Warum SMS-MFA für Microsoft 365 nicht mehr sicher ist
SMS-MFA ist durch SIM-Swapping und gezieltes Phishing gefährdet. Bessere Optionen sind Authenticator mit Zahlvergleich, Passkeys und Sicherheitsschlüssel.
TL;DR
SMS-MFA nutzt das öffentliche Telefonnetz und setzt Microsoft-365-Anmeldungen SIM-Swapping sowie gezieltem Phishing aus. Empfohlen werden Microsoft Authenticator mit Zahlvergleich, Passkeys oder FIDO2-Sicherheitsschlüssel. Während der Umstellung sollten zwei gültige Prüfmethoden und getestete Wiederherstellungswege bestehen bleiben.
Original auf M365 FM Podcast. Artikel lesen · vorgeschlagen von Mirko Peters
Dies ist unsere eigene Kurzfassung, keine Wiederveröffentlichung oder vollständige Übersetzung.
Bedeutung für Governance
- Admins/CoE: Globale Administratoren, Finanzpersonal und Nutzer mit Zugriff auf kritische Portale zuerst umstellen, weil kompromittierte Konten dort grössere Folgen haben.
- Security/Compliance: SMS und Sprachanrufe über Richtlinien für Authentifizierungsmethoden in Entra ID einschränken, weil eingegebene Codes über gefälschte Anmeldeseiten abgefangen werden können.
- Leadership/Business: Den Wechsel schrittweise mit zwei Prüfmethoden und getesteten Wiederherstellungswegen planen, weil eine abrupte Durchsetzung Kontosperren und Helpdesk-Aufwand verursachen kann.
Häufige Fragen
Wie gefährdet SIM-Swapping die SMS-MFA für Microsoft 365?
Angreifer können einen Mobilfunkanbieter zur Übertragung der Rufnummer auf ihre SIM bewegen und dadurch Microsoft-365-Codes erhalten.
Können Administratoren SMS- und Sprachanmeldung in Entra ID deaktivieren?
Ja, Richtlinien für Authentifizierungsmethoden in Entra ID können SMS und Sprachanrufe einschränken oder deaktivieren und sicherere Methoden erzwingen.
Wie senkt der Zahlvergleich in Microsoft Authenticator das Phishing-Risiko?
Beim Zahlvergleich geben Nutzer die Zahl vom Anmeldebildschirm in der App ein. Dadurch werden blinde Bestätigungen bei MFA-Angriffen erschwert.