Googles Zwei-Faktor-Authentifizierung: Wie sicher ist sie und welche Alternativen gibt es?

Was ist der Nachteil der Google-Authenticator-App? Fehlende Verschlüsselung in der Kritik

Im April 2023 führte Google dann eine Neuerung ein: Es ermöglichte ab sofort, die Google-Authenticator-Schlüssel in Ihrem Google-Konto zu sichern, sodass Sie den Google Authenticator auch auf zwei Geräten oder mehr auch von verschiedenen Geräten dazu befähigt sind, sich in Ihr Konto einzuloggen – beim Verlust des Smartphones kann das zum Beispiel hilfreich sein, um den Authenticator direkt auf einem neuen Gerät zu installieren.

Experten warnen allerdings vor grossen Sicherheitslücken, insbesondere für Menschen, die über sensible Daten, etwa Kundendetails, verfügen.

Denn sobald jemand Zugriff auf Ihr Google-Konto erhält, könnte er unter Umständen auch auf ihre 2FA-Codes stossen, da die Daten im Klartext übertragen und somit schnell einsehbar ist, wie Heise-Verlag in einem Selbsttest herausfand. Genauer gesagt: Es gibt zwar eine geschützte Übermittlung dank TLS (Transport Layer Security), allerdings keine Ende-zu-Ende-Verschlüsslung (E2E), sodass die Daten für Google – oder potenzielle Angreifer – sichtbar werden.

Vorteile der Cloud-Synchronisierung

Die Möglichkeit, Authenticator-Daten in der Cloud zu sichern, bringt grundsätzlich aber auch einen wichtigen Vorteil mit sich: Geht das Smartphone verloren oder wird es ausgetauscht, lassen sich die 2FA-Schlüssel unkompliziert auf einem neuen Gerät wiederherstellen – egal, ob auf dem Laptop, dem Tablet oder eben dem Smartphone. Das erhöht die Nutzerfreundlichkeit und minimiert Ausfallzeiten. In Unternehmen kann die Synchronisierung ausserdem über ein zentrales Konto die Verwaltung vereinfachen – vor allem bei der Einrichtung neuer Geräte oder bei Mitarbeiterwechseln.

Voraussetzung dafür ist jedoch, dass die gesicherten Daten zuverlässig verschlüsselt sind – idealerweise durch eine Ende-zu-Ende-Verschlüsselung, bei der nur Sie selbst Zugriff auf die Inhalte haben.

Ende-zu-Ende-Verschlüsselung: Wichtige Sicherheitsmassnahme

Googles Produktmanager für Identity and Security Christiaan Brand gab in einem X-Post selbst an, die E2E-Verschlüsselung einrichten zu wollen. Allerdings blieb er standhaft: „Derzeit sind wir der Meinung, dass unser aktuelles Produkt für die meisten Nutzer das richtige Gleichgewicht darstellt und erhebliche Vorteile gegenüber der Offline-Nutzung bietet. Die Option, die App offline zu nutzen, wird jedoch eine Alternative für diejenigen bleiben, die ihre Backup-Strategie lieber selbst verwalten.“

Bislang wurde die Neuerung noch nicht nachgereicht.

Nicht nur Google: Auch andere Authenticator-Dienste kämpfen mit Datenlecks

Beim Passwort-Manager LastPass hatte mit Produktfehlern zu kämpfen und Firmenrechner wurden angegriffen, wodurch es zu Datenlecks kam. Auch Twilio, Betreiber der Authenticator-App „Authy“ gab Mitte 2024 bekannt, dass sensible Daten, unter anderem angeblich 33 Millionen Telefonnummern, nach aussen gelangt waren.

Das Unternehmen Retool schilderte Ende August 2023 einen ähnlichen Fall. Mehrere Mitarbeitende erhielten gezielte SMS-Nachrichten, in denen behauptet wurde, ein Mitglied der IT-Abteilung werde sich wegen eines Kontoproblems melden.

