Ein zentraler Baustein bleibt Multi-Faktor-Authentifizierung. Statt sich nur auf ein Passwort zu verlassen, sollten Nutzer ihre Identität mit mindestens zwei Faktoren aus unterschiedlichen Kategorien nachweisen. Nach den im Text erwähnten Empfehlungen von NIST ist MFA besonders stark, wenn diese Faktoren aus getrennten Kategorien stammen. Ein Passwort in Kombination mit einem Hardware-Token oder einer Authenticator-App bietet demnach deutlich mehr Schutz als mehrere wissensbasierte Faktoren wie Passwort und Sicherheitsfrage.
Der Beitrag weist aber auch auf Grenzen schwächerer MFA-Implementierungen hin. Genannt werden unter anderem Angriffstechniken wie das Überfluten mit Bestätigungsanfragen und der Tausch von SIM-Karten. Zusätzlich verweist Specops auf den Data Breach Investigations Report von Verizon: Demnach waren gestohlene Zugangsdaten an 44,7 Prozent der Sicherheitsverletzungen beteiligt.
Besonderes Augenmerk legt der Text auf den Helpdesk. Service-Desks seien ein häufiges Ziel für Social Engineering, weil dort Identität, Zugriffsrechte und dringende Nutzeranfragen zusammenlaufen. Angreifer geben sich laut Beitrag als Beschäftigte aus, um Support-Mitarbeiter etwa zu einem Zurücksetzen von Konten zu bewegen. Diese Täuschungsversuche würden zunehmend ausgefeilter, unter anderem durch KI-gestützte Deepfake-Audioinhalte oder öffentlich verfügbare Informationen.
Als Beispiele nennt der Beitrag mehrere öffentlich stark beachtete Sicherheitsvorfälle, darunter Marks and Spencers (M&S) und Clorox. Dort sei die Kompromittierung des Service-Desks der erste Schritt in Richtung Ransomware-Einsatz oder weitergehender lateraler Bewegung gewesen. Im Fall von M&S habe der Angriff zu einer fünftägigen Aussetzung des Verkaufs geführt; der durchschnittliche tägliche Verlust habe bei 3,8 Millionen Pfund gelegen. Das Problem liege laut Text oft nicht im Fehlen von Sicherheitswerkzeugen, sondern in einer uneinheitlichen Identitätsprüfung unter hohem Druck.
Als Gegenmaßnahme empfiehlt Specops spezialisierte Helpdesk-Lösungen. Specops Secure Service Desk binde die Identitätsprüfung direkt in Helpdesk-Abläufe ein, bevor Passwort-Zurücksetzungen, MFA-Änderungen oder andere sensible Schritte abgeschlossen werden können. Für besonders risikoreiche Vorgänge ergänzt Specops Verified ID diesen Prozess um das Scannen staatlicher Ausweisdokumente und eine biometrische Lebenderkennung.
Darüber hinaus plädiert der Beitrag dafür, Authentifizierungsentscheidungen nicht allein an Zugangsdaten festzumachen. Angreifer würden neben Zugangsdaten auch Sitzungs-Cookies und MFA-Token stehlen, um den Anmeldeprozess zu unterlaufen. Deshalb würden mehr Organisationen dem Vertrauensstatus von Geräten ein höheres Gewicht geben. So könne unterschieden werden, ob eine Anmeldung von einem bekannten und regelkonformen Gerät im Unternehmensnetz kommt oder von einem nicht verwalteten Gerät beziehungsweise aus einem verdächtigen IP-Bereich. Je nach Signal seien zusätzliche Prüfungen, eingeschränkter Zugriff oder das Blockieren einer Sitzung möglich.
Als weiterer Schritt nennt Specops passwortlose Verfahren, insbesondere Passkeys. Diese basieren auf FIDO2- und WebAuthn-Standards und verwenden Public-Key-Kryptografie, ohne Passwörter über das Netzwerk zu übertragen. Der private Schlüssel verbleibt auf dem Gerät des Nutzers. Dadurch seien Passkeys widerstandsfähig gegen Phishing, den Diebstahl von Zugangsdaten und Angriffe mit wiederverwendeten Passwörtern. Vollständig ersetzen könnten sie Passwörter aber noch nicht, weil Unternehmen bei Kontowiederherstellung oder Gerätewechsel weiterhin oft auf Fallback-Authentifizierung angewiesen seien.
Schließlich behandelt der Text biometrische Verfahren wie Fingerabdruck, Gesichtserkennung oder Stimmprüfung. Sie könnten die Identitätsprüfung stärken, wenn sie korrekt umgesetzt werden. Da sich biometrische Daten im Gegensatz zu Passwörtern nicht einfach zurücksetzen lassen, empfiehlt der Beitrag, möglichst keine Rohdaten zu speichern. Stattdessen sollten verschlüsselte biometrische Vorlagen abgelegt und Prüfungen nach Möglichkeit lokal auf vertrauenswürdigen Geräten durchgeführt werden. In Umgebungen mit hohen Sicherheitsanforderungen verweist Specops zudem auf datensparsame Verfahren wie homomorphe Verschlüsselung, die einen biometrischen Abgleich ermöglichen, ohne die zugrunde liegenden biometrischen Daten offenzulegen.