Gefälschte Nachrichten in Form von täuschend echt aussehenden Emails, Sozial-Media-Nachrichten oder anderen Kommunikationskanälen werden an potentielle Opfer geschickt. Durch das Ausüben von Druck oder das Vorgeben einer gefälschten Identität (z.B. Geschäftsführer) manipulieren die Angreifer Opfer, dass diese die vertraulichen Informationen preisgeben, woraufhin diese für kriminelle Aktivitäten genutzt wird. Sehr häufig wird beim Phishing Malware installiert, und komplette Firmennetzwerke infiltriert und infiziert. Fast 90% aller Unternehmen wurden 2023 Opfer solcher Methoden – Tendenz steigend. Der Schadensumme kann schnell Millionenhöhe erreichen, auch bei kleinen- und Mittelständischen Unternehmen.
Eine der effektivsten Methoden, sich gegen solche Bedrohungen zu schützen, ist die Multifaktorauthentifizierung (MFA). Anstatt für die Anmeldung Benutzername und Passwort zu verwenden, ist ein zusätzlicher Faktor erforderlich, ohne diesen die Anmeldung nicht funktioniert.
Auf dem Markt gibt es hierfür verschiedene Methoden mit unterschiedlicher Wirksamkeit: Diese reichen von Einmalpasswörtern (One Time Password), über biometrische Daten (Gesichtserkennung, Fingerabdruck) oder auch physische Hardware Tokens.
Letztere gilt als eine der sichersten Methoden für die Multifaktor-Authentifizierung. Mittels eines Hardware Tokens, welcher optische einem USB Stick gleicht und physisch für die Anmeldung vorhanden sein muss, beispielsweise eingesteckt im PC, wird eine zusätzliche Sicherheitsebene geschaffen. Um die Authentifizierung am System vorzunehmen müsste der Angreifer den Hardware Token selbst in den Händen halten, den dazugehörigen PIN Wissen und diesen ins System einstecken. Dies macht für den Angreifer einen Hacking Versuch durch Fernzugriff auf das System nahe zu unmöglich.
Ein Hardware Token bietet im Vergleich zu softwaregestützten Authentifizierungsverfahren den Vorteil, dass dieser physikalisch gesteckt sein muss. Anders sieht es bei Authentifizierungs Apps aus, welche Einmalpasswörter liefern: OTPs sind anfällig für Man-in-the-Middle Angriffe, können von Hackern für Phishing missbraucht werden oder dem Angreifer einfach persönlich mitgeteilt werden.
