Startseite > Security > Einfach ist nicht gleich sicher

Zwei-Faktor-Authentifizierung

Einfach ist nicht gleich sicher

5. März 2020, 13:07 Uhr | Autor: Stefan Bange / Redaktion: Diana Künstler

Fortsetzung des Artikels von Teil 2

SS7-Hijacking zum Abfangen von SMS-Nachrichten

Eine SMS inklusive ihrem Code kann zudem abgefangen werden – beispielsweise über das inzwischen datierte Signalisierungssystem Nr. 7 (SS7). SS7 wurde 1975 entwickelt und stellt eine Sammlung von Protokollen dar, die nach wie vor weltweit von großen Telekommunikationsunternehmen verwendet wird. Über SS7 werden auch Abrechnungen und SMS-Nachrichten übertragen. Anfänglich wurden diese Protokolle nur von wenigen großen Unternehmen und Regierungen für die Signalisierung in Telekommunikationsnetzen genutzt. Strenge Sicherheitsrichtlinien und Authentifizierungsmaßnahmen wurden daher nicht als notwendig erachtet. Der weltweite Smartphone-Boom und damit das rasant wachsende Roaming durch mobile Geräte änderte diese Situation grundlegend. Der Zugang zur SS7-Protokoll-Familie wurde leichter und von den Telekommunikationsunternehmen an eine Vielzahl weltweiter Netzbetreiber verkauft, die deshalb wiederum zur Zielscheibe von Angreifern wurden. Denn wer Zugang zu SS7 hat, kann theoretisch auf alle in den verschiedenen Mobilfunknetzen übertragenen Informationen zugreifen – einschließlich SMS. Cyberkriminelle nutzten diese Sicherheitslücke, um sogenannte Man-in-the-Middle (MITM)-Attacken durchzuführen, wie das folgende Beispiel zeigt.

Deutsche Banken unter Beschuss
Am 3. Mai 2017 berichtete die Süddeutsche Zeitung, dass eine kriminelle Gruppe die Bankkonten mehrerer Personen geleert hatte, indem sie 2FA-SMS-Token per SS7-Hijacking abfing. Kurze Zeit später bestätigte der Mobilfunkanbieter O2-Telefónica die Angriffe auf die deutschen Banken. Der Angriff erfolgte in einem zweistufigen Prozess:

Stufe 1: Um Anmeldeinformationen zu sammeln, starteten die Angreifer zunächst eine breit angelegte Phishing-Kampagne und versendeten E-Mail-Nachrichten an potenzielle Opfer. Die E-Mails ahmten dabei im Detail die CI bekannter deutscher Banken nach und lotsten Nutzer auf täuschend echte Login-Seiten, um schließlich eine Banking-Trojaner auf dem Zielsystem zu installieren. Dieser erste Angriff verschaffte den Angreifern den Zugriff auf das Bankkonto und gab Einblick in das verfügbare Guthaben der betroffenen Person. Zu diesem Zeitpunkt verfügten sie zwar über die Kontonummer, das Passwort und die Handynummer der Zielperson, konnten jedoch auf Grund von 2FA keine Transaktionen durchführen. Damit eine Überweisung genehmigt werden kann, wird von der Bank ein einmaliger Token (auch „mTAN“ oder mobile Transaktions-Autorisierungsnummer) generiert und an den Benutzer gesendet, der dann die Durchführung der Transaktion bestätigt.

Stufe 2: Im nächsten Schritt erwarben die Angreifer daher ganz legitim einen Zugang zum SS7-Mobilfunksteuerungsnetz, imitierten Roaming-Mobiltelefone aus einem fremden Netz und konnten sich so als legitime Empfänger für bestimmte Nummern ausgeben. SMS-Nachrichten mit einer mTan der Bank gingen damit direkt bei den Angreifern ein, die in Kombination mit den bereits im Vorfeld abgegriffenen Anmeldedaten die Konten ihrer Opfer leeren konnten.

Im interaktiven Trainingslabor des Threat-Intelligence-Experten Immersive Labor lässt sich genau simulieren, wie ein solcher Angriff abläuft und welche Gegenmaßnahmen Unternehmen ergreifen können, um den Schaden in Grenzen zu halten. Wer sich vor SS7-Hijacking, SIM-SWAP und Phishing-Seiten effektiv schützen will, sollte zudem einen stärkeren zweiten Faktor zur Authentifizierung zu verwenden. Dazu gehören TOTPs (Time Based Onetime Password) oder Universal-2nd-Factor-Schlüssel (U2F).

Den Mängeln zum Trotz
Grundsätzlich lässt sich jedoch sagen: Trotz seiner Mängel sind SMS-Token und die 2FA immer noch eine bessere Abwehrtechnik als keine 2FA-Technologie. Unabhängig davon, ob ein Unternehmen Smartcards, Hardware-Token oder ein anderes Authentifizierungssystem implementiert, reduzieren zwei Faktoren das Risiko von Account-Takeovers (AOT) erheblich. Laut Google blockieren SMS-Token trotz aller Sicherheitslücken zu 100 Prozent automatisierte Bot-Angriffe, 96 Prozent von großangelegten Phishing-Kampagnen und 76 Prozent von gezielten Angriffen. Im Beispielfall war es nicht der SMS-Token selbst, der die Sicherheitslücke verursachte, sondern eine Schwachstelle im Mobilfunknetz. Eine Schwachstelle, die seit über zwei Jahren öffentlich bekannt war und vom Telekommunikationsanbieter nicht gepatcht wurde.

Stefan Bange ist Country Manager DACH bei Digital Shadows