MFA hat sich bewährt – so gut, dass Angreifer lieber um sie herumarbeiten, als sie frontal anzugreifen. Viele Organisationen ersetzen schwächere Faktoren wie SMS durch Authenticator-Apps, FIDO-Sicherheitsschlüssel und Passkeys; bedingter Zugriff und Geräte-Vertrauensstellungen prüfen zusätzlich Gerät, Standort und Kontext einer Anmeldung. Die Ausweichrouten heißen deshalb: gestohlene Sitzungstoken, Missbrauch bereits authentifizierter Sitzungen – oder Prozesse, die außerhalb des normalen Anmeldeflusses liegen.
Jedes starke Authentifizierungssystem braucht eine Antwort auf einen Alltagsfall: Was passiert, wenn eine berechtigte Person den Zugang verliert? Beschäftigte wechseln Telefone, verlieren Sicherheitsschlüssel, ändern Rufnummern, beschädigen Geräte oder vergessen Anmeldedaten. Ist die Selbstbedienung nicht mehr möglich, führt der Weg zurück ins Konto in der Regel über den Service-Desk.
Dort kann ein Mitarbeiter je nach Organisation und Berechtigungsstufe Passwörter oder MFA zurücksetzen, bestehende Authentifizierungsmethoden entfernen, temporäre Zugangsdaten ausstellen oder die Registrierung eines neuen Authenticators freigeben. Aus Sicherheitssicht sind das sensible Identitätsverwaltungsaktionen. Entscheidend ist deshalb der Prüfschritt davor: Wer für den Zugriff mehrere Faktoren erfüllen muss, aber zum Austausch dieser Faktoren nur ein paar Fragen beantworten muss, hat einen schwächeren Pfad zur selben Identität geschaffen.
Zunehmend wird das als Frage der Identitätssicherung behandelt, nicht als klassisches Helpdesk-Thema. Microsoft etwa beschreibt die Konto-Wiederherstellung in Entra ID inzwischen als Prozess mit hoher Vertrauenswürdigkeit und stellt der traditionellen, fragebasierten Helpdesk-Wiederherstellung eine stärkere Identitätsprüfung gegenüber, die das Vertrauen wiederherstellen soll, bevor der Zugriff freigegeben wird.
Wie real die Gefahr ist, zeigt die Gruppe Scattered Spider. Laut einer gemeinsamen Warnmeldung von CISA, FBI und internationalen Partnern gab sich die Gruppe als Beschäftigte aus, um IT- und Helpdesk-Personal zum Zurücksetzen von Passwörtern und zur Übertragung der MFA auf angreiferkontrollierte Geräte zu bewegen. Dieselbe Meldung hält fest, dass Angreifer mitunter über mehrere Anrufe hinweg den Passwort-Reset-Prozess einer Organisation auskundschaften, bevor sie die Übernahme versuchen.
Der Angriff auf Marks & Spencer im Jahr 2025 illustriert die Folgen: Scattered Spider gab sich als Beschäftigter aus und brachte einen externen Dienstleister dazu, das Passwort zurückzusetzen. Von dort kompromittierte die Gruppe weitere Konten und brachte schließlich Ransomware im Netzwerk des Einzelhändlers aus. M&S-Chairman Archie Norman erklärte vor dem Parlament, der Vorfall werde den Gewinn vor Rückflüssen um rund 300 Millionen Pfund mindern.
Die Konsequenz, die der Beitrag zieht: Der Service-Desk soll nicht länger fragen, ob jemand legitim klingt oder die Sicherheitsfragen beantworten kann, sondern ob die Person sicher nachweisen kann, dass sie die zum Konto gehörende Beschäftigte ist. Hier setzt Specops Secure Service Desk an, das die Identitätsprüfung zum Pflichtbestandteil sensibler Abläufe macht.
Das Produkt nutzt vorhandene Identitätsdaten aus Active Directory oder Entra ID und lässt sich mit Authentifizierungsdiensten wie Duo, Okta, PingID und Symantec VIP verbinden; unterstützt werden mehr als 15 MFA-Faktoren, sodass unterschiedliche Nutzergruppen ohne separaten Registrierungsprozess verifiziert werden können. Die Prüfung sitzt unmittelbar vor den risikoreichen Aktionen: Passwörter zurücksetzen, Konten entsperren oder eine Passwortänderung bei der nächsten Anmeldung erzwingen ist erst nach erfolgreicher Verifizierung möglich. Verifizierungsereignisse lassen sich zudem an SIEM- und Analyseplattformen exportieren.
Der Beitrag ist gesponsert und wurde von Specops Software verfasst.