Mehrfaktor-Authentifizierung: Warum SMS-Codes nicht mehr sicher sind

Vor wenigen Jahren galt ein SMS-Code bei der Anmeldung als guter Sicherheitsschritt, und viele Unternehmen haben ihn genau so eingeführt: ein Passwort plus ein sechsstelliger Code auf dem Handy. Heute betrachten Banken, Microsoft und Cybersicherheitsbehörden die SMS als die schwächste Form der Mehrfaktor-Authentifizierung (MFA) und empfehlen, sich davon zu lösen.

Der Grund ist einfach: Angreifer haben gelernt, den SMS-Code auf zwei Wegen zu umgehen, die weder große Mittel noch tiefes technisches Wissen erfordern. Gleichzeitig gibt es Verfahren, die auch dann standhalten, wenn ein Mitarbeitender den Code selbst auf einer gefälschten Seite eingibt.

In diesem Artikel erklären wir, warum die SMS nicht mehr ausreicht, wie sich die anderen MFA-Verfahren unterscheiden, wie Sie mit Microsoft Entra ID stärkere Verfahren nur dort verlangen, wo es nötig ist, und wie Sie ohne chaotischen Montagmorgen umstellen.

Zwei Wege, den SMS-Code zu umgehen

SIM-Swapping

Der Angreifer wendet sich an den Mobilfunkanbieter und gibt sich als Ihr Mitarbeitender aus. Er kennt den Namen, persönliche Kenndaten (oft von anderen Websites abgegriffen) und hat eine glaubwürdige Geschichte über ein verlorenes Handy parat. Der Anbieter stellt eine neue SIM-Karte mit derselben Rufnummer aus. Von diesem Moment an gehen alle SMS-Codes an den Angreifer, während das Handy des Mitarbeitenden einfach den Empfang verliert, was oft erst nach mehreren Stunden auffällt. Die Anbieter haben dieses Verfahren verschärft, das Risiko bleibt aber bestehen, besonders wenn der Mitarbeitende eine private Nummer nutzt, die das Unternehmen nicht kontrolliert.

Phishing-Proxy

Eine noch häufigere Methode. Ein Mitarbeitender erhält eine E-Mail mit einem Link zu einer Seite, die genau wie die Microsoft-365-Anmeldung aussieht. Es ist keine Kopie, sondern ein Vermittler (ein Proxy): Alles, was der Mitarbeitende eingibt, leitet die Seite in Echtzeit an den echten Microsoft-Server weiter und gibt die Antworten zurück. Der Mitarbeitende gibt das Passwort ein, und es wird weitergereicht. Er erhält die SMS und gibt den Code ein, und auch der wird weitergereicht. Microsoft stellt ein Sitzungstoken aus, und der Angreifer übernimmt es. Der Mitarbeitende sieht, dass die Anmeldung geklappt hat, und ahnt nichts.

Wichtig ist: Die zweite Methode umgeht nicht nur die SMS, sondern auch App-Codes und die einfache Push-Bestätigung. Jedes Verfahren, das sich an einen Vermittler weiterreichen lässt, ist angreifbar.

Verfahren von schwach bis stark

• SMS-Code. Anfällig für beide Methoden. Sein einziger Vorteil: Es wird keine App benötigt.
• App-Code (TOTP, zum Beispiel Microsoft Authenticator). Schützt vor SIM-Swapping, aber nicht vor einem Phishing-Proxy, weil der Mitarbeitende den Code auf einer gefälschten Seite eingeben kann.
• Push mit Nummernabgleich. Die App zeigt zwei Ziffern auf dem Bildschirm, auf dem Sie sich anmelden, und verlangt, dass Sie diese am Handy eingeben. Das schützt vor versehentlicher Bestätigung, wenn ein Angreifer Dutzende Anfragen schickt und hofft, dass der Mitarbeitende eine bestätigt, aber im Proxy-Szenario wird die Nummer trotzdem weitergereicht.
• FIDO2 und Passkeys. Ein physischer USB- oder NFC-Schlüssel oder ein auf dem Handy gespeicherter Passkey. Die kryptografische Antwort ist an die echte Adresse der Seite gebunden, bei einer gefälschten Domain reagiert der Schlüssel deshalb schlicht nicht. Das ist das einzige Verfahren, das gegen einen Phishing-Proxy standhält; Microsoft nennt es phishing-resistent.

In der Praxis ist das realistische Ziel für ein Unternehmen: Authenticator mit Nummernabgleich für alle und FIDO2 oder Passkeys für diejenigen, deren Konten am wertvollsten sind – Administratoren, Geschäftsleitung und Mitarbeitende in der Buchhaltung.

Häufig wird gefragt, ob Mitarbeitende zustimmen, Authenticator auf einem privaten Handy zu installieren. Unserer Erfahrung nach tun das fast alle, wenn man erklärt, dass die App keine anderen Daten auf dem Handy einsehen kann und das Unternehmen das Handy darüber nicht verwaltet. Für alle, die ablehnen, bleibt ein physischer FIDO2-Schlüssel: Er hat keinen Akku und keine Software, die aktualisiert werden müsste, und er kostet weniger als ein Tag Ausfall.

Conditional Access in Entra ID: Strenge dort, wo sie gebraucht wird

Bei jedem Öffnen eines Teams-Chats einen FIDO2-Schlüssel zu verlangen, ist unpraktisch, und Mitarbeitende suchen bald nach Wegen, das zu umgehen. Mit Conditional Access in Microsoft Entra ID legen Sie fest, wann welches Verfahren verlangt wird.

