Wie verhindern Sie Credential-Phishing?
Das klassische Passwort ist weiterhin das am häufigsten verwendete Authentifizierungsmittel. Gleichzeitig wissen wir alle, dass Passwörter niemals vollständig sicher sind. Auch wenn Sie einzigartige und lange Passwörter verwenden, verfügen Hacker weiterhin über genügend Tricks, um diese dennoch herauszufinden. Selbst eine zusätzliche Überprüfung durch die sogenannte Multi-Faktor-Authentifizierung ist nicht immer wasserdicht. Woran liegt das und was können Sie dagegen tun?
Zunahme von Credential-Phishing im Gesundheitswesen
Die Stiftung Z-CERT ist das Kompetenzzentrum für Cybersicherheit im Gesundheitswesen in den Niederlanden. Jährlich veröffentlicht diese Organisation ein Cybersecurity-Lagebild für den Gesundheitssektor. In diesem Bericht geben sie einen Überblick über die aktuellen Bedrohungen in der Branche. Diese reichen von sogenannten Insider Threats, also bewussten und unbewussten Datenlecks durch Mitarbeitende, bis hin zu Ransomware-Angriffen und Spionage. Viele dieser Bedrohungen beginnen mit dem Diebstahl von Benutzername und Passwort. Beispielsweise durch eine Phishing-E-Mail, die scheinbar von einer vertrauenswürdigen Organisation wie Ihrer Bank oder Ihrem Unternehmen stammt. Tatsächlich werden Sie über einen Link auf eine Website oder ein Formular weitergeleitet, um beispielsweise Ihren Benutzernamen und Ihr Passwort einzugeben. Dieses Credential-Phishing ist nicht neu, doch die eingesetzten Methoden werden immer ausgefeilter. Deshalb widmet der aktuelle Z-CERT-Bericht diesem Thema besondere Aufmerksamkeit.
Im Lagebild wird das Risiko von Credential-Phishing zwar noch als „mittel“ eingestuft. Gleichzeitig gibt es viele Meldungen über entsprechende Versuche, und die Gefahr besteht vor allem darin, dass diese häufig der Einstieg in schwerwiegendere Angriffe sind. Der Angreifer verschafft sich Zugang über ein Postfach, erhält damit jedoch schnell auch Zugriff auf Ihre Office-Umgebung und andere Anwendungen. Sobald der Zugriff besteht, ist es vergleichsweise einfach, einen Ransomware-Angriff oder Finanzbetrug vorzubereiten.
Adversary-in-the-Middle, AiTM, Phishing-Angriffe
Warum stellt Credential-Phishing ein zunehmendes Risiko dar? Bei klassischen Phishing-Angriffen werden Benutzernamen und Passwörter gesammelt, um sie zu einem späteren Zeitpunkt zu verwenden. Eine wichtige Maßnahme dagegen ist die Multi-Faktor-Authentifizierung. Bei MFA verwenden Sie bei der Anmeldung nicht nur etwas, das Sie wissen, also Ihr Passwort, sondern auch etwas, das Sie besitzen, beispielsweise Ihr Smartphone. Sie müssen Ihr Passwort eingeben und zusätzlich etwa über eine Authenticator-App auf Ihrem Smartphone einen Einmalcode bestätigen. Nur wenn beides korrekt ist, erhalten Sie Zugriff. Ein Hacker, der nur Benutzernamen und Passwörter besitzt, kann damit also nichts anfangen.
Z-CERT warnt insbesondere vor Adversary-in-the-Middle, AiTM, Phishing-Angriffen. Dieser relativ neue Angriffstyp funktioniert wie folgt:
Hacker erstellen eine echt wirkende Kopie der anzugreifenden Website, beispielsweise ein täuschend echtes Microsoft-365-Anmeldefenster.
Das Opfer wird beispielsweise über eine Phishing-E-Mail auf die betreffende URL gelockt.
Die gefälschte Website fordert zur Anmeldung auf, einschließlich des Codes für den zweiten Faktor.
Die gefälschte Website fungiert als Proxy. Sie empfängt die Anmeldedaten und leitet diese über eine weitere Verbindung an die Originalwebsite weiter.
Dort wird der Benutzer regulär angemeldet und das Session-Cookie zurückgesendet.
Der „Man-in-the-Middle“ empfängt dieses Session-Cookie und leitet es an den Benutzer weiter.
Der Benutzer ist nun angemeldet, ohne etwas zu bemerken. Gleichzeitig kann jedoch auch der Hacker dasselbe Session-Cookie nutzen, um sich direkt anzumelden.
Auf diese Weise trägt der zusätzliche Faktor nichts zur Sicherheit bei. Entscheidend ist, dass der Hacker die Anmeldesitzung in Echtzeit „mithört“ und die empfangenen Sitzungsdaten kopieren kann, um sich selbst anzumelden.
