Abo
  • IT-Karriere:

Mobile Connect: Mobilfunkbetreiber starten passwortlosen Login-Dienst

Ausgerechnet per SMS wollen die Mobilfunkbetreiber Telekom, Vodafone und Telefónica das Passwort beim Login ersetzen. Mit Verimi nutzt ein erster Single-Sign-on-Dienst das neue Verfahren.

Artikel veröffentlicht am , /
Mobile Connect lässt sich bei Verimi bereits aktivieren.
Mobile Connect lässt sich bei Verimi bereits aktivieren. (Bild: Verimi/Screenshot: Golem.de)

Die deutschen Mobilfunknetzbetreiber starten gemeinsam ein Login-Verfahren über die Handynummer. Das gaben die Deutsche Telekom, Vodafone und Telefónica am 12. August 2019 bekannt. Mobile Connect verzichtet beim Login auf Passwörter.

Stellenmarkt
  1. ABB AG, Mannheim
  2. DFN-CERT Services GmbH, Hamburg

Nach Eingabe der Mobilfunknummer im Internet wird eine SMS an das Handy des Kunden geschickt. Mit dem Link in der Textnachricht muss der Nutzer über sein Smartphone den Erhalt bestätigen. Damit überträgt der Netzbetreiber eine "pseudonymisierte Kundenreferenznummer" an den Portalbetreiber. So könne der Betreiber den Kunden zuordnen und gewährt ohne Passwort Zugang zum Onlineshop. Mobile Connect lässt sich als zweiter Faktor zusätzlich zum Passwort nutzen.

Mit der im Jahr 2017 gegründeten Plattform Verimi haben die Mobilfunkanbieter einen Partner für Mobile Connect in Deutschland. Verimi integriert Mobile Connect in ihr Angebot, um Kunden die zusätzliche Anmeldung per Mobilfunkrufnummer zu bieten.

"Sichere Alternative" zu Facebook und Google

Die Mobilfunkbetreiber bezeichnen das Verfahren als "sichere Alternative zu den passwortbasierten Login-Verfahren auf Facebook, Google, Amazon und Co". Der übliche Zugang per Nutzername und Passwort sei "umständlich und birgt Risiken".

Bei Verimi lässt sich der Dienst bereits aktivieren. Dabei wird zunächst die Handynummer "zur Zuordnung an einen Dienstleister der beteiligten Mobilfunkanbieter übermittelt", worauf ohne Speicherung personenbezogener Daten die "Netzzugehörigkeit gegenüber Verimi mitgeteilt" werde, heißt es. Im zweiten Schritt würden diese Daten an den Mobilfunkanbieter weitergeleitet, bei dem Mobile Connect aktiviert werden könne.

SMS gelten als unsicher

Problematisch an dem Verfahren ist jedoch, dass das SMS-Verfahren alles andere als sicher ist. Häufig werden Smartphones oder Handys nur unzureichend gesperrt beziehungsweise SMS auch auf dem Sperrbildschirm angezeigt. Kann ein Angreifer - wenn auch nur für kurze Zeit - Zugriff auf das Mobiltelefon einer Person erlangen, kann er in diesem Moment den Passwort-zurücksetzen-Prozess starten und die SMS mit dem Zurücksetz-Code oder -Link abfangen.

Das Abfangen der SMS ist jedoch auch aus der Ferne möglich: Ein Angreifer muss sich hierzu Zugang zum SS7-Netzwerk (Signalling System #7) verschaffen. Über die SS7-Protokolle vermitteln Provider Anrufe, SMS und Daten von einem Netz in das nächste. Ohne SS7 wäre zum Beispiel Roaming nicht möglich. Ursprünglich hatten nur staatlich kontrollierte Telefonanbieter Zugang zu diesem Netzwerk, mittlerweile können sich Firmen in dieses einkaufen - und ihre Zugänge weitervermieten. Auch Kriminelle können sich Zugang zum Netzwerk verschaffen.

Online-Banking mit Verimi möglich

Bereits 2014 wurde auf dem Hackerkongress 31C3 in mehreren Vorträgen gezeigt, was mit einem SS7-Zugang alles möglich ist: Handynutzer orten, SMS mitlesen, Gespräche abhören, Rufnummern umleiten, Telefone blockieren. 2017 wurde das SS7-Netzwerk von Kriminellen dazu genutzt, Bankkonten zu leeren. Sie leiteten die Bestätigungs-SMS mitsamt der mTAN auf ihre eigenen Mobilfunktelefonnummern um. Dieser Trick kann auch zum Zurücksetzen von E-Mail- oder Social-Media-Konten verwendet werden. Hat ein Angreifer Zugriff auf das SS7-Netzwerk, kann er die Zurücksetz-SMS auf seine Mobilfunknummer umleiten und die Konten übernehmen.

