Gehackt trotz Mehrfaktor-Authentifizierung: Wie geht sowas?

Bei dieser Art des Angriffs, die oft im Zusammenhang mit Online-Banking und Push-/SMS-TANs vorkommt, haben sich Täter oft bereits die Anmeldedaten für ein Online-Bankkonto verschafft. Dies kann etwa aus einem früheren Datenleck stammen oder von den Tätern einfach geraten sein. Mit dem Anmeldepasswort allein lassen sich jedoch keine Überweisungen tätigen oder sicherheitsrelevante Einstellungen ändern. Hierzu braucht es einen Authentifizierungscode.  
 
Diesen fragen die Täter dann auf dem einfachsten denkbaren Weg ab: Über das Telefon. Banken warnen immer wieder vor Anrufern, die sich als Bankmiterbeiter*in ausgeben. Unter dem Vorwand einer „Routineprüfung“ oder der angeblichen Freischaltung neuer Funktionen fragen sie dann den entsprechenden Sicherheitscode ab. Tatsächlich erhält ein Opfer kurz darauf eine SMS mit einem Sicherheitscode, den sie nun telefonisch weitergeben sollen. In Wirklichkeit autorisiert der Code jedoch etwas ganz anderes. Das kann entweder eine Überweisung auf ein anderes Konto sein oder auch die Verbindung eines Drittanbieter-Bezahldienstes wie etwa Apple oder Google Pay. Einmal weitergegeben, lassen sich finanzielle Verluste kaum noch verhindern. In einem dem Autor bekannten Fall hat ein Täter auf diesem Weg sein eigenes Smartphone mit dem Bankkonto seines Opfers verbunden und ist damit auf Einkaufstour gegangen. Neben einer größeren Menge Tabakwaren hat der Täter auch mehrere Smartphones im Namen und auf Kosten des Opfers gekauft und bezahlt. Nur mit Glück konnte hier Schlimmeres verhindert werden.

Diese Angriffsart kommt dann zum Einsatz, wenn Nutzer ihre Anmeldung in einem Firmennetz etwa durch Antippen einer Schaltfläche in einer Smartphone-App bestätigen müssen. Hier setzen Täter auf einen Ermüdungseffekt oder ein ausreichendes Genervtsein ihrer Zielperson. Haben es Täter etwa geschafft, das Anmeldepasswort herauszufinden, ist alles, was ihnen noch fehlt, ein legitimierender Tastendruck. Aus diesem Grunde lösen sie zahlreiche Anmeldeversuche aus, die jedes Mal eine Nachricht auf dem Smartphone des Opfers auslösen und um Bestätigung bitten. Das tun sie so lange, bis sie damit Erfolg haben. 
Eine oder zwei entsprechende Meldungen kann die Nutzerschaft meist zuordnen und als nicht legitim klassifizieren. Aber nach der fünften, zehnten, oder dreißigsten Anfrage steigt die Wahrscheinlichkeit, dass ein Opfer genervt auf „Bestätigen“ tippt, in der Hoffnung, nicht mehr von einer Flut von Anfragen gestört zu werden.

Diese besonders perfide Angriffsart umgeht die Mehrfaktoranmeldung gleich komplett, und Betroffene müssen weder einem angeblichen Dienstleister Informationen übermittelt noch irgendwo einen Sicherheitscode angegeben haben. Hier kommt wiederum eine Schadsoftware zum Einsatz. Diese hat es jedoch nicht primär auf Passwörter abgesehen, sondern auf das, was Browser im Hintergrund speichern – und was auch so gewünscht ist. Die Rede ist von Cookies. Hierbei handelt es sich um Daten, die im Browser gespeichert werden, um den Bedienkomfort zu verbessern. Ebenfalls vom Browser verwaltet werden so genannte Session- oder auch Sitzungs-Tokens (auch “Tickets” genannt). Dieses enthält, vereinfacht gesagt, die verschlüsselte Anmelde-Information, die beim Surfen auf einer Webseite an diese übermittelt wird. Ein solches Token ist vom Webseitenanbieter signiert. Dadurch muss der Webserver nur noch prüfen, ob die Signatur gültig ist. Das geht schneller und verbraucht weniger Rechenleistung. So müssen Anwender*innen nicht nach jedem Klick etwa in einem Webshop, erneut ihre Zugangsdaten eingeben. Diese Session-Tokens haben meist eine begrenzte Lebensdauer. Besonders kurz sind sie etwa bei den meisten Banking-Portalen. Bereits nach wenigen Minuten ohne Aktivität des Anwenders auf der Seite verliert das Token seine Gültigkeit – und Anwender*innen werden automatisch abgemeldet. Was für das Onlinebanking in Ordnung ist, dürfte allerdings auf anderen Webseiten schnell zu wachsender Frustration führen – etwa auf Streaming-Webseiten. Alle paar Minuten das Passwort erneut eingeben zu müssen, ist hier absolut unerwünscht. Hier verlängern die Betreiber meist die Lebensdauer eines solchen Session Tokens. Entweder läuft es erst ab, wenn ein Klick auf „Abmelden“ oder „Ausloggen“ erfolgt, oder die Lebensdauer ist auf einen Zeitraum beschränkt, wie etwa 30 Tage. Sprich: Erst nach 30 Tagen fragt die Webseite erneut nach dem Passwort. Oder eben erst, wenn man sich ausgeloggt hat und sich erneut anmelden möchte. 
Und genau auf diese Session-Tokens haben es Kriminelle abgesehen. Sie kopieren diese und übermitteln sie von ihren eigenen Systemen aus an den entsprechenden Dienst – und haben damit die vollständige Kontrolle über das jeweilige Konto, ohne jemals ein Passwort eingeben zu müssen.