Mobile Connect: Mobilfunkbetreiber starten passwortlosen Login-Dienst

Ausgerechnet per SMS wollen die Mobilfunkbetreiber Telekom, Vodafone und Telefónica das Passwort beim Login ersetzen. Mit Verimi nutzt ein erster Single-Sign-on-Dienst das neue Verfahren.

Artikel veröffentlicht am 12. August 2019, 15:31 Uhr, Achim Sawall/Friedhelm Greis

Mobile Connect lässt sich bei Verimi bereits aktivieren. (Bild: Verimi/Screenshot: Golem.de)

Die deutschen Mobilfunknetzbetreiber starten gemeinsam ein Login-Verfahren über die Handynummer. Das gaben die Deutsche Telekom, Vodafone und Telefónica am 12. August 2019 bekannt. Mobile Connect verzichtet beim Login auf Passwörter.

Nach Eingabe der Mobilfunknummer im Internet wird eine SMS an das Handy des Kunden geschickt. Mit dem Link in der Textnachricht muss der Nutzer über sein Smartphone den Erhalt bestätigen. Damit überträgt der Netzbetreiber eine "pseudonymisierte Kundenreferenznummer" an den Portalbetreiber. So könne der Betreiber den Kunden zuordnen und gewährt ohne Passwort Zugang zum Onlineshop. Mobile Connect lässt sich als zweiter Faktor zusätzlich zum Passwort nutzen.

Mit der im Jahr 2017 gegründeten Plattform Verimi haben die Mobilfunkanbieter einen Partner für Mobile Connect in Deutschland. Verimi integriert Mobile Connect in ihr Angebot, um Kunden die zusätzliche Anmeldung per Mobilfunkrufnummer zu bieten.

"Sichere Alternative" zu Facebook und Google

Die Mobilfunkbetreiber bezeichnen das Verfahren als "sichere Alternative zu den passwortbasierten Login-Verfahren auf Facebook, Google, Amazon und Co". Der übliche Zugang per Nutzername und Passwort sei "umständlich und birgt Risiken".

Bei Verimi lässt sich der Dienst bereits aktivieren. Dabei wird zunächst die Handynummer "zur Zuordnung an einen Dienstleister der beteiligten Mobilfunkanbieter übermittelt", worauf ohne Speicherung personenbezogener Daten die "Netzzugehörigkeit gegenüber Verimi mitgeteilt" werde, heißt es. Im zweiten Schritt würden diese Daten an den Mobilfunkanbieter weitergeleitet, bei dem Mobile Connect aktiviert werden könne.

SMS gelten als unsicher

Problematisch an dem Verfahren ist jedoch, dass das SMS-Verfahren alles andere als sicher ist. Häufig werden Smartphones oder Handys nur unzureichend gesperrt beziehungsweise SMS auch auf dem Sperrbildschirm angezeigt. Kann ein Angreifer - wenn auch nur für kurze Zeit - Zugriff auf das Mobiltelefon einer Person erlangen, kann er in diesem Moment den Passwort-zurücksetzen-Prozess starten und die SMS mit dem Zurücksetz-Code oder -Link abfangen.

Das Abfangen der SMS ist jedoch auch aus der Ferne möglich: Ein Angreifer muss sich hierzu Zugang zum SS7-Netzwerk (Signalling System #7) verschaffen. Über die SS7-Protokolle vermitteln Provider Anrufe, SMS und Daten von einem Netz in das nächste. Ohne SS7 wäre zum Beispiel Roaming nicht möglich. Ursprünglich hatten nur staatlich kontrollierte Telefonanbieter Zugang zu diesem Netzwerk, mittlerweile können sich Firmen in dieses einkaufen - und ihre Zugänge weitervermieten. Auch Kriminelle können sich Zugang zum Netzwerk verschaffen.

Online-Banking mit Verimi möglich

Bereits 2014 wurde auf dem Hackerkongress 31C3 in mehreren Vorträgen gezeigt, was mit einem SS7-Zugang alles möglich ist: Handynutzer orten, SMS mitlesen, Gespräche abhören, Rufnummern umleiten, Telefone blockieren. 2017 wurde das SS7-Netzwerk von Kriminellen dazu genutzt, Bankkonten zu leeren. Sie leiteten die Bestätigungs-SMS mitsamt der mTAN auf ihre eigenen Mobilfunktelefonnummern um. Dieser Trick kann auch zum Zurücksetzen von E-Mail- oder Social-Media-Konten verwendet werden. Hat ein Angreifer Zugriff auf das SS7-Netzwerk, kann er die Zurücksetz-SMS auf seine Mobilfunknummer umleiten und die Konten übernehmen.

In Deutschland konkurrieren derzeit Verimi, NetID und ID4me als sogenannte Single-Sign-on-Lösungen. Im Gegensatz zu NetID lässt sich Verimi für Anwendungen nutzen, die einen hohen Sicherheitsstandard erfordern. So können sich Kunden der Deutschen Bank über den Dienst sogar in das Online-Banking einloggen. Zudem ist es möglich, die beim Online-Banking der Deutschen Bank hinterlegten und verifizierten Ausweisdokumente auf Verimi zu übertragen und anschließend für die Authentifizierung bei anderen Finanzdiensten wie der Allianz zu nutzen. Daher könnte es für Kriminelle besonders attraktiv sein, einen Verimi-Account mit Hilfe von Mobile Connect zu hacken.