Typische Regeln, die wir für Kunden umsetzen:

• von einem firmeneigenen, richtlinienkonformen Computer: MFA alle paar Tage;
• von einem unbekannten Gerät oder aus einem anderen Land: MFA bei jeder Anmeldung, und nur mit einem phishing-resistenten Verfahren;
• für Administratorrollen: immer FIDO2 oder Passkey;
• Sperrung veralteter Protokolle (POP, IMAP, SMTP mit Passwort), weil sie MFA überhaupt nicht unterstützen;
• Sperrung riskanter Anmeldungen (zum Beispiel aus zwei Ländern innerhalb einer Stunde) mit erzwungener Passwortänderung.

Die Regeln werden zentral festgelegt und gelten für Microsoft 365, Azure und jede über Entra ID angebundene Anwendung. Wir beschreiben das auf der Leistungsseite Microsoft Entra ID, den umfassenderen Schutz von E-Mail und Konten in der Beschreibung Microsoft-365-Sicherheit.

So führen Sie MFA ohne Chaos ein

Das größte Risiko bei einer MFA-Einführung ist nicht die Technik, sondern der Montagmorgen, an dem sich 80 Mitarbeitende nicht anmelden können und alle gleichzeitig anrufen. In unserer Praxis läuft der Übergang so ab:

• Bestandsaufnahme. Wer nutzt SMS, wer Authenticator, wer nichts. Die Berichte in Entra ID zeigen das innerhalb von Minuten.
• Pilotphase. Zuerst stellen das IT-Team und 5 bis 10 Mitarbeitende aus verschiedenen Abteilungen um. Dabei zeigt sich, welche Anwendungen nicht kompatibel sind.
• Registrierungskampagne. Entra ID kann dem Mitarbeitenden bei der Anmeldung eine Erinnerung zur Einrichtung von Authenticator anzeigen, mit der Möglichkeit, sie um einige Tage zu verschieben. Für die meisten reicht eine Woche.
• Eine einseitige Anleitung und vereinbarte Zeiten, in denen der Helpdesk zusätzlich besetzt ist. Jeder Mitarbeitende muss wissen, wen er anruft, wenn das Handy verloren geht.
• Umstellung abteilungsweise, nicht im ganzen Unternehmen auf einmal. Die Buchhaltung kommt zuerst, weil ihr Risiko am höchsten ist.
• Temporary Access Pass für neue Mitarbeitende und für alle, die ihr Handy verloren haben, damit Sie die SMS nicht „vorübergehend“ wieder einschalten müssen.

Der letzte Schritt wird oft ausgelassen, und das „vorübergehende“ SMS-Verfahren bleibt ein Jahr lang.

Was tun mit Altsystemen

Nicht alle Systeme unterstützen MFA: eine alte Buchhaltungsanwendung, ein VPN-Gerät ohne moderne Protokolle, ein Produktionssystem mit lokalem Konto. Die Möglichkeiten:

• Den Zugang hinter Entra ID verlagern. Viele Anwendungen lassen sich über SAML oder OIDC anbinden, auch wenn sie keine eigene MFA haben; dann führt Entra ID die MFA durch, bevor es den Benutzer einlässt.
• Ein VPN mit MFA vorschalten. Ist das System selbst nur aus dem internen Netz erreichbar und gelangt man in dieses Netz nur über ein VPN mit zweitem Faktor, ist das Ergebnis praktisch dasselbe. So funktioniert auch unser ERP-Hosting: Das Buchhaltungssystem wird über ein VPN mit 2FA erreicht, das im Service enthalten ist.
• Isolieren. Passt keine der beiden Optionen, beschränken Sie den Zugriff auf bestimmte Geräte und protokollieren die Anmeldungen, bis das System ersetzt wird.
• Ins Risikoregister aufnehmen. Im Zusammenhang mit NIS2 und DORA zählt nicht nur die Umsetzung, sondern auch die Dokumentation, warum ein System vorübergehend eine Ausnahme ist und wann sie endet.

Welcher dieser Auswege passt, entscheiden wir danach, wie viele Personen das System nutzen und welche Daten es enthält. Bei einem Buchhaltungssystem mit den Gehältern aller Mitarbeitenden reicht Isolierung nicht aus; bei einer internen Zeiterfassungstabelle genügt sie bis zum Austausch.

Wo Sie anfangen

• Prüfen Sie im Bericht in Entra ID, wie viele Konten noch SMS als einzigen zweiten Faktor nutzen.
• Schalten Sie veraltete Protokolle ab. Das ist eine einzige Änderung, die einen großen Teil der Angriffe verhindert.
• Bestellen Sie FIDO2-Schlüssel für Administratoren und Mitarbeitende in der Buchhaltung; das ist eine kleine Investition im Vergleich zu einem einzigen erfolgreichen Angriff.
• Legen Sie Conditional-Access-Regeln für eine Pilotgruppe an und beobachten Sie eine Woche lang, was nicht mehr funktioniert.
• Wenn Sie niemanden haben, der das verwaltet: Wir übernehmen die Umstellung und die laufende Betreuung im Rahmen der IT-Betreuung, einschließlich des Helpdesks, wenn ein Mitarbeitender sein Handy verloren hat.