• IT-Karriere:
  • Services:

Mobile Connect: Mobilfunkbetreiber starten passwortlosen Login-Dienst

Ausgerechnet per SMS wollen die Mobilfunkbetreiber Telekom, Vodafone und Telefónica das Passwort beim Login ersetzen. Mit Verimi nutzt ein erster Single-Sign-on-Dienst das neue Verfahren.

Artikel veröffentlicht am , /
Mobile Connect lässt sich bei Verimi bereits aktivieren.
Mobile Connect lässt sich bei Verimi bereits aktivieren. (Bild: Verimi/Screenshot: Golem.de)

Die deutschen Mobilfunknetzbetreiber starten gemeinsam ein Login-Verfahren über die Handynummer. Das gaben die Deutsche Telekom, Vodafone und Telefónica am 12. August 2019 bekannt. Mobile Connect verzichtet beim Login auf Passwörter.

Stellenmarkt
  1. Proximity Technology GmbH, Düsseldorf
  2. AOK Niedersachsen, Hannover

Nach Eingabe der Mobilfunknummer im Internet wird eine SMS an das Handy des Kunden geschickt. Mit dem Link in der Textnachricht muss der Nutzer über sein Smartphone den Erhalt bestätigen. Damit überträgt der Netzbetreiber eine "pseudonymisierte Kundenreferenznummer" an den Portalbetreiber. So könne der Betreiber den Kunden zuordnen und gewährt ohne Passwort Zugang zum Onlineshop. Mobile Connect lässt sich als zweiter Faktor zusätzlich zum Passwort nutzen.

Mit der im Jahr 2017 gegründeten Plattform Verimi haben die Mobilfunkanbieter einen Partner für Mobile Connect in Deutschland. Verimi integriert Mobile Connect in ihr Angebot, um Kunden die zusätzliche Anmeldung per Mobilfunkrufnummer zu bieten.

"Sichere Alternative" zu Facebook und Google

Die Mobilfunkbetreiber bezeichnen das Verfahren als "sichere Alternative zu den passwortbasierten Login-Verfahren auf Facebook, Google, Amazon und Co". Der übliche Zugang per Nutzername und Passwort sei "umständlich und birgt Risiken".

Bei Verimi lässt sich der Dienst bereits aktivieren. Dabei wird zunächst die Handynummer "zur Zuordnung an einen Dienstleister der beteiligten Mobilfunkanbieter übermittelt", worauf ohne Speicherung personenbezogener Daten die "Netzzugehörigkeit gegenüber Verimi mitgeteilt" werde, heißt es. Im zweiten Schritt würden diese Daten an den Mobilfunkanbieter weitergeleitet, bei dem Mobile Connect aktiviert werden könne.

SMS gelten als unsicher

Problematisch an dem Verfahren ist jedoch, dass das SMS-Verfahren alles andere als sicher ist. Häufig werden Smartphones oder Handys nur unzureichend gesperrt beziehungsweise SMS auch auf dem Sperrbildschirm angezeigt. Kann ein Angreifer - wenn auch nur für kurze Zeit - Zugriff auf das Mobiltelefon einer Person erlangen, kann er in diesem Moment den Passwort-zurücksetzen-Prozess starten und die SMS mit dem Zurücksetz-Code oder -Link abfangen.

Das Abfangen der SMS ist jedoch auch aus der Ferne möglich: Ein Angreifer muss sich hierzu Zugang zum SS7-Netzwerk (Signalling System #7) verschaffen. Über die SS7-Protokolle vermitteln Provider Anrufe, SMS und Daten von einem Netz in das nächste. Ohne SS7 wäre zum Beispiel Roaming nicht möglich. Ursprünglich hatten nur staatlich kontrollierte Telefonanbieter Zugang zu diesem Netzwerk, mittlerweile können sich Firmen in dieses einkaufen - und ihre Zugänge weitervermieten. Auch Kriminelle können sich Zugang zum Netzwerk verschaffen.

Online-Banking mit Verimi möglich

Bereits 2014 wurde auf dem Hackerkongress 31C3 in mehreren Vorträgen gezeigt, was mit einem SS7-Zugang alles möglich ist: Handynutzer orten, SMS mitlesen, Gespräche abhören, Rufnummern umleiten, Telefone blockieren. 2017 wurde das SS7-Netzwerk von Kriminellen dazu genutzt, Bankkonten zu leeren. Sie leiteten die Bestätigungs-SMS mitsamt der mTAN auf ihre eigenen Mobilfunktelefonnummern um. Dieser Trick kann auch zum Zurücksetzen von E-Mail- oder Social-Media-Konten verwendet werden. Hat ein Angreifer Zugriff auf das SS7-Netzwerk, kann er die Zurücksetz-SMS auf seine Mobilfunknummer umleiten und die Konten übernehmen.

In Deutschland konkurrieren derzeit Verimi, NetID und ID4me als sogenannte Single-Sign-on-Lösungen. Im Gegensatz zu NetID lässt sich Verimi für Anwendungen nutzen, die einen hohen Sicherheitsstandard erfordern. So können sich Kunden der Deutschen Bank über den Dienst sogar in das Online-Banking einloggen. Zudem ist es möglich, die beim Online-Banking der Deutschen Bank hinterlegten und verifizierten Ausweisdokumente auf Verimi zu übertragen und anschließend für die Authentifizierung bei anderen Finanzdiensten wie der Allianz zu nutzen. Daher könnte es für Kriminelle besonders attraktiv sein, einen Verimi-Account mit Hilfe von Mobile Connect zu hacken.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Hardware-Angebote
  1. 33€ (Bestpreis!)
  2. 109€ (auch bei Saturn & Media Markt)

Gole-mAndI 13. Aug 2019

Hätten sie dann nicht wenigstens PushTan nutzen können? Finde ich zwar auch alles andere...

My1 13. Aug 2019

lol und true. chiptan4ever

wollid 13. Aug 2019

Vor allem der Aufwand der betrieben wird, uns den Zugang zu eigenen Daten und Geräten...

dododo 13. Aug 2019

Wieder was gelernt, nutze WA nicht, war daher nicht auf dem aktuellen Stand. Kenne jedoch...

My1 13. Aug 2019

die pseudonymfunktion gibts ja auch, und die wäre doch perfekt


Folgen Sie uns
       


Ausblendbare Kamera von Oneplus - Hands on (CES 2020)

Das Concept One ist das erste Konzept-Smartphone von Oneplus - und dient dazu, die ausblendbare Kamera zu demonstrieren.

Ausblendbare Kamera von Oneplus - Hands on (CES 2020) Video aufrufen
    •  /