Zunehmende Anzahl von Angriffen
Der Bericht zeigt, dass im Herbst 2024 mehrere sehr erfolgreiche Adversary-in-the-Middle, AiTM, Phishing-Kampagnen im Gesundheitssektor aktiv waren. Dabei wurde ein System zwischen dem Opfer und einem Zielsystem, häufig Microsoft 365, platziert. Z-CERT erhielt in diesem Zeitraum auch mehr Meldungen über kompromittierte Konten als üblich. Bei Untersuchungen stellte sich heraus, dass einige Gesundheitseinrichtungen selbst noch nicht informiert waren und im Nachhinein entdeckt wurde, dass weitere Konten betroffen waren. Z-CERT warnt außerdem, dass Phishing-Kampagnen auch dank des Einsatzes von KI immer intelligenter und professioneller aufgebaut werden. Dabei müssen die Hacker selbst nicht unbedingt über umfassende technische Kenntnisse verfügen. Heute gibt es Phishing-as-a-Service-Plattformen, über die Sie eine eigene Phishing-Kampagne als Dienstleistung bestellen können.
Können Sie Credential-Phishing verhindern?
Im Bericht finden Sie mehrere Tipps, um Credential-Phishing einzudämmen. MFA bleibt eine wichtige Maßnahme. Mit sogenanntem Conditional Access können Sie beispielsweise festlegen, dass sich Benutzer nur über bestimmte Netzwerke oder Geräte anmelden dürfen. Auch alle anderen bekannten Empfehlungen bleiben wichtig, etwa die Verwendung einzigartiger Passwörter sowie die sorgfältige Prüfung eingehender E-Mails und von URLs, bevor Sie darauf klicken.
Der nachhaltigste Ansatz besteht jedoch darin, wo immer möglich sogenannte phishing-resistente Anmeldemethoden einzusetzen. Die FIDO Alliance, Fast IDentity Online, hat hierfür den FIDO2-Standard entwickelt, bei dem die Authentifizierung mithilfe eines Public-Key-Algorithmus erfolgt. Dadurch können ausgetauschte Verifizierungsdaten niemals von einem zwischengeschalteten System entschlüsselt und missbraucht werden. Im Folgenden geben wir einige Beispiele.
YubiKey-Authentifizierung
Das HelloID Access Management-Modul unterstützt neben den gängigen klassischen MFA-Methoden auch die Authentifizierung über FIDO2-konforme Hardware-Keys wie den YubiKey. Dabei handelt es sich um einen kleinen USB-Stick, den Sie an Ihrem Laptop, Smartphone oder Tablet anschließen können. Damit wird ein sicheres Authentifizierungsverfahren zwischen dem Key und der HelloID-Anwendung durchgeführt, bei dem die Verifizierungsdaten während der Übertragung nicht entschlüsselt werden können.
Passkeys
Auch immer mehr Anwendungen unterstützen sogenannte Passkeys. Dabei handelt es sich um eine passwortlose Authentifizierungsmethode auf Basis von FIDO2. Die Authentifizierung erfolgt über einen eindeutigen privaten Schlüssel, der auf dem Gerät des Benutzers gespeichert ist, sowie über den öffentlichen Schlüssel der Anwendung. Windows-10- und Windows-11-Laptops unterstützen dies in Kombination mit der integrierten biometrischen Authentifizierung. Wenn sich ein Benutzer über seinen Laptop bei einer solchen Anwendung anmelden möchte, muss er sich zunächst mittels Fingerabdruckscan, Gesichtserkennung oder PIN authentifizieren. Anschließend erfolgt die direkte automatische Anmeldung über den installierten Passkey. Es werden keine Credentials ausgetauscht, die abgefangen und missbraucht werden können.
Passkeys können auch mit Single Sign-On, SSO, kombiniert werden. Der Passkey wird dann beispielsweise als sichere „Master-Anmeldung“ für AD oder Entra ID verwendet. Von dort aus erfolgt die weitere Anmeldung bei anderen Anwendungen über den regulären SSO-Mechanismus.
Möchten Sie mehr über phishing-resistente Anmeldungen erfahren?
Das HelloID Access Management-Modul bietet Ihnen solche phishing-resistenten Anmeldemethoden. Wir unterstützen beispielsweise MFA mithilfe von Hardware Security Keys, die den FIDO2-Standard verwenden. Die MFA-Verifizierungsdaten können dann nicht abgefangen werden. Auch andere Identity Provider, mit denen wir nahtlos zusammenarbeiten, wie AD und Entra ID, setzen zunehmend passwortlose Authentifizierungsmethoden ein. In unserem HelloID-Whitepaper finden Sie eine Übersicht über alle HelloID-Module und darüber, wie Sie Ihre Cybersicherheit kontinuierlich verbessern können.