Active Directory: Microsofts Mehrfaktor-Login ist sicher hinter der Paywall

Fast alle kompromittierten Konten in Azure Active Directory hätten laut Microsoft durch Mehrfaktorauthentifizierung geschützt werden können. Die bietet der Hersteller zwar an, verlangt dafür aber teilweise nicht unerhebliche Geldsummen.

Artikel veröffentlicht am ,
Microsoft-Dienste kosten für mehr Sicherheit auch mehr Geld.
Microsoft-Dienste kosten für mehr Sicherheit auch mehr Geld. (Bild: Microsoft/Montage: Golem.de)

Schon im Februar hat Microsoft auf der RSA-Sicherheitskonferenz 2020 angemerkt, dass Mehrfaktorauthentifizierung (MFA) eine wichtige Sicherheitsmaßnahme für Unternehmen ist. "Etwa ein halbes Prozent der Enterprise-Accounts in unserem System werden jeden Monat kompromittiert, was eine wirklich hohe Zahl ist", sagt Alex Weinert, Chef von Sicherheitslösungen bei Microsoft. Er gibt an, dass dies global etwa 1,2 Millionen Konten betrifft. Bei einem Unternehmen mit 10.000 Microsoft-Accounts seien also im Mittel 50 davon ein Sicherheitsrisiko.

Stellenmarkt
  1. Senior IT-System Engineer (m/w/d)
    Duravit AG, Hornberg
  2. Projekt- und Produktmanager (m/w/d) Finanzsoftware
    über Jobware Personalberatung, Berlin (Homeoffice)
Detailsuche

Mehr als 99,9 Prozent dieser Accounts hätten wahrscheinlich keine Multifaktor-Authentifizierung aktiviert, behauptet Weinert weiter. Dies sei eine sehr gute Methode, um das eigene Unternehmen vor Sicherheitslücken in der eigenen Infrastruktur zu schützen. Trotz dieser Risiken haben allerdings wohl nur 11 Prozent aller Unternehmenskunden MFA überhaupt in Nutzung.

Der zweite Faktor kostet extra

Das Unternehmen verschweigt allerdings, dass die eigenen beworbenen MFA-Methoden in vielen Fällen hinter einer Bezahlhürde stehen. Das konnte Golem.de bei den eigenen Office-365-Produkten ausprobieren. Dabei teilt sich die Mehrfaktorauthentifizierung bei Microsoft-Diensten zumindest in der Redaktion in zwei Teile auf: Zum einen können Office-365-Programme mit einem zweiten Faktor gesichert werden. Dazu zählen Applikationen wie Outlook, Word, Excel und Teams. Zum anderen können mehrere Faktoren in der Admin-Konsole von Azure Active Directory eingestellt werden.

Die Anmeldung in Office 365 gestaltet sich noch relativ simpel und ist etwa mit einem Smartphone als zweitem Faktor möglich. Bei der Einrichtung generiert Microsoft dazu einen Barcode, den wir mit einem Authenticator scannen. Bei unseren Versuchen hat dies nur mit dem Microsoft Authenticator funktioniert. Weder AndOTP noch der Google Authenticator haben den Code erkannt. Es gibt allerdings einen Trick, der einem Golem.de-Leser aufgefallen ist: Mit dem kaum sichtbaren Punkt "App ohne Benachrichtigungen" zeigt die Software einen kompatiblen Barcode an, der auch mit Googles Authenticator und AndOTP funktioniert.

Golem Akademie
  1. C++ Programmierung Basics: virtueller Fünf-Tage-Workshop
    13.–17. Dezember 2021, virtuell
  2. Kotlin für Java-Entwickler: virtueller Zwei-Tage-Workshop
    14.–15. Oktober 2021, Virtuell
Weitere IT-Trainings

Sowohl Googles als auch Microsofts App haben ein Sicherheitsproblem: Von ihnen können Screenshots erstellt werden. Zudem können wir damit nur Office 365 absichern, für den zusätzlichen Schutz im Web oder bei Legacy-Anwendungen ist beispielsweise Active Directory erforderlich.

Das Problem: Nur zahlende Kunden dürfen etwa Fido-Sticks von Drittherstellern als zweiten Faktor für Authentifizierungen verwenden. Diese Funktion ist nämlich nur ab Active Directory Premium P1 enthalten, das 5,06 Euro pro Nutzer und Monat zusätzlich kostet. Dazu kommen in einigen Fällen die Kosten für Office 365 und andere Cloud-Anwendungen. Zumindest in Windows 10 ist die MFA-Authentifizierung per USB-Fido-Stick möglich.

Microsoft sollte zudem noch etwas an der Admin-Oberfläche für die Sicherheitseinstellungen arbeiten. Diese sind inkonsistent, recht verschachtelt und ähneln sich auch optisch teilweise nicht. Die Entwickler sollten also MFA für alle Kunden freischalten und das Einstellungsmenü weniger spröde gestalten. Dann werden vielleicht auch mehr als 11 Prozent der Kunden darauf zurückgreifen.

Nachtrag vom 9. März 2020, 16:57 Uhr

Die Zweifaktor-Authentifizierung in Office 365 funktioniert auch mit anderen Authenticator-Apps, wie ein Leser herausgefunden hat. Wir haben den Text entsprechend ergänzt.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Feldversuch E-Mobility-Chaussee
So schnell bringen E-Autos das Stromnetz ans Limit

Das Laden von Elektroautos stellt Netzbetreiber auf dem Land vor besondere Herausforderungen. Ein Pilotprojekt hat verschiedene Lösungen getestet.
Ein Bericht von Friedhelm Greis

Feldversuch E-Mobility-Chaussee: So schnell bringen E-Autos das Stromnetz ans Limit
Artikel
  1. Encrochat-Hack: Damit würde man keinen Geschwindigkeitsverstoß verurteilen
    Encrochat-Hack
    "Damit würde man keinen Geschwindigkeitsverstoß verurteilen"

    Der Anwalt Johannes Eisenberg hat sich die Daten aus dem Encrochat-Hack genauer angesehen und viel Merkwürdiges entdeckt.
    Ein Interview von Moritz Tremmel

  2. Geforce Now (RTX 3080) im Test: 1440p120 mit Raytracing aus der Cloud
    Geforce Now (RTX 3080) im Test
    1440p120 mit Raytracing aus der Cloud

    Höhere Auflösung, mehr Bilder pro Sekunde, kürzere Latenzen: Geforce Now mit virtueller Geforce RTX 3080 ist Cloud-Gaming par excellence.
    Ein Test von Marc Sauter

  3. SpaceX: Starlink testet Satelliteninternet in Flugzeugen
    SpaceX
    Starlink testet Satelliteninternet in Flugzeugen

    Bald dürften mehrere Flugesellschaften Starlink-Service anbieten. Laut einem Manager soll es so schnell wie möglich gehen.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Gaming-Monitore zu Bestpreisen (u. a. Samsung G9 49" 32:9 Curved QLED 240Hz 1.149€) • Spiele günstiger: PC, PS5, Xbox, Switch • Zurück in die Zukunft Trilogie 4K 31,97€ • be quiet 750W-PC-Netzteil 87,90€ • Cambridge Audio Melomonia Touch 89,95€ • Gaming-Stühle zu Bestpreisen [Werbung]
    •  /