Kategorie: News
Benutzername und Passwort längst nicht mehr sicher
Wie in einer Untersuchung der ESG (Enterprise Strategy Group) festgestellt wurde, sind fast 50% der Sicherheitsexperten in Unternehmen der Meinung, dass Benutzername und Passwort allein, heute nicht mehr sicher sind. Sie sind deswegen für die Etablierung eines neuen Authentifizierungsverfahrens für den Zugriff auf wichtige Daten.
In der heutigen Zeit sind SaaS und die Cloud nicht mehr weg zu denken. Aus diesem Grund steigt auch stetig die Nutzung von Protokollen zur Remoteverwaltung. Sie bieten einen komfortablen Zugriff Daten, egal wo man sich befindet. Durch diesen Wandel hat sich jedoch auch das Risiko für Sicherheitsverletzungen erhöht, denn böswillige Dritte finden immer einfallsreichere Wege um unerlaubt ins System einzudringen
Eine Studie in der knapp 500 Unternehmen befragt wurden, ergab, dass im letzten Jahr 90% der befragten Unternehmen von Sicherheitslücken betroffen waren. Bei derartigen Statistiken wird schnell klar, dass heutige Sicherheitslösungen kaum in einem Verhältnis zu den vorhandenen Bedrohungen stehen. Es ist offensichtlich, dass Unternehmen starke und effektive Sicherheitslösungen benötigen, um sich zu schützen.
In den Anfängen des Internets waren Benutzername und Kennwort oft die einzige Möglichkeit um sich zu authentifizieren. Wollte ein Angreifer in das System eindringen, so nutze er oft sog. Brute-Force Angriffe oder versuchte die Zugangsdaten zu erraten um an die Login Informationen des Opfers zu kommen.
Nach einiger Zeit wurden Technologien entwickelt um dem entgegenzuwirken: Das betroffene Konto wird nach mehrmaliger falscher Eingabe der Zugangsdaten gesperrt.
Doch auch die Angreifer erarbeiteten neue Methoden. So entstanden Techniken wie Pharming oder Phishing. Bei solchen Angriffen werden Anwender z.B. unter Zuhilfenahme einer speziell präparierten E-Mail auf eine gefälschte Webseite geleitet, die der echten überaus ähnlich sieht. Oftmals ist es für den Endanwender überhaupt nicht oder nur schwer möglich die falsche Seite von der echten zu unterscheiden, sodass der betroffene User sich in den meisten Fällen anmeldet und somit seine Zugangsdaten an den Angreifer übermittelt.
Oft werden die Zugangsdaten bei dieser Art von fortgeschrittenen Angriffen innerhalb weniger Sekunden an den Angreifer übermittelt. Bei der Malware Zeus beispielsweise werden Benutzername und Passwort und sogar fortgeschrittene zeitbasierte Token-Codes erbeutet. Diese Informationen werden dann in Echtzeit per Sofortnachricht an den Angreifer übermittelt.
Hinzu kommt, dass es mittlerweile nicht mehr nur möglich ist die Standard-Authentifizierungsverfahren kompromittieren. Es gibt schon seit einiger Zeit Angriffe wie Man-in-the-Browser, Man-in-the-Middle und Session-Hijacking.
Trotz dieser bedenklichen Entwicklung sind sich viele Unternehmen noch nicht im Klaren darüber um was für ein hohes Sicherheitsrisiko es sich dabei handelt und das es jetzt gilt sich um geeignete Maßnahmen zu bemühen.