Der Zeitpunkt der Nachrichten fiel mit einer kürzlich angekündigten Login-Umstellung zusammen. Die enthaltene URL war so gestaltet, dass sie dem internen Identitätsportal des Unternehmens täuschend ähnlich sah. Zwar reagierte der Grossteil der Belegschaft nicht auf die Nachricht, doch ein Mitarbeiter meldete sich über den von den Angreifern bereitgestellten Link an – was den Phishing-Angriff erfolgreich machte, wobei sogar Stimmen aus dem IT-Team mittels Deepfakes nachgeahmt wurden. Mitunter möglich machte das auch die Synchronisation eines Google-Kontos des Mitarbeiters auf mehreren Geräten. Der Zugriff auf das Konto verschaffte dem Angreifer somit Zugang zu all seinen MFA-Codes.

Sichere Alternativen zum Google Authenticator für Unternehmen?

Wer seine sensiblen Zugangsdaten mit dem Google Authenticator schützt, gewinnt zwar an Sicherheit, riskiert aber gleichzeitig Abhängigkeiten und mögliche Schwachstellen durch Cloud-Synchronisierungen. Gerade dann, wenn Mitarbeiter private Google Accounts nutzen oder es keine übergreifenden Unternehmensrichtlinien gibt. Welcher Authenticator ist aber nun der sicherste? Das hängt von Ihren Präferenzen ab. Hier sind die besten Alternativen.

• Passwort-Manager von Open Circle: Der OPEN CIRCLE Passwort-Manager bietet nicht nur die Möglichkeit, Passwörter einfach abzuspeichern, sondern auch direkt die entsprechenden TOTP-Schlüssel zu hinterlegen. Somit wird für das Login kein zweites Gerät benötigt, der Passwort-Manager allein reicht für die MFA aus.
• FreeOTP: Bei dieser kostenlosen Open-Source-Applikation (erhältlich im Google Play Store und im App Store) wird dafür gesorgt, eine „zweite Sicherheitsebene für Ihre Online-Konten“ einzurichten, wie es der Entwickler RedHat beschreibt. Tests zufolge erfasst die App keine Daten für Dritte, wie es bei anderen Anwendungen der Fall ist.

Empfehlung für KMU: 2FA richtig implementieren und absichern

Um den sichersten Weg zu gehen und Firmen- sowie Kundendaten zu schützen, sollten Sie von Beginn an über den Einsatz passender Sicherheitslösungen nachdenken. Dazu gehören nicht nur geeignete Passwortmanager, sondern auch die Wahl der richtigen Authentifizierungsmethode. Wenn Sie eine Zwei-Faktor-Authentifizierung (2FA) einführen möchten, sollten Sie folgende Aspekte berücksichtigen – sie beeinflussen massgeblich die Sicherheit und Nutzbarkeit des gewählten Verfahrens.

• Analysieren Sie, welche Systeme besonders schützenswert sind. Geschäftskritische Anwendungen, sensible Daten und zentrale IT-Infrastruktur sind attraktive Ziele für Cyberangriffe – genau hier ist ein zusätzlicher Schutz durch 2FA besonders sinnvoll. Deshalb ist es wichtig, zunächst alle genutzten Systeme, Plattformen und Geräte zu erfassen: Welche Anwendungen sind für den täglichen Geschäftsbetrieb unerlässlich? Gibt es veraltete Systeme, die ein Sicherheitsrisiko darstellen? Welche Hardware benötigt ein Update oder regelmässiges Backup? Nur mit einem vollständigen Überblick lässt sich gezielt entscheiden, wo 2FA implementiert werden sollte – und wie gross der Aufwand dafür ist.
• Lassen Sie sich beraten, etwa von Open Circle, um Ihre IT-Strukturen sicherer und unabhängiger aufzustellen. Unsere IT-Experten analysieren Ihre bestehende Systemlandschaft, identifizieren mögliche Schwachstellen und zeigen auf, wie Sie Ihre IT-Sicherheit verbessern können.

Darüber hinaus sollten Sie auch intern beobachten, welche Prozesse optimiert werden könnten:

• Definieren Sie zentrale Sicherheitsrichtlinien und legen Sie verbindlich fest, welche Authentifizierungsmethoden verwendet werden sollten.
• Stellen Sie sicher, dass Mitarbeitende keine privaten Konten für berufliche Zugänge verwenden und unterbinden Sie die Nutzung beliebiger Apps zur Anmeldung in Unternehmenssysteme.
• Denken Sie darüber nach, Schulungen einzuplanen, um allen Mitarbeitern einen sicheren Umgang mit 2FA gewährleisten zu können.