Hast du dir schon einmal die Frage gestellt: Wie sähe unser Leben - privat und geschäftlich - heute wohl ohne Internet aus? Könnten wir überhaupt noch ohne leben? Während die älteren Generationen unter uns sicherlich noch einige Punkte finden würden, dass es früher ja auch ohne geklappt hat, können sich die Jüngeren dagegen das so gar nicht mehr vorstellen. Schule ohne Google? Homeoffice ohne Zoom? Verabreden ohne Handy? Shoppen während Lockdown oder nach Geschäftsschluss? Bankgeschäfte am Wochenende oder im Urlaub?
Es gibt so vieles, was ohne Internet nicht mehr funktionieren würde. Und das ist gut so, denn es hat in vielen Lebensbereichen eine enorme Erleichterung und viel Fortschritt gebracht. Aber wie in so vielen Bereichen ist das Internet neben Segen auch Fluch zugleich. Denn unser immer digitaler werdendes Leben öffnet auch Tür und Tor für viele Arten an Kriminalität. Auch als Cyber-Kriminalität bezeichnet.
Hier versuchen Kriminelle an unsere sensiblen persönlichen Daten wie Passwörter, Kontonummern oder sogar unsere gesamte Internet-Identität zu gelangen, um die meist ahnungslosen Nutzer zu betrügen, die Konten leerzuräumen oder Daten an andere Kriminelle weiterzuverkaufen. Nur um einige Risiken zu nennen.
ITler und Sicherheitsexperten versuchen deswegen unser "Leben im Internet" immer sicherer zu machen und uns Nutzer vor den illegalen Machenschaften zu schützen. Also, beispielsweise den Login für unser Bankkonto sicherer zu machen. Ein Weg ist die Multi-Faktor-Authentifizierung, auch MFA genannt. Sie ist der Überbegriff für mehrere Stufen dieser Sicherheitsmethode. Wir haben die wichtigsten Aspekte zusammen gestellt.
Allgemeines
Zunächst noch eine kleine Begriffserklärung. Die beiden Begriffe "Authentisierung" und "Authentifizierung" werden in Bezug auf unser heutiges Thema fälschlicherweise oft gleichbedeutend verwendet. Das liegt wohl daran, dass beide flüchtig betrachtet zu dem selben Thema gehören - nämlich die Prüfung einer Identität und die Zugriffserlaubnis. Dennoch beschreiben beide verschiedene Stufen in einem Anmeldeprozess und das macht dann den Unterschied aus: Die Authentisierung ist der Vorgang, bei dem man sich mit den persönlichen Anmeldedaten wie zum Beispiel mit PIN, Passwort oder einer Chipkarte in einem System anmeldet und sich so als die richtige Person authentisiert. Der zweite Schritt ist dann die Überprüfung der Richtigkeit der verwendeten Anmeldedaten, das heißt das System authentifiziert den Nutzer.
Es passiert immer häufiger, dass also sensible Login-Daten in falsche Hände gelangen. Das liegt teils daran, dass Nutzer aus Unwissenheit, Unbekümmertheit und auch Gutgläubigkeit leichtfertig mit ihren Daten und in ihrem Verhalten im Internet umgehen beziehungsweise zu einfache Passwörter wählen - so ist es für Kriminelle ein Leichtes Anmelde-Informationen unbemerkt abzugreifen. Aber auch ausreichend gesicherte Systeme und Datenbanken können von Angreifern gehackt werden und so wird es möglich, zig Tausend Nutzer- und Zugangsdaten zu klauen und dann zum Beispiel im Darknet weiter zu verkaufen.
Bei einer eingerichteten Multi-Faktor-Authentifizierung können Kriminelle mit dem Benutzernamen und dem Passwort allein dann aber nicht mehr wirklich viel anfangen, da über die MFA zusätzliche Sicherheitsfaktoren (MFA-Schlüssel) eingerichtet sind.
Vor unter anderem diesen Angriffen kann eine Multi-Faktor-Authentifizierung schützen:
Phishing: Hier versuchen Angreifer an sensible Login-Daten, wie z.B. für Online-Banking- und Bezahl-Dienste, zu gelangen. Zu diesem Zweck werden so genannte Phishing-Mails (Spam-Mails) an Nutzer verschickt, die meist einen Link enthalten, den der Nutzer aus irgendeinem Grund (oft zur angeblichen Kontodatenüberprüfung oder ähnliches) anklicken soll. Dieser Link führt dann auf gefälschte Seiten, die teilweise, aber nicht immer, den Originalseiten sehr ähnlich sehen. Klickt der Nutzer diesen Link an und gibt auf der gefälschten Seite seine Daten ein, haben die Betrüger direkten Zugriff.
Malware: Hier schmuggelt sich eine Schadsoftware in das System des Nutzers, die er sich ebenfalls über Spam-Mails (mit "infizierten" links) oder auf manipulierten (gefälschten) Webseiten einfängt. Darüber gelangen so genannte Keylogger auf den Computer, die alles, was über die Tastatur eingegeben wird, aufzeichnen. Darüber können Angreifer unter anderem auch Login-Daten erhalten.
Brute Force: Hinter diesem Angriff verbirgt sich das Knacken von Passwörtern. Hier werden mit der Zeit Logins durch die wiederholte Eingabe von Nutzer-Passwort-Kombinationen herausgefunden. Mit bestimmten darauf ausgerichteten Tools lassen sich Anmeldedaten knacken. Und je einfacher die Login-Daten sind, desto schneller klappt das.
Credential Cracking funktioniert über so genannte Bots. Das sind Programme, die weitestgehend automatisch sich wiederholende Aufgaben ausführen. Deswegen eignen sie sich perfekt für Angriffe, weil sie im Hintergrund laufen und der Anwender davon nichts mitbekommt. Eingesetzt werden sie zum Beispiel um Online-Banking-Daten abzugreifen. Wissen die Kriminellen z.B. den Benutzernamen eines Bankkunden für ein Konto dieser Bank, kennen aber die PIN oder das Passwort nicht, kommen diese Bots zum Einsatz, die Passwörter automatisiert testen. Finden sie es heraus, erhalten sie Zugriff aufs Konto.