G Suite: Google verbessert Schutz vor Phishing

Google bietet seinen G-Suite-Kunden einen verbesserten Schutz vor den nach wie vor stark verbreiteten Phishing-Angriffen. Der Nachfolger von Apps for Work soll sicherer werden, indem G-Suite-Administratoren eine hardwarebasierte Zwei-Faktor-Authentifizierung erzwingen können. Das macht Security-Keys, die bisher nur eine Option für die Anmeldung waren, zum standardmäßigen zweiten Faktor. Administratoren können auch den Einsatz der Keys verwalten und Auswertungen zur Nutzung sichten.

„Zwei-Faktor-Authentifizierung nur mit einem Sicherheitskey bietet den höchstmöglichen Schutz vor Phishing“, argumentieren die für Googles Kontensicherheit verantwortlichen Produktmanager Christiaan Brand und Guemmy Kim in einem Blogeintrag. „Statt bei der Anmeldung einen einmaligen Code einzugeben, senden uns Security-Keys den kryptografischen Beweis, dass Nutzer auf einer zulässigen Google-Site sind und die Security-Keys bei sich haben. Da die meisten Angreifer aus der Ferne operieren, macht das ihre Bemühungen zunichte, weil sie nicht in den physischen Besitz des Sicherheitskeys kommen können.“

Google hebt außerdem die einfache Nutzung von Keys für die Sicherheit hervor, da sie einfach in den USB-Port eines Notebooks einzustecken sind, statt auf die Zusendung eines Codes zu warten und ihn einzugeben. Bei Mobilgeräten ist außerdem das Pairing mit Bluetooth oder NFC möglich. Neue Keys unterstützen auch Bluetooth Low Energy (BLE), die sowohl mit Android als auch iOS kompatibel sind.

„Wir haben festgestellt, dass Security-Keys ideal als zweite Faktoren sind, weil sie für eine Balance zwischen einfacher Nutzung und erhöhter Kontensicherheit sorgen“, zitiert Google Bryan Berg, der zum Sicherheitsteam des Bezahldienstes Stripe gehört. „Die Durchsetzung von Keys bei G Suite ist für uns eine Methode, um auf einfache Weise sichere Log-ins für alle Mitarbeiter zu erzwingen, sowohl auf ihrem Desktop als nun auch auf Mobilgeräten.“

Google hatte sein Engagement für hardwarebasierte Zwei-Faktor-Authentifizierung schon 2015 verstärkt. Der Security-Key bietet dem Unternehmen zufolge eine zusätzliche Schutzschicht, weil Kriminelle nicht einfach durch Phishing an ihn gelangen können. Die Security-Key-Hardware nutzt eine Public-Key-Infrastruktur namens Universal 2nd Factor (U2F), die von der FIDO Alliance stammt, in der auch Google Mitglied ist. Anders als bei SMS-Codes oder App-basierten Zwei-Faktor-Mechanismen wie Google Authenticator muss kein Code eingetippt werden.