Anzeige

Mythen und Fakten

Mythen sind eigentlich vor allem eins: unterhaltsam. Allerdings gibt es auch gefährliche Mythen, wie die über Cybersicherheit. Denn ein falsches Verständnis darüber, wie eine Person sich digital schützen kann, führt mitunter zu verheerenden Sicherheitsverletzungen. Daher ist es an der Zeit, die sieben größten Cybersecurity-Mythen zu enttarnen und Unternehmen besser zu schützen.

1. Multi-Faktor-Authentifizierung verhindert Credential Stuffing

Multi-Faktor-Authentifizierung (MFA) ist zwar ein Cybersicherheits-Tool, verhindert aber nicht Credential Stuffing. Versucht sich ein Hacker mit falschen Anmeldedaten einzuloggen, reagiert der Server mit einer Fehlermeldung. Sind die Anmeldedaten korrekt, fordert der Server einen zweiten Authentifizierungsfaktor an. Dadurch erhalten Angreifer nützliche Informationen. Mit den korrekten Anmeldedaten können sie sich auf Schemata konzentrieren und z. B. per Social Engineering, Portierungsbetrug oder SIM-Swapping einen Zugang für den zweiten Authentifizierungsfaktor erhalten. 

2. Nur ein Bruchteil des Login-Traffics ist automatisiert

Unternehmen unterschätzen, welche Bedrohung automatisierte Methoden darstellen. Mit u.a. Botnetzen, offenen Proxyservern, kompromittierten IoT-Geräten, gemeinsam genutzten VPNs und virtuellen Servern können Angreifer unter Verwendung von vielen Millionen IPs aus aller Welt verteilte Angriffe starten. Vorhandene Gegenmaßnahmen, wie etwa Web Application Firewalls, erkennen in der Regel nur einen geringen Anteil des Angriff-Traffics. Deshalb verfehlen viele Gegenmaßnahmen IPs mit geringem Datenverkehr. Doch gerade diese sind oftmals für den meisten Angriff-Traffic verantwortlich.

3. CAPTCHA stoppt Bots

CAPTCHAs führen zwar manchmal bei Personen vor dem Bildschirm zu erhöhtem Blutdruck, sind für Angreifer jedoch kein wirkliches Hindernis. Längst gibt es menschliche Click-Farmen – wie etwa das russische Unternehmen 2CAPTCHA – die Betrügern einen automatisierten API-Zugang anbieten, den ganzen Tag CAPTCHAs lösen und somit automatisierte Angriffe möglich machen.

4. Finanzdaten- und Treuepunkt-Aggregatoren nehmen Sicherheit ernst

Viele Anwender nutzen einen Finanzdaten-Aggregator, um sich in Online-Bankkonten einzuloggen. Sie erhalten so einen Überblick über ihren Finanzstatus und müssen sich nicht jedes Mal neu einloggen, wenn sie mehrere Bankkonten besitzen. Gleiches gilt für Treuepunkt-Aggregatoren. Allerdings wird zunächst für jedes Konto der Benutzernamen und das Passwort abgefragt, um es mit dem Aggregator zu verlinken. Hacker nutzen gestohlene Benutzer-/Passwort-Paare, die sie im Dark Web gekauft haben, und testen diese in Login-Formularen von hunderten Internetseiten über Aggregatoren. Da viele Menschen Benutzernamen und Passwörter häufig wiederverwenden, erhalten Kriminelle so mithilfe von Credential Stuffing Zugang zu tausenden Benutzerkonten. 

5. Cybersicherheit ist für den Einzelnen immer anstrengend

Das ist falsch, denn gute Cybersicherheit funktioniert, ohne dass der Nutzer es überhaupt merkt oder beeinträchtigt wird. Verhaltensbezogene Biometrie läuft im Hintergrund und analysiert Tastenanschläge, Touch-Befehle, Mausbewegungen und Geräteausrichtung, um ein Nutzerprofil zu erstellen und sicher aufzubewahren. Diese Daten werden analysiert und bewertet, um eine Regelmäßigkeit zwischen dem aktuellen Verhalten des Benutzers und seinem bisherigen und zu erwartenden Verhalten zu berechnen. So wird verhindert, dass Angreifer Konten übernehmen. Diese Art von Cybersicherheit ist viel sicherer als traditionelle Logins. 

