Kritisch: Microsofts Multi-Faktor-Authentifizierung wurde ausgehebelt

Sicherheitsforscher haben eine kritische Schwachstelle in Microsofts Multi-Faktor-Authentifizierung aufgedeckt. Die Lücke ermöglichte es Angreifern, unbefugten Zugriff auf Outlook, Teams und andere Microsoft-Dienste zu erhalten. Microsoft hat reagiert.

Schwerwiegende Sicherheitslücke in Microsoft MFA

Eine schwerwiegende Sicherheitslücke in Microsofts Multi-Faktor-Authentifizierung (MFA) hat Millionen von Nutzerkonten potenziell gefährdet. Sicherheitsforscher konnten eine Methode entwickeln, mit der sich die zusätzliche Sicherheitsebene der Zwei-Faktor-Authentifizierung durch systematisches Ausprobieren aushebeln ließ. Betroffen waren dabei zentrale Microsoft-Dienste wie Outlook, OneDrive, Teams und die Azure Cloud.

Die Schwachstelle ermöglichte es Angreifern, die sechsstelligen Einmal-Codes zur Authentifizierung durch Brute-Force-Attacken zu knacken. Der Angriff konnte innerhalb einer Stunde durchgeführt werden, erforderte keine Nutzerinteraktion und hinterließ keine verdächtigen Spuren. Betroffene Kontoinhaber erhielten keinerlei Warnungen über die massenhaften Zugriffsversuche.

Details zur MFA-Schwachstelle

Wie The Hacker News berichtet, entdeckte das Forscherteam von Oasis Security mehrere Schwachstellen in der MFA-Implementierung von Microsoft. Zum einen fehlte eine wirksame Ratenbegrenzung für Eingabeversuche. Durch das parallele Öffnen mehrerer Sitzungen konnten Angreifer nahezu unbegrenzt verschiedene Codes ausprobieren. Zum anderen blieben die Einmal-Codes deutlich länger gültig als die üblichen 30 Sekunden - nämlich drei Minuten.

Diese verlängerte Gültigkeitsdauer in Kombination mit der fehlenden Begrenzung der Eingabeversuche machte Brute-Force-Attacken möglich. Die Forscher errechneten, dass sich innerhalb von 70 Minuten mit über 50 Prozent Wahrscheinlichkeit ein gültiger Code erraten ließ. In der Praxis gelang der Zugriff oft schon nach einer Stunde.

Potenzielle Auswirkungen

Microsoft verfügt über rund 400 Millionen zahlende Office 365-Nutzer weltweit. All diese Konten wären theoretisch angreifbar gewesen. Einmal im System, hätten Angreifer Zugriff auf sensible Unternehmensdaten, E-Mails und Cloud-Ressourcen erhalten können. Wie die Forscher betonen, zeigt der Vorfall, dass Sicherheit mit der richtigen Konfiguration der Systeme steht und fällt.

"Während MFA zweifellos eine starke Verteidigung darstellt, hängt ihre Wirksamkeit von wichtigen Einstellungen ab, wie beispielsweise der Ratenbegrenzung zur Abwehr von Brute-Force-Angriffen und Benachrichtigungen für fehlgeschlagene Anmeldeversuche. Diese Funktionen sind nicht optional; sie sind entscheidend, um die Sichtbarkeit zu erhöhen und es den Nutzern zu ermöglichen, verdächtige Aktivitäten frühzeitig zu erkennen und schnell zu reagieren."

Microsofts Reaktion und Behebung

Microsoft reagierte nach der Meldung durch Oasis Security umgehend auf die Schwachstelle. Anfang Juli 2024 wurde zunächst eine temporäre Behebung implementiert. Im Oktober folgte dann eine permanente Lösung mit deutlich strengeren Ratenbegrenzungen für fehlgeschlagene Authentifizierungsversuche.

Wie steht ihr zu diesem Sicherheitsvorfall? Setzt ihr selbst auf Microsofts MFA und welche Alternativen nutzt ihr? Teilt eure Erfahrungen in den Kommentaren!


Siehe auch: