MFA und Zugangsschutz: Die Tür, durch die Ransomware kommt
Die meisten Ransomware-Angriffe beginnen nicht mit einer Sicherheitslücke, sondern mit einer Anmeldung: gestohlene oder erratene Zugangsdaten für VPN, E-Mail oder Fernwartung ohne zweiten Faktor. Danach bewegen sich Angreifer mit den Rechten, die sie vorfinden. Diese Seite beschreibt, wie Multi-Faktor-Authentifizierung, phishing-resistente Verfahren, Rechtetrennung und der Umgang mit Dienstleisterzugängen diese beiden Phasen unterbrechen.
- MFA auf allen von außen erreichbaren Zugängen und allen Admin-Konten
- FIDO2 phishing-resistenter Standard für Passkeys und Sicherheitsschlüssel
- 2 Konten je Administrator: Alltag und Administration getrennt
- § 30 BSIG nennt MFA und Zugriffskontrolle ausdrücklich
Welche Zugänge zuerst einen zweiten Faktor brauchen
MFA ist die Maßnahme mit dem größten Hebel gegen Ransomware, weil sie den häufigsten Einstiegsweg schließt. Die Reihenfolge der Einführung folgt dem Risiko.
| Zugang | Warum er kritisch ist | Anforderung |
|---|---|---|
| VPN und Fernwartung | Der direkte Weg ins interne Netz. Gestohlene VPN-Zugangsdaten ohne MFA sind einer der häufigsten Einstiege von Ransomware-Gruppen. | MFA ohne Ausnahme, auch für Dienstleister und Administratoren. Keine gemeinsam genutzten Konten. |
| E-Mail und Cloud-Dienste | Von überall erreichbar, Ziel von Phishing. Ein übernommenes Postfach dient zum Ausspähen, für CEO-Fraud und als Sprungbrett zu weiteren Diensten. | MFA für alle Nutzer, phishing-resistent für Geschäftsleitung, Finanzen, Personal und Administratoren. Alte Protokolle ohne MFA-Unterstützung abschalten. |
| Administratorkonten | Mit ihnen breitet sich ein Angreifer aus, deaktiviert Schutzsoftware und löscht Backups. | Phishing-resistente MFA für jede administrative Anmeldung, an Servern, Verzeichnisdienst, Hypervisor, Backup, Firewall, Cloud-Verwaltung. |
| Fernzugriff auf Server und Arbeitsplätze | Remote-Desktop und ähnliche Dienste, die aus dem Internet erreichbar sind, werden systematisch abgesucht. | Nicht direkt aus dem Internet erreichbar, sondern nur über VPN mit MFA oder ein Gateway mit MFA. |
| Backup-Systeme | Angreifer löschen Backups, bevor sie verschlüsseln. | Eigene Konten außerhalb des Verzeichnisdienstes, MFA für Konsole und Speicherziel. |
| Interne Anwendungen mit sensiblen Daten | ERP, Personal, Finanzen, Konstruktionsdaten: lohnende Ziele für Datenabfluss. | MFA nach Einführung an den äußeren Zugängen, mindestens für privilegierte Rollen. |
Nicht jede MFA schützt gegen Phishing
Ein zweiter Faktor, den der Nutzer auf einer gefälschten Anmeldeseite eingibt, wird in Echtzeit an den echten Dienst weitergereicht. Phishing-resistent sind nur Verfahren, die an die echte Domäne gebunden sind.
| Verfahren | Phishing-resistent | Einordnung |
|---|---|---|
| SMS oder Anruf | Nein | Besser als nichts, aber anfällig für SIM-Swapping, Weiterleitung und Echtzeit-Phishing. Nur als Übergang oder Rückfallweg, nicht für privilegierte Konten. |
| Einmalcode aus Authenticator-App (TOTP) | Nein | Schützt gegen gestohlene Passwörter, nicht gegen Anmeldeseiten, die den Code sofort weiterreichen. Solider Standard für normale Nutzer, wo FIDO2 noch nicht möglich ist. |
| Push-Benachrichtigung | Nein, mit Nummernabgleich eingeschränkt | Anfällig für Ermüdungsangriffe durch wiederholte Anfragen. Nur mit Nummernabgleich, Anfragebegrenzung und Anzeige von Ort und Anwendung einsetzen. |
| FIDO2-Sicherheitsschlüssel | Ja | Hardware-Schlüssel, der die Anmeldung kryptografisch an die echte Domäne bindet. Eine gefälschte Seite erhält keine gültige Antwort. Standard für Administratoren, Geschäftsleitung und Finanzen. |
| Passkeys | Ja | FIDO2 auf dem Gerät, gespeichert im Betriebssystem oder Passwortmanager, entsperrt per Biometrie oder PIN. Für breite Einführung geeignet, wenn die Dienste es unterstützen. |
| Smartcard oder Zertifikat | Ja | Etabliert in großen Umgebungen, hoher Verwaltungsaufwand. Sinnvoll, wo eine Infrastruktur dafür bereits existiert. |
Empfehlung: Phishing-resistente Verfahren zuerst dort, wo ein Kontoverlust den größten Schaden anrichtet: Administratoren, Geschäftsleitung, Finanzen, Personal. Für alle anderen mindestens eine Authenticator-App, mit dem Ziel, über Passkeys nachzuziehen. Rückfallwege wie SMS werden abgeschaltet, sobald sie nicht mehr gebraucht werden, weil Angreifer sonst den schwächsten Weg wählen.
Least Privilege und Admin-Trennung
MFA hält Angreifer draußen. Wer trotzdem hereinkommt, etwa über ein kompromittiertes Gerät, soll so wenig Rechte wie möglich vorfinden.
-
Getrennte Konten je Administrator
Ein Alltagskonto ohne Sonderrechte für E-Mail, Web und Büroarbeit, ein Administrationskonto für nichts anderes als Administration. Wer mit dem Admin-Konto Mails liest, gibt es beim ersten erfolgreichen Phishing ab.
-
Domänen-Admins nur auf gehärteten Systemen
Konten mit Rechten auf den Verzeichnisdienst melden sich nie an normalen Arbeitsplätzen oder Servern an, weil ihre Anmeldeinformationen dort im Speicher abgreifbar sind. Administration erfolgt von dedizierten Administrationsstationen aus.
-
Rechte nach Aufgabe, nicht nach Bequemlichkeit
Wer Server verwaltet, braucht keine Rechte auf den Verzeichnisdienst; wer Anwendungen betreut, keine auf die Infrastruktur. Rollen mit abgestuften Rechten und, wo möglich, zeitlich befristete Rechtevergabe für einzelne Aufgaben.
-
Individuelle lokale Admin-Passwörter
Ein lokales Administratorpasswort, das auf allen Rechnern gleich ist, macht aus einem kompromittierten Gerät alle. Lösung: automatisch verwaltete, je Rechner unterschiedliche, regelmäßig gewechselte lokale Passwörter.
-
Dienstkonten begrenzen
Konten für Dienste und Anwendungen erhalten nur die Rechte, die der Dienst braucht, keine interaktive Anmeldung und lange, zufällige Passwörter. Dienstkonten mit Domänen-Adminrechten sind ein klassischer Ausbreitungsweg.
-
Regelmäßige Rechteprüfung
Quartalsweise: Wer hat welche privilegierten Rechte, und braucht er sie noch? Verwaiste Konten, ausgeschiedene Mitarbeitende, vergessene Dienstleisterkonten, Mitgliedschaften in Admin-Gruppen, die nie zurückgenommen wurden.
Zugänge von IT-Dienstleistern und Herstellern
Der Zugang des Dienstleisters ist ein Zugang zu Ihrem Netz, mit allen Rechten, die er hat, und mit der Sicherheit, die der Dienstleister lebt. Beides müssen Sie kennen und begrenzen.
-
Inventar aller Fremdzugänge
Welche Dienstleister und Hersteller haben Zugang, worauf, über welchen Weg, mit welchen Konten? Fernwartungszugänge für Maschinen, Telefonanlagen, Gebäudetechnik und Drucker werden dabei häufig vergessen.
-
Personalisiert und mit MFA
Keine Sammelkonten wie 'Dienstleister' oder 'Support'. Jede Person beim Dienstleister erhält ein eigenes Konto mit MFA, damit Handlungen zuordenbar sind und Ausscheiden beim Dienstleister zur Sperrung führt.
-
Nur bei Bedarf freigeschaltet
Fernzugänge sind standardmäßig deaktiviert und werden für einen Wartungstermin freigeschaltet, zeitlich befristet, und danach wieder geschlossen. Dauerhaft offene Fernwartungszugänge sind ein bevorzugtes Einfallstor.
-
Auf das Nötige beschränkt
Der Zugang führt zu den Systemen, die der Dienstleister betreut, nicht ins ganze Netz. Segmentierung und Sprungserver statt Vollzugriff per VPN. Administrative Rechte nur auf den betreuten Systemen.
-
Protokolliert und geprüft
Sitzungen werden protokolliert, bei kritischen Systemen aufgezeichnet. Quartalsweise Prüfung, ob die Zugänge noch gebraucht werden und die Personen noch beim Dienstleister arbeiten.
-
Vertraglich geregelt
Der Vertrag regelt MFA-Pflicht, Meldung von Sicherheitsvorfällen beim Dienstleister, Umgang mit Zugangsdaten, Subunternehmer und Auditrechte. NIS2 verlangt von betroffenen Unternehmen, die Sicherheit ihrer Lieferkette zu steuern; dieser Vertrag ist ein Teil des Nachweises.
Passwörter: Weniger Regeln, mehr Wirkung
Passwörter bleiben der erste Faktor. Die Richtlinie sollte dem Stand der Technik folgen, nicht Gewohnheiten aus den Neunzigern.
-
Länge vor Komplexität
Lange Passphrasen sind sicherer und merkbarer als kurze Zeichenmischungen. Mindestlänge deutlich anheben, Sonderzeichenzwang aufgeben, maximale Länge nicht künstlich begrenzen.
-
Prüfung gegen bekannte Passwörter
Neue Passwörter werden gegen Listen kompromittierter und trivialer Passwörter geprüft und abgelehnt, wenn sie enthalten sind. Das verhindert die Passwörter, die Angreifer zuerst probieren.
-
Wechsel bei Anlass, nicht nach Kalender
Erzwungene Wechsel alle 90 Tage führen zu vorhersehbaren Varianten. Gewechselt wird bei Verdacht auf Kompromittierung, beim Ausscheiden von Mitarbeitenden mit Kenntnis und bei Dienstleisterwechsel.
-
Passwortmanager für alle
Ein Passwortmanager ermöglicht einzigartige, lange Passwörter je Dienst, ohne dass sich jemand etwas merken muss. Er verhindert die Wiederverwendung, die aus einem geleakten Shop-Passwort einen VPN-Zugang macht.
-
Sperrung und Überwachung
Kontosperrung nach wiederholten Fehlversuchen, Alarm bei Anmeldungen aus ungewöhnlichen Ländern oder zu ungewöhnlichen Zeiten, Alarm bei vielen Fehlversuchen über viele Konten, dem Muster eines Passwort-Spraying-Angriffs.
-
Keine Passwörter in Dateien
Keine Passwortlisten in Tabellen, Wikis oder Skripten. Zugangsdaten für Systeme liegen im Passwortmanager oder Tresor mit Zugriffsprotokoll; Notfallzugänge offline im versiegelten Umschlag.
Wie gut sind Ihre Zugänge geschützt?
Jedes Nein ist eine Tür, die ein Angreifer mit gestohlenen Zugangsdaten öffnen kann.
- VPN, Fernwartung, E-Mail und Cloud-Dienste verlangen für jede Person einen zweiten Faktor, ohne dokumentierte Ausnahmen.
- Administratoren, Geschäftsleitung und Finanzen nutzen phishing-resistente Verfahren wie FIDO2-Schlüssel oder Passkeys.
- Jeder Administrator hat ein Alltagskonto und ein getrenntes Administrationskonto, und Domänen-Admins melden sich nicht an Arbeitsplätzen an.
- Lokale Administratorpasswörter sind je Rechner unterschiedlich und werden automatisch verwaltet.
- Alle Fremdzugänge von Dienstleistern sind inventarisiert, personalisiert, mit MFA und nur bei Bedarf freigeschaltet.
- Privilegierte Rechte werden quartalsweise geprüft, und verwaiste Konten werden gesperrt.
- Die Passwortrichtlinie setzt auf Länge, Prüfung gegen bekannte Passwörter und einen Passwortmanager statt auf periodische Wechsel.
- Ungewöhnliche Anmeldungen und Passwort-Spraying lösen einen Alarm aus, der jemanden erreicht.
Zu MFA und Zugangsschutz
Wo fangen wir mit MFA an, wenn wir es nicht überall gleichzeitig einführen können?
Bei den Zugängen, über die Angreifer tatsächlich hereinkommen: VPN und Fernwartung, E-Mail und Cloud-Dienste, die von außen erreichbar sind, und alle Administratorkonten. Diese drei Gruppen schließen den häufigsten Einstiegsweg und den wichtigsten Ausbreitungsweg. Interne Anwendungen folgen danach. Ausnahmen werden dokumentiert und befristet, nicht stillschweigend geduldet.
Ist eine Authenticator-App mit Einmalcode nicht sicher genug?
Sie ist deutlich besser als kein zweiter Faktor und schützt gegen gestohlene Passwörter. Gegen Phishing-Seiten, die Passwort und Einmalcode in Echtzeit an den echten Dienst weiterreichen, hilft sie nicht; solche Angriffe sind Standard. Phishing-resistent sind Verfahren, die an die Domäne des Dienstes gebunden sind: FIDO2-Sicherheitsschlüssel und Passkeys. Für Administratoren, Geschäftsleitung und Finanzen sollten sie die Regel sein.
Was ist mit Push-Benachrichtigungen zum Bestätigen?
Sie sind bequem, aber anfällig für Ermüdungsangriffe: Der Angreifer löst so viele Anfragen aus, bis jemand aus Versehen oder Genervtheit bestätigt. Wenn Push eingesetzt wird, dann mit Nummernabgleich, bei dem der Anmeldende eine auf dem Bildschirm angezeigte Zahl in der App eingeben muss, und mit Begrenzung der Anfragen. Besser ist der Wechsel zu FIDO2 oder Passkeys.
Unsere Administratoren haben ein Konto für alles. Was ist das Problem?
Wenn dieses Konto beim Lesen einer Phishing-Mail oder beim Surfen kompromittiert wird, hat der Angreifer sofort Administratorrechte. Getrennte Konten bedeuten: ein Alltagskonto ohne Sonderrechte für Mail, Web und Büroarbeit, und ein Administrationskonto, das nur für Administrationsaufgaben genutzt wird, idealerweise nur von einer gehärteten Administrationsstation. Domänen-Administratoren melden sich nie an normalen Arbeitsplätzen an, weil ihre Zugangsdaten dort abgreifbar sind.
Welche Passwortrichtlinie ist heute sinnvoll?
Länge vor Komplexität: lange Passphrasen statt kurzer Zeichenmischungen, Prüfung gegen Listen bekannter kompromittierter Passwörter, keine anlasslosen periodischen Wechsel, sondern Wechsel bei Verdacht auf Kompromittierung, ein Passwortmanager für alle Mitarbeitenden und individuelle lokale Administratorpasswörter je Rechner. Und für alles, was von außen erreichbar ist, ist das Passwort ohnehin nur der erste Faktor.
Vertiefung zur Ransomware-Prävention
-
Backup nach 3-2-1
Offline- oder unveränderliche Kopie, getrennte Backup-Zugänge, Wiederherstellungstest mit Zeitmessung und warum Backups selbst Angriffsziel sind.
-
Phishing und Awareness
Phishing als häufigster Einstieg, SPF, DKIM und DMARC, ein Meldeweg für Mitarbeitende und Trainings mit Simulationen als Nachweis nach NIS2.
-
Ransomware-Prävention im Überblick
Bedrohungslage, Angriffskette, die zehn Maßnahmen, Bezug zu NIS2 und Cyberversicherung und der Reifegrad-Check auf der Startseite.
Tobias Mogk
Welche Tür steht bei Ihnen noch offen?
Im kostenlosen Erstgespräch gehen wir die Zugänge Ihres Unternehmens durch: von außen erreichbare Dienste, Administratorkonten, Dienstleister. Sie erhalten eine Reihenfolge, in der MFA und Rechtetrennung eingeführt werden sollten.
- Inventar der Zugänge, die zuerst MFA brauchen
- Auswahl phishing-resistenter Verfahren für privilegierte Rollen
- Konzept für Admin-Trennung und Dienstleisterzugänge
Danke, wir rufen Sie an.
Sie hören innerhalb eines Werktags von uns, meist deutlich schneller. Wenn Sie lieber gleich einen festen Termin wählen möchten, geht das direkt im Kalender auf jamorie.eu.
Termin selbst wählen