In Deutschland konkurrieren derzeit Verimi, NetID und ID4me als sogenannte Single-Sign-on-Lösungen. Im Gegensatz zu NetID lässt sich Verimi für Anwendungen nutzen, die einen hohen Sicherheitsstandard erfordern. So können sich Kunden der Deutschen Bank über den Dienst sogar in das Online-Banking einloggen. Zudem ist es möglich, die beim Online-Banking der Deutschen Bank hinterlegten und verifizierten Ausweisdokumente auf Verimi zu übertragen und anschließend für die Authentifizierung bei anderen Finanzdiensten wie der Allianz zu nutzen. Daher könnte es für Kriminelle besonders attraktiv sein, einen Verimi-Account mit Hilfe von Mobile Connect zu hacken.



Anzeige
Hardware-Angebote
  1. 199,90€
  2. 135,00€ (Bestpreis!)

Gole-mAndI 13. Aug 2019 / Themenstart

Hätten sie dann nicht wenigstens PushTan nutzen können? Finde ich zwar auch alles andere...

My1 13. Aug 2019 / Themenstart

lol und true. chiptan4ever

wollid 13. Aug 2019 / Themenstart

Vor allem der Aufwand der betrieben wird, uns den Zugang zu eigenen Daten und Geräten...

dododo 13. Aug 2019 / Themenstart

Wieder was gelernt, nutze WA nicht, war daher nicht auf dem aktuellen Stand. Kenne jedoch...

My1 13. Aug 2019 / Themenstart

die pseudonymfunktion gibts ja auch, und die wäre doch perfekt

Kommentieren


Folgen Sie uns
       


Radeon RX 5700 (XT) - Test

Die Navi-10-Grafikkarten schlagen die Geforce RTX 2060(S), benötigen aber etwas mehr Energie und unterstützen kein Hardware-Raytracing, dafür sind sie günstiger.

Radeon RX 5700 (XT) - Test Video aufrufen
Probefahrt mit Mercedes EQC: Ein SUV mit viel Wumms und wenig Bodenfreiheit
Probefahrt mit Mercedes EQC
Ein SUV mit viel Wumms und wenig Bodenfreiheit

Mit dem EQC bietet nun auch Mercedes ein vollelektrisch angetriebenes SUV an. Golem.de hat auf einer Probefahrt getestet, ob das Elektroauto mit Audis E-Tron mithalten kann.
Ein Erfahrungsbericht von Friedhelm Greis

  1. Mercedes EQV Daimler zeigt elektrische Großraumlimousine
  2. Freightliner eCascadia Daimler bringt Elektro-Lkw mit 400 km Reichweite
  3. Mercedes-Sicherheitsstudie Mit der Lichtdusche gegen den Sekundenschlaf

OKR statt Mitarbeitergespräch: Wir müssen reden
OKR statt Mitarbeitergespräch
Wir müssen reden

Das jährliche Mitarbeitergespräch ist eines der wichtigsten Instrumente für Führungskräfte, doch es ist gerade in der IT-Branche nicht mehr unbedingt zeitgemäß. Aus dem Silicon Valley kommt eine andere Methode: OKR. Sie erfüllt die veränderten Anforderungen an Agilität und Veränderungsbereitschaft.
Von Markus Kammermeier

  1. IT-Arbeitsmarkt Jobgarantie gibt es nie
  2. IT-Fachkräftemangel Freie sind gefragt
  3. Sysadmin "Man kommt erst ins Spiel, wenn es brennt"

Google Game Builder ausprobiert: Spieldesign mit Karten statt Quellcode
Google Game Builder ausprobiert
Spieldesign mit Karten statt Quellcode

Bitte Bild wackeln lassen und dann eine Explosion: Solche Befehle als Reaktion auf Ereignisse lassen sich im Game Builder relativ einfach verketten. Der Spieleeditor des Google-Entwicklerteams Area 120 ist nicht nur für Einsteiger gedacht - sondern auch für Profis, etwa für die Erstellung von Prototypen.
Von Peter Steinlechner

  1. Spielebranche Immer weniger wollen Spiele in Deutschland entwickeln
  2. Aus dem Verlag Neue Herausforderungen für Spieler und Entwickler

    •  /