6. Ohne Verlust gibt es keinen Betrug

Betrug ist immer Betrug, auch ohne Datenverlust. Sobald ein Hacker eine Täuschung vornimmt, beispielsweise indem er sich Zugang auf ein E-Mail-Konto verschafft, handelt es sich um einen Betrug, auch wenn noch kein Schaden entstanden ist. Es gibt durchaus einige Angriffsarten, die sich zunächst einen Zugang verschaffen und dann erst einmal abwarten. Dennoch handelt es sich um Betrug. So ist es nicht ungewöhnlich, dass Unternehmen infiltriert werden, lange bevor sie einen Angriff entdecken. 

7. Passwortrichtlinien sollten bestimmte Zeichen beinhalten

Sonderzeichen machen ein Passwort nicht notwendigerweise sicherer. Das Beispiel in der nachstehenden Tabelle zeigt, dass „Watch4T!m3“ ein stärkeres Passwort als „qwerty“ ist. „Caterpillar Motorboat Tree January“ ist jedoch dreimal so stark wie „Watch4T!m3“, obwohl es kein einziges Sonderzeichen enthält. Daher sollten Nutzer eher längere Passwörter verwenden. Passwörter mit willkürlichen Sonderzeichen sind nicht sicherer, sie sorgen nur für Frust beim Nutzer.

Bernd Achatz, Technischer Direktor bei F5 Networks, www.f5.com


Artikel zu diesem Thema

Home Office Security
Mai 04, 2020

Die Folgen der Coronakrise für die IT-Sicherheit

Die Corona-Pandemie hat die Welt in vieler Hinsicht stark verändert und auch vor der…

Weitere Artikel

Black Friday

DDoS-Angriffe am Black-Friday-Wochenende brechen Rekorde

Das vergangene Cyber Weekend lockte nicht nur Schnäppchenjäger ins Internet. Neueste Auswertungen des IT-Sicherheitsanbieters Link11 zeigen, dass auch Cyberkriminelle versuchten, die Gunst der Stunde zu nutzen.
Cybercrime

Cyberkriminelle nutzen neue Angriffstechnik in Sachen Phishing

Die Cybersecurity-Experten von Proofpoint waren kürzlich in der Lage, eine neue, von Cyberkriminellen genutzte Angriffstechnik in puncto Phishing zu enttarnen. Bei der sogenannten „RTF Template Injection“ werden mittels einer RTF-Datei gefährliche Inhalte von…
Supply Chain

Das schwächste Glied: Angeschlagene Lieferketten im Fokus von Hackern

Seit Monaten versuchen Logistikunternehmen und Händler auf der ganzen Welt den Auswirkungen der Pandemie Herr zu werden. Bei steigender Nachfrage – gerade auch durch das anstehende Weihnachtsgeschäft – haben sie mit drastischen Engpässen und Verspätungen zu…
Monero Miner

Böses Omen: Tor2Mine Kryptominer mit neuen Varianten

Sophos hat neue Erkenntnisse über den Tor2Mine Kryptominer veröffentlicht. "Das Vorhandensein von Minern wie Tor2Mine in einem Netzwerk ist fast immer ein Vorbote für andere, potenziell gefährlichere Eindringlinge. Tor2Mine ist jedoch viel aggressiver als…
Router

Hacker willkommen: Lücken in sämtlichen gängigen WLAN-Routern

Neun WLAN-Router bekannter Hersteller fanden sich kürzlich unter Laborbedingungen im Sicherheitstest wieder – mit verheerenden Ergebnissen im Bereich IT Security.

Anzeige

Jetzt die smarten News aus der IT-Welt abonnieren! 💌

Mit Klick auf den Button "Zum Newsletter anmelden" stimme ich der Datenschutzerklärung zu.