugänge sind es, die niemand überwacht, und eine gründliche Bestandsaufnahme erfordert einen Blick, der weiss, wo er suchen muss.
Diese Bestandsaufnahme ist eine eigenständige Aufgabe. Sie stellt die Dienste, für die Sie bezahlen, jenen gegenüber, die Ihre Teams ohne Rücksprache eingerichtet haben, und jenen, die Ihre Dienstleister bei Ihnen nutzen. Das Ergebnis überrascht Geschäftsleitungen oft durch seine Länge.
Sie können schon heute allein damit beginnen, und genau das sollten Sie tun: Diese Massnahmen bilden eine nützliche Grundlage, ersetzen aber nicht die Prüfung Ihrer eigenen Situation. Um bereits exponierte Konten zu erkennen, liefert das Tool zur Überprüfung von Passwort-Leaks ein erstes Signal, und der Cyber-Check-up ordnet Ihr allgemeines Niveau ein. Die weiteren vorrangigen Massnahmen sind im Themenbereich Bewährte Praktiken zusammengefasst.