Microsoft warnt eindringlich vor Zwei-Wege-Authentifizierung per SMS

Es hat sich mittlerweile herumgesprochen, dass Zwei-Faktor-Au­then­ti­fi­zie­rung die vielleicht wichtigste Sicherheitsmaßnahme darstellt. Doch das Ganze hat ein recht großes Aber: Der Authentifizierungsweg ist entschei­dend und hier sollte vor allem die SMS vermieden werden. Zwei-Faktor-Authentifizierung ist gut und wichtig, ist aber nur so sicher wie das "schwächste Glied", also die Übermittlungsmethode des passenden Codes. Und hier sollte sich längst auch herumgesprochen haben, dass SMS alles andere als sicher ist. Das wissen sicherlich die meisten, die Online-Banking verwenden, hier wurde bereits vor einer Weile von mobilen TANs auf App-basierte Lösungen umgestellt. Das liegt daran, dass SMS-Exploits mittlerweile besonders einfach sind und es seit Jahren viele Berichte über erfolgreiche bzw. geglückte Betrugsversuche gibt.

Nun hat auch Microsoft in einem Blogbeitrag dazu aufgerufen (via Neowin), sich von der SMS schleunigst zu verabschieden. Der Anlass für diesen Aufruf ist kein spezieller, angesichts der Arbeit vieler von zu Hause aus ist ein mehr an Sicherheit aber vielfach erforderlich. Infografik: Ein sicheres Passwort wählen

MFA per SMS unbedingt meiden

Alex Weinert, Partner Director of Identity Security bei Microsoft, betont in seinem Text, dass es nicht darum geht, Multi-Factor Authentication (MFA) grundsätzlich in Frage zu stellen, im Gegenteil. Es geht ihm nur darum, die für MFA genutzte Übermittlungsmethode zu beleuchten, und zwar dann, wenn es eine Mobilfunk-basierte wie SMS ist.

Gründe gibt es dafür mehrere: Man kann bei Te­le­fon­netz­wer­ken unter anderem so genanntes Social Engineering betreiben, das beschreibt im Wesentlichen das Überreden, Bestechen oder Erpressen von Support-Mitarbeitern. Auch gestohlene Smartphones können ein Si­cher­heits­ri­si­ko darstellen, etwa dann, wenn die SMS auf dem Sperrbildschirm vollständig angezeigt wird.

Dazu kommen auch noch Probleme hinsichtlich der Zuverlässigkeit, SMS können lange brauchen und mitunter sogar verschwinden. Laut Weinert liegen die Zustellraten in manchen Regionen bei gerade einmal 50 Prozent - und der Versender weiß auch nie, ob eine Nachricht angekommen ist oder nicht. Microsoft rät deshalb dringend zu App-basierten Lösungen wie dem eigenen Microsoft Authenticator.