Specops: Gerätevertrauen soll Identitätsschutz gegen KI-gestützte Kontoübernahmen stärken

Specops beschreibt die aktuelle Bedrohungslage als Verschiebung bei der Effizienz, nicht bei den Grundlagen von Angriffen. Angreifer nutzten weiterhin bekannte Techniken wie Phishing, den Diebstahl von Zugangsdaten, MFA-Missbrauch, Session-Hijacking und Social Engineering. Neu sei vor allem, dass KI den manuellen Aufwand zwischen Informationsbeschaffung und Angriff deutlich verringere. Dadurch könnten Bedrohungsakteure mit wenig Aufwand tausende überzeugende Phishing-Mails erstellen und bei Bedarf öffentliche Informationen aus dem Internet zu detaillierten Zielprofilen verdichten.

Nach Darstellung von Specops lassen sich diese Nachrichten dann sprachlich und inhaltlich auf das berufliche Umfeld der Zielperson zuschneiden. Ein Mitarbeiter aus dem Finanzbereich könne etwa eine an Lieferanten angelehnte Anfrage erhalten, ein Administrator dagegen eine Nachricht zu Problemen beim Cloud-Zugriff. Zugleich betont der Hersteller, dass KI die gesamte Kompromittierung in der Regel nicht autonom durchführe: Menschen wählten weiterhin Ziele aus, kontrollierten die Infrastruktur und entschieden über die Nutzung eines erfolgreichen Zugriffs.

Wie zentral gestohlene Zugangsdaten weiterhin sind, unterstreicht eine Zahl aus dem Data Breach Investigation Report von Verizon: Demnach sind gestohlene Zugangsdaten an 44,7 Prozent der Sicherheitsverletzungen beteiligt. Auch passwortlose Verfahren nähmen zwar zu, doch in den meisten Authentifizierungsabläufen seien Zugangsdaten weiterhin erforderlich. Deshalb bildeten Phishing und auf das Sammeln von Zugangsdaten ausgelegte Schadprogramme wie Infostealer oft den ersten Schritt bei Kontoübernahmen.

Als Beispiel verweist der Text auf einen Vorfall zu Beginn dieses Jahres: Der Twitch-Stream von IGN wurde von einem unbekannten Angreifer übernommen, der Zugangsdaten von Restream.io nutzte. Diese hatten laut Specops ungefähr einen Monat lang in Dumps von Infostealern gelegen, bevor sie ausgenutzt wurden. Der Fall zeige, wie wichtig die Suche nach geleakten Zugangsdaten sei. In diesem Zusammenhang verweist der Hersteller auf Specops Password Auditor, der das Active Directory schreibgeschützt auf geleakte Passwörter und verwandte Schwachstellen prüft und einen Bericht zur Priorisierung von Gegenmaßnahmen erstellt.

Auch bei Mehrfaktor-Authentifizierung sieht Specops klare Grenzen. MFA verbessere die Sicherheit deutlich, ihre Wirksamkeit hänge aber von der Methode und dem umgebenden Authentifizierungsablauf ab. Einmalcodes könnten per Phishing abgegriffen werden, Push-Benachrichtigungen durch wiederholte Anfragen oder Social Engineering missbraucht werden. Beim adversären Phishing in der Mitte könnten Zugangsdaten und MFA-Antworten in Echtzeit an den legitimen Dienst weitergereicht werden. Zudem könnten Angreifer nach der Anmeldung Session-Cookies stehlen und die MFA-Abfrage damit ganz umgehen.

Ähnlich vorsichtig bewertet der Beitrag netzwerkbezogene Signale. IP-Reputation könne Verbindungen aus bekannter bösartiger Infrastruktur erkennen, Geolokalisierung auffällige Regionen markieren. Angreifer könnten ihren Datenverkehr aber über Residential Proxies, Mobilfunknetze oder kompromittierte Systeme leiten und einen Ausstiegspunkt nahe beim Opfer wählen. Gleichzeitig seien auch legitime Aktivitäten schwer zu interpretieren, weil Remote-Arbeit und Unternehmens-VPNs ungewöhnliche Standorte erzeugen könnten. Strengere Richtlinien würden zwar mehr Angriffe blockieren, aber auch Fehlalarme und Supportaufwand erhöhen.

Specops verweist dabei auf NISTs Leitfaden zur Zero Trust Architecture. In SP 800-207 heißt es laut dem Beitrag, Organisationen sollten kein implizites Vertrauen allein auf Basis des physischen Standorts oder des Netzwerkstandorts gewähren. Nutzer- und Geräteauthentifizierung würden dort als getrennte Funktionen behandelt, die vor dem Zugriff auf Unternehmensressourcen stattfinden sollten.

Daraus leitet Specops die Forderung ab, Vertrauensentscheidungen über klassische Identitätssignale hinaus zu erweitern. Mit Gerätevertrauen sollten Organisationen vertrauenswürdige Geräte registrieren und Richtlinien für Unternehmens-, Privat- und Drittanbieter-Hardware unterscheiden können. Kommt eine Anmeldung von einem unbekannten Gerät, sollte die Identitätsplattform das als relevante Risikoveränderung werten, selbst wenn Zugangsdaten und MFA erfolgreich waren.

Zugriff sollte laut dem Beitrag zudem nicht dauerhaft für eine Sitzung als vertrauenswürdig gelten. Er müsse weiterhin sowohl von der Identität des Nutzers als auch vom Zustand des Geräts abhängen. Wenn sich die Gerätesicherheitslage verändere, etwa durch deaktivierten Endpunktschutz oder fehlende Compliance, sollte sich auch das Zugriffsniveau ändern. Nicht jeder Verstoß müsse dabei zwingend blockieren: Je nach Anwendung und Schwere des Problems seien auch reduzierte Rechte oder kurze Fristen zur Behebung denkbar. Als Beispiele für unterschiedliche Gewichtung nennt Specops fehlende Updates, deaktivierten Endpunktschutz und gerootete Geräte. Für die Behebung solcher Probleme seien klare, selbstgeführte Remediation-Wege für Beschäftigte wichtig.