Abo
  • IT-Karriere:

Mobile Connect: Mobilfunkbetreiber starten passwortlosen Login-Dienst

Ausgerechnet per SMS wollen die Mobilfunkbetreiber Telekom, Vodafone und Telefónica das Passwort beim Login ersetzen. Mit Verimi nutzt ein erster Single-Sign-on-Dienst das neue Verfahren.

Artikel veröffentlicht am , /
Mobile Connect lässt sich bei Verimi bereits aktivieren.
Mobile Connect lässt sich bei Verimi bereits aktivieren. (Bild: Verimi/Screenshot: Golem.de)

Die deutschen Mobilfunknetzbetreiber starten gemeinsam ein Login-Verfahren über die Handynummer. Das gaben die Deutsche Telekom, Vodafone und Telefónica am 12. August 2019 bekannt. Mobile Connect verzichtet beim Login auf Passwörter.

Stellenmarkt
  1. dSPACE GmbH, Paderborn
  2. Wirecard Technologies GmbH, Aschheim bei München

Nach Eingabe der Mobilfunknummer im Internet wird eine SMS an das Handy des Kunden geschickt. Mit dem Link in der Textnachricht muss der Nutzer über sein Smartphone den Erhalt bestätigen. Damit überträgt der Netzbetreiber eine "pseudonymisierte Kundenreferenznummer" an den Portalbetreiber. So könne der Betreiber den Kunden zuordnen und gewährt ohne Passwort Zugang zum Onlineshop. Mobile Connect lässt sich als zweiter Faktor zusätzlich zum Passwort nutzen.

Mit der im Jahr 2017 gegründeten Plattform Verimi haben die Mobilfunkanbieter einen Partner für Mobile Connect in Deutschland. Verimi integriert Mobile Connect in ihr Angebot, um Kunden die zusätzliche Anmeldung per Mobilfunkrufnummer zu bieten.

"Sichere Alternative" zu Facebook und Google

Die Mobilfunkbetreiber bezeichnen das Verfahren als "sichere Alternative zu den passwortbasierten Login-Verfahren auf Facebook, Google, Amazon und Co". Der übliche Zugang per Nutzername und Passwort sei "umständlich und birgt Risiken".

Bei Verimi lässt sich der Dienst bereits aktivieren. Dabei wird zunächst die Handynummer "zur Zuordnung an einen Dienstleister der beteiligten Mobilfunkanbieter übermittelt", worauf ohne Speicherung personenbezogener Daten die "Netzzugehörigkeit gegenüber Verimi mitgeteilt" werde, heißt es. Im zweiten Schritt würden diese Daten an den Mobilfunkanbieter weitergeleitet, bei dem Mobile Connect aktiviert werden könne.

SMS gelten als unsicher

Problematisch an dem Verfahren ist jedoch, dass das SMS-Verfahren alles andere als sicher ist. Häufig werden Smartphones oder Handys nur unzureichend gesperrt beziehungsweise SMS auch auf dem Sperrbildschirm angezeigt. Kann ein Angreifer - wenn auch nur für kurze Zeit - Zugriff auf das Mobiltelefon einer Person erlangen, kann er in diesem Moment den Passwort-zurücksetzen-Prozess starten und die SMS mit dem Zurücksetz-Code oder -Link abfangen.

Das Abfangen der SMS ist jedoch auch aus der Ferne möglich: Ein Angreifer muss sich hierzu Zugang zum SS7-Netzwerk (Signalling System #7) verschaffen. Über die SS7-Protokolle vermitteln Provider Anrufe, SMS und Daten von einem Netz in das nächste. Ohne SS7 wäre zum Beispiel Roaming nicht möglich. Ursprünglich hatten nur staatlich kontrollierte Telefonanbieter Zugang zu diesem Netzwerk, mittlerweile können sich Firmen in dieses einkaufen - und ihre Zugänge weitervermieten. Auch Kriminelle können sich Zugang zum Netzwerk verschaffen.

Online-Banking mit Verimi möglich

Bereits 2014 wurde auf dem Hackerkongress 31C3 in mehreren Vorträgen gezeigt, was mit einem SS7-Zugang alles möglich ist: Handynutzer orten, SMS mitlesen, Gespräche abhören, Rufnummern umleiten, Telefone blockieren. 2017 wurde das SS7-Netzwerk von Kriminellen dazu genutzt, Bankkonten zu leeren. Sie leiteten die Bestätigungs-SMS mitsamt der mTAN auf ihre eigenen Mobilfunktelefonnummern um. Dieser Trick kann auch zum Zurücksetzen von E-Mail- oder Social-Media-Konten verwendet werden. Hat ein Angreifer Zugriff auf das SS7-Netzwerk, kann er die Zurücksetz-SMS auf seine Mobilfunknummer umleiten und die Konten übernehmen.

