Wenn Sie in letzter Zeit die Nachrichten verfolgt haben, deutet die Berichterstattung rund um KI darauf hin, dass Schwärme von Agenten in Rekordgeschwindigkeit neue Schwachstellen finden und ausnutzen. Allerdings zeichnen reale Daten von der vordersten Front der Identity-zentrierten Sicherheit ein anderes Bild. Obwohl KI so umfassend eingesetzt wird, dass wir bei jedem beobachteten Angriff von einem gewissen Maß an Unterstützung ausgehen, ist KI nicht der Auslöser für Identitätsangriffe – sie ist der Beschleuniger.
Angreifer:innen nutzen KI in erster Linie, um die Geschwindigkeit und Skalierung bekannter Angriffsmethoden wie Phishing zu erhöhen, anstatt völlig neue zu erfinden. Da sich die zugrunde liegenden Bedingungen für den initialen Zugriff nicht grundlegend geändert haben, bleiben die Architekturprinzipien, die Organisationen vor menschengesteuerten Angriffen schützen, gegen KI-gestützte Bedrohungen genauso wirksam.
Um modernen Angriffen standzuhalten, sind Sicherheitsgrundlagen wichtiger denn je. Security-Teams sollten sich darauf konzentrieren, ihre gesamte Angriffsfläche zu reduzieren – und die KI-Nutzung ihres Unternehmens zu steuern–, anstatt zu versuchen, der KI-Nutzung von Angreifer:innen einen Schritt voraus zu sein. Unsere Untersuchungen zeigen, dass sich Sicherheitsverantwortliche durch die Implementierung einiger wichtiger Sicherheitsmaßnahmen besser vor diesen KI-gesteuerten Bedrohungen schützen können.
Eine geringe Anzahl von Kontrollen kann die meisten Sicherheitsverletzungen verhindern
Im Jahr 2024 führte der Informatiker Niels Provos das Konzept der Sicherheitsinvarianten ein – automatisierte, maschinell durchsetzbare Richtlinien, die die Angriffsfläche einer Organisation systematisch reduzieren, ohne dass einzelne Mitarbeiter:innen Sicherheitsentscheidungen treffen müssen.
Die Analyse öffentlicher Sicherheitsvorfälle durch Provos hat gezeigt, dass ein kleines Set konsequent durchgesetzter Schutzmaßnahmen – wie verpflichtende hardwarebasierte zweite Faktoren, Egress-Beschränkungen und Anwendungs-Whitelisting – insgesamt bis zu 65 % der erfassten Vorfälle verhindern könnte.
Niels Provos stellte fest, dass 65 % der Sicherheitsverletzungen durch nur drei Maßnahmen verhindert werden könnten. Die Analyse wird in einem Blog-Beitrag zu Security-Konzepten detailliert beschrieben.
Da eine Invariante automatisch in der gesamten IT-Infrastruktur ausgeführt wird, hilft sie dabei, Endbenutzer:innen von der Sicherheitslast zu befreien, sodass diese sich nicht ständig um Maßnahmen wie das Erstellen stärkerer Passwörter oder das Erkennen raffinierter Phishing-Versuche kümmern müssen.
Wir stellen die Phishing-Resistenz auf den Prüfstand
Mit der Studie von Provos als Framework führte Okta Threat Intelligence eine Untersuchung durch, um unsere Hypothese zu überprüfen, dass eine geringe Anzahl von Sicherheitsinvarianten dazu beitragen könnte, Identitätsangriffe zu verhindern. Um die Wirksamkeit von Phishing-resistenten Faktoren und Richtlinien in der Praxis zu bewerten, haben wir rund 6.000 reale Social Engineering-Ereignisse aus einem internen Datensatz von über 10.000 Kampagnen analysiert.
Wir haben Zielkonfigurationen, Richtlinieneinstellungen und Sitzungsergebnisse bei Versuchen der Kontoübernahme (ATO) ausgewertet. Als solche definierten wir jede kompromittierte IdP-Sitzung – selbst wenn kein Zugriff auf geschützte Ressourcen erlangt wurde. Angriffe wurden ausgeschlossen, bei denen:
das Endgerät der Benutzer:in bereits kompromittiert war
die primäre Methode für den Erstzugriff darin bestand, eine Benutzer:in zur Installation von Schadsoftware oder RMM-Werkzeugen zu verleiten
die primäre Methode für den Erstzugriff darin bestand, eine Benutzer:in zur Autorisierung einer angreifergesteuerten Anwendung in einer nachgelagerten SaaS-Anwendung zu verleiten
Diese hätten keinen Einfluss auf die Wirksamkeit der Phishing-resistenten Authentifizierung.
Die ersten Beobachtungen bestätigten die Standard-Annahmen der Branche über die Schwäche von Passwörtern: Bei 87 % der ATO-Sessions waren Passwörter involviert, während bei 58 % Push-Benachrichtigungen bestätigt, bei 36 % App-basierte Einmal-Passwörter (OTP) eingegeben und bei 22 % SMS-OTPs verwendet wurden. Die häufigsten Faktor-Kombinationen waren Passwort + Push (47 %) und Passwort + App-basiertes OTP (27 %) – von denen keine Phishing-resistent ist.
Wie die Sicherheitsinvarianten abgeschnitten haben
Als Nächstes untersuchten wir, ob unsere Phishing-resistenten Sicherheitsinvarianten die ATO verhindert hätten, wenn sie vorhanden gewesen wären. Bei der Messung der direkten Auswirkungen von Phishing-resistenten Authentifikatoren zeigten die Zahlen klare Schutzebenen:
Obligatorische Registrierung: Die Verpflichtung der Nutzer:innen zur Registrierung von Phishing-resistenten Faktoren hätte 88 % der Account-Übernahmeversuche verhindern können.
Durchsetzung des App-Sign-ins: Die Anforderung von Phishing-Resistenz in den App-Sign-in-Richtlinien hätte den Großteil der verbleibenden Lücke schließen und den Schutz auf 99,75 % erhöhen können.
App-Sign-in-Richtlinien definieren, wie sich Benutzer:innen authentifizieren müssen, um Zugriff auf eine App zu erhalten, und deren Festlegung ist ein notwendiger Schritt, um sicherzustellen, dass sich Benutzer:innen nur mit einem Phishing-resistenten Faktor und nicht mit einem schwächeren Faktor authentifizieren können. Die Durchsetzung von Phishing-Resistenz in Anmelderichtlinien für Anwendungen ist entscheidend, da das Herabstufen von Authentifizierungsverfahren (MFA-Downgrade) seit Langem zum Repertoire beim Social Engineering gehört. Bedrohungsakteure scheuen keine Mühen, um Nutzer:innen davon zu überzeugen, keinen Phishing-resistenten Faktor zu wählen.
Selbst bei obligatorischer Registrierung und der Durchsetzung strenger App-Sign-in-Richtlinien führten in der Studie 0,25 % der Social-Engineering-Ereignisse dennoch zu einer kompromittierten Session.
Dieses Restrisiko resultiert aus der Herausforderung des Account-Bootstrappings, dem Prozess der sicheren Registrierung einer neuen Person oder eines neuen Geräts. Organisationen stehen vor einem Henne-Ei-Problem: Wie können sie die Identität von Nutzer:innen sicher überprüfen, bevor sie diesen die Registrierung für einen starken, Phishing-resistenten Authentifikator gestatten? Wenn diese anfängliche Verifizierung auf schwächeren Faktoren wie Passwörtern, OTP oder Push-Benachrichtigungen beruht, bleibt der Account anfällig für MFA-Downgrade-Angriffe, bevor der stärkere Schutz überhaupt angewendet wird. Wenn sich ein:e Angreifer:in erfolgreich mit dem schwächeren MFA-Faktor anmeldet, kann diese Person den Zugriff nutzen, um selbst einen eigenen, von Angreifer:innen kontrollierten Phishing-resistenten Faktor bereitzustellen und sich so dauerhaften Zugriff zu sichern.
Um einen Schutz von ~100 % vor Social-Engineering-Angriffen zu erreichen, müssen die Anforderungen an die Phishing-Resistenz auf Account-Management-Richtlinien (AMPs) ausgeweitet werden. Durch die strikte Kontrolle darüber, wie Faktoren hinzugefügt, geändert oder gelöscht werden, verhindern Unternehmen, dass Angreifer:innen sich selbstständig Zugang zu Accounts verschaffen. AMPs können diesen Schutz gewährleisten, indem sie Folgendes voraussetzen:
Die Bestätigung der Identität einer Benutzer:in mittels Phishing-resistenter Faktoren, bevor ein neuer Faktor hinzugefügt wird (hierzu könnten neue Benutzerkonten mithilfe vorregistrierter physischer Sicherheitsschlüssel eingerichtet werden)
Die Anforderung, dass sich die anfragende Partei auf einem verwalteten Gerät befindet
Die Nutzung eines Drittanbieter-Dienstes zur Identitätsprüfung (IdV)
Die Anforderung, dass sich die anfragende Partei in einem vertrauenswürdigen Netzwerk befindet
Wenn Sie KI nicht abhängen können, begrenzen Sie ihre Angriffspfade.
Der Versuch, KI-gesteuerten Angriffen mit reaktiver Abwehr einen Schritt voraus zu sein, ist ein aussichtsloser Kampf. Wie Provos in weiterführenden Arbeiten zu KI-Bedrohungen anmerkte, sollten sich Security-Teams darauf konzentrieren, Sicherheitsinvarianten zu nutzen, um Angriffspfade einzuschränken, anstatt zu versuchen, sich in Maschinengeschwindigkeit zu verteidigen.
Durch die Kombination einer obligatorischen Benutzerregistrierung mit strengen Richtlinien zur Phishing-Resistenz für App-Sign-in- und Account-Management-Flows schaffen Unternehmen eine architektonische Barriere, die unabhängig davon standhält, wie schnell oder automatisiert die Tools von Angreifer:innen werden.
Dieser Inhalt dient ausschließlich zu Informationszwecken, stellt keine professionelle Beratung dar und wird ohne Gewährleistung oder Haftung bereitgestellt; bitte konsultieren Sie für Entscheidungen zur Implementierung Ihre eigenen Berater:innen.
