Angriff trotz 2FA

In der heutigen Zeit sind wir alle mit der Zwei-Faktor-Authentifizierung (2FA) vertraut – sei es bei Google, Microsoft oder einem Online-Shop. Sie ist mittlerweile ein Standard, um den Zugriff auf unsere Konten sicherer zu gestalten. Doch wie so oft in der Welt der Cyber-Sicherheit entwickeln sich auch die Bedrohungen weiter.

Während die 2FA nach wie vor einen soliden Schutz gegen viele Angriffe bietet, gibt es neue Methoden, die von Hackern genutzt werden. Und dies, ohne direkt das Passwort oder den 2FA-Code eines Nutzers zu stehlen.

Als jemand, der täglich mit strukturellen Sicherheitsfragen konfrontiert ist, um die IT-Infrastruktur von Unternehmen zu schützen, weiss ich, dass es immer neue Herausforderungen gibt. Eine dieser Taktiken ist das sogenannte Session Hijacking. Es wird nicht das Passwort oder den 2FA-Token gestohlen, sondern den sogenannten Session-Cookie ins Visier genommen – ein unscheinbares Stück Information, das nach einer erfolgreichen Anmeldung auf einer Website generiert wird. Dieses Cookie enthält alles, was nötig ist, um einen Benutzer während seiner Sitzung als legitim identifiziert zu halten. Und genau hier setzen die Angreifer an.

Wie funktioniert der Angriff auf Session-Cookies?

Session Hijacking ist ein Angriff, bei dem der Session-Cookie eines Nutzers gestohlen wird. Dies passiert häufig durch gezielte Phishing-Angriffe. Hierbei wird der Nutzer auf eine gefälschte Website oder einen manipulierten Link gelockt, der so authentisch aussieht, dass er keine Verdachtsmomente hegt und seine Anmeldedaten sowie 2FA-Codes eingibt. Der Hacker benötigt weder das Passwort noch den 2FA-Code. Stattdessen nutzt er den gestohlenen Session-Cookie, um auf das Konto zuzugreifen. Das System erkennt diesen Zugriff als legitim an.

Besonders gefährlich wird diese Methode in Umgebungen wie Microsoft 365, in denen sensible Unternehmensdaten gespeichert sind. Ein erfolgreicher Angriff auf ein Microsoft 365-Konto kann verheerende Folgen haben. Hacker erhalten Zugang zu E-Mails, vertraulichen Dokumenten und anderen unternehmenskritischen Informationen. Die Auswirkungen eines solchen Angriffs sind enorm.

Und dann gibt es noch Business Premium – die umfassendste Lösung. Dieser Plan enthält beispielsweise erweiterte Sicherheitsfunktionen zum Schutz vor Cyberbedrohungen. Funktionen wie Advanced Threat Protection und die zentrale Verwaltung von Geräten über Intune haben nicht nur Sicherheit gebracht, sondern auch den IT-Aufwand reduziert.

Wie schützt man sich vor Session Hijacking?

• Geo-Whitelisting:
  Eine gute Schutzmassnahme ist Geo-Whitelisting. Dabei wird der Zugriff auf Ihr Konto auf bestimmte Länder beschränkt, in denen Sie sich üblicherweise aufhalten. Angreifer, die versuchen, aus einem anderen Land auf Ihr Konto zuzugreifen, würden automatisch abgewiesen. Auch mit einem gestohlenen Session-Cookie bleibt der Zugang für Hacker so blockiert.

• Antivirus mit Cookie-Schutz:
  Moderne Antivirus-Software bietet nicht nur Schutz vor Viren und Malware, sondern auch Funktionen, die verdächtige Aktivitäten im Zusammenhang mit Cookies überwachen. Viele dieser Lösungen können Cookie-Spoofing erkennen und verhindern, sodass potenzielle Angriffe frühzeitig abgewehrt werden.

• Conditional Access:
  Ein weiterer wichtiger Sicherheitsmechanismus ist Conditional Access. Dieser Ansatz stellt sicher, dass nur vertrauenswürdige Geräte oder Netzwerke Zugriff auf Ihr Konto erhalten. Wenn ein Session-Cookie gestohlen wurde, könnte ein Angreifer mit diesem Cookie von einem unautorisierten Gerät nicht auf das System zugreifen.

• Regelmässige Überprüfung und Abmeldung:
  Ein weiterer sinnvoller Schritt ist, sich regelmässig von Konten und Systemen abzumelden, vor allem auf Geräten, die nicht häufig genutzt werden. Viele Plattformen bieten auch die Möglichkeit, alle aktiven Sitzungen zu überprüfen und gegebenenfalls zu beenden. So können Sie sicherstellen, dass niemand unbemerkt auf Ihr Konto zugreift.

Die richtige Absicherung für unsere Kunden
Die Sicherheit von Session-Cookies wird zunehmend zu einem wichtigen Thema. Im Umgang mit Session Hijacking ist es entscheidend, proaktiv zu handeln und geeignete Schutzmassnahmen zu ergreifen. In meinem täglichen Umgang mit den IT-Systemen und Datacenter-Infrastrukturen sehe ich, wie wichtig es ist, solche Angriffe frühzeitig zu erkennen und abzuwehren.

Gerade in Zeiten, in denen Unternehmen immer mehr auf Cloud-Dienste wie Microsoft 365 angewiesen sind, ist es entscheidend, über die grundlegenden Sicherheitsmechanismen hinauszugehen und auch die neueren Bedrohungen wie Session Hijacking im Blick zu behalten. Mit der richtigen Kombination aus Schutzmassnahmen können Sie Ihre Daten effektiv absichern und potenzielle Angriffe abwehren.

Beitrag von:
Frieder Mentele | Leiter Technologie