In Deutschland konkurrieren derzeit Verimi, NetID und ID4me als sogenannte Single-Sign-on-Lösungen. Im Gegensatz zu NetID lässt sich Verimi für Anwendungen nutzen, die einen hohen Sicherheitsstandard erfordern. So können sich Kunden der Deutschen Bank über den Dienst sogar in das Online-Banking einloggen. Zudem ist es möglich, die beim Online-Banking der Deutschen Bank hinterlegten und verifizierten Ausweisdokumente auf Verimi zu übertragen und anschließend für die Authentifizierung bei anderen Finanzdiensten wie der Allianz zu nutzen. Daher könnte es für Kriminelle besonders attraktiv sein, einen Verimi-Account mit Hilfe von Mobile Connect zu hacken.



Anzeige
Spiele-Angebote
  1. 4,99€
  2. 0,49€
  3. 69,99€ (Release am 21. Februar 2020, mit Vorbesteller-Preisgarantie)
  4. (-80%) 5,99€

Gole-mAndI 13. Aug 2019

Hätten sie dann nicht wenigstens PushTan nutzen können? Finde ich zwar auch alles andere...

My1 13. Aug 2019

lol und true. chiptan4ever

wollid 13. Aug 2019

Vor allem der Aufwand der betrieben wird, uns den Zugang zu eigenen Daten und Geräten...

dododo 13. Aug 2019

Wieder was gelernt, nutze WA nicht, war daher nicht auf dem aktuellen Stand. Kenne jedoch...

My1 13. Aug 2019

die pseudonymfunktion gibts ja auch, und die wäre doch perfekt


Folgen Sie uns
       


Samsungs 49-Zoll-QLED-Gaming-Monitor - Test

Der Samsung CRG9 ist nicht nur durch sein 32:9-Format beeindruckend. Auch die hohe Bildfrequenz und sehr gute Helligkeit ermöglichen ein sehr immersives Gaming und viel Platz für Multitasking.

Samsungs 49-Zoll-QLED-Gaming-Monitor - Test Video aufrufen
Atari Portfolio im Retrotest: Endlich können wir unterwegs arbeiten!
Atari Portfolio im Retrotest
Endlich können wir unterwegs arbeiten!

Ende der 1980er Jahre waren tragbare PCs nicht gerade handlich, der Portfolio von Atari war eine willkommene Ausnahme: Der erste Palmtop-Computer der Welt war klein, leicht und weitestgehend DOS-kompatibel - ideal für Geschäftsreisende aus dem Jahr 1989 und Nerds aus dem Jahr 2019.
Ein Test von Tobias Költzsch

  1. Retrokonsole Hauptverantwortlicher des Atari VCS schmeißt hin

Mädchen und IT: Fehler im System
Mädchen und IT
Fehler im System

Bis zu einem gewissen Alter sind Jungen und Mädchen gleichermaßen an Technik interessiert. Wenn es dann aber um die Berufswahl geht, entscheiden sich immer noch viel mehr junge Männer als Frauen für die IT. Ein wichtiger Grund dafür ist in der Schule zu suchen.
Von Valerie Lux

  1. IT an Schulen Intelligenter Stift zeichnet Handschrift von Schülern auf
  2. 5G Milliardenlücke beim Digitalpakt Schule droht
  3. Medienkompetenz Was, Ihr Kind kann nicht programmieren?

Minecraft Earth angespielt: Die Invasion der Klötzchen
Minecraft Earth angespielt
Die Invasion der Klötzchen

Kämpfe mit Skeletten im Stadtpark, Begegnungen mit Schweinchen im Einkaufszentrum: Golem.de hat Minecraft Earth ausprobiert. Trotz Sammelaspekten hat das AR-Spiel ein ganz anderes Konzept als Pokémon Go - aber spannend ist es ebenfalls.
Von Peter Steinlechner

  1. Microsoft Minecraft hat 112 Millionen Spieler im Monat
  2. Machine Learning Facebooks KI-Assistent hilft beim Bau von Minecraft-Werken
  3. Nvidia Minecraft bekommt Raytracing statt Super-Duper-Grafik

    •  /