Google: Sicherheitsabfragen taugen nichts

Die Google-Forscher Elie Bursztein und Ilan Caron haben Sicherheitsabfragen etwa nach „dem Namen Ihres ersten Haustiers“ statistisch untersucht und sind zu dem Ergebnis gekommen, dass sie eine Sicherheitsbedrohung sind, weil sie sich leicht erraten lassen. Wer aber eine unzutreffende Antwort wählt, wird sich mit großer Häufigkeit nicht daran erinnern.

Beispielsweise geben 19,7 Prozent der US-Amerikaner auf die Frage nach ihrer Lieblingsspeise „Pizza“ ein. Und eine fast doppelt so hohe Trefferquote erwartet einen Angreifer, der die Geburtsstadt eines Südkoreaners erraten soll: 38 Prozent geben offenbar an, aus Seoul zu kommen.

Die Frage nach der Geburtsstadt erweist sich im statistischen Mittel aber als eine der geeigneteren: Angreifer können sie zwar mit zehn Versuchen im Schnitt zu 6,9 Prozent lösen, aber immerhin erinnern sich die Anwender selbst zu 79 Prozent an ihre Angabe. (Ob diese wirklich zutraf, wurde nicht ermittelt.)

Als die zweiteinfachste Frage stellte sich die nach dem zweiten Vornamen des Vaters heraus: 74 Prozent der Nutzer erinnern sich an ihre Angabe, Angreifer können sie zu 14,6 Prozent mit zehn Versuchen erraten. Kombiniert ein Anbieter diese beiden Fragen, um Nutzer zu verifizieren, gelingt es 59 Prozent der Anwender, beide korrekt zu beantworten. Ein Prozent der Angreifer schafft das mit je zehn Versuchen pro Frage.

Google fragt Burzstein und Caron zufolge nie zwei solche Faktoren in Kombination ab – die Trefferquote der echten Anwender ist einfach zu gering. Grundsätzlich zweifeln sie am Wert dieser Methodik und empfehlen stattdessen Zwei-Faktor-Authentifizierung – etwa in Form einer SMS oder wenigstens einer E-Mail an ein zweites Konto des Nutzers.

Ihre Befunde präsentierten die Google-Forscher auf der 24. World Wide Web Conference in Florenz. Sie kamen demnach zu dem Schluss, dass es keine geheimen Fragen gibt, die sowohl sicher als auch leicht merkbar sind. Dabei gehen sie nicht einmal auf die Gefahr ein, dass Nutzer Antworten (etwa die Angabe der Geburtsstadt) unbewusst in Sozialen Netzen ausplaudern könnten, sondern gehen bei Rateversuchen rein von der Statistik aus.

Erratene oder auch recherchierte Antworten auf „geheime“ Sicherheitsabfragen waren eines der Mittel, mit dem Unbekannte im Herbst 2014 an iCloud-Konten von Prominenten und über diese an zahlreiche Nacktbild-Aufnahmen kommen konnten. Sie wurden mutmaßlich mit einem Skript automatisiert. Ein anderes Werkzeug lud die Daten gehackter Konten automatisch herunter. Apple hat seine Sicherheitsmaßnahmen seither verbessert, nutzt aber – wie viele Onlinedienste – weiter Sicherheitsabfragen.

[mit Material von Chris Matyszczyk, News.com]

Tipp: Kennen Sie die berühmtesten Hacker? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.