Das Katz und Maus-Spiel zwischen Hackern und Unternehmen wie Apple geht auch in Zeiten von Zwei-Faktor-Authentifizierung und vermeintlich sicheren Ziffernfolgen via SMS weiter. Wie Macworld berichtet, hat Apple nun eine Änderung an diesen Kurznachrichten vorgenommen. Die SMS sehen auf den ersten Blick etwas kryptisch aus und könnten dich möglicherweise verunsichern, ob diese wirklich von Apple stammen.
Die Änderung soll jedoch dabei helfen, die Sicherheit zu erhöhen und dich gegen Phishing-Versuche zu schützen. Diese Anpassung arbeitet im Zusammenhang mit der in iOS integrierten Erkennung von SMS mit Zwei-Faktor-Code, die du dann ganz einfach über die Tastatur einfügen kannst. Es ist also denkbar, dass auch andere Unternehmen in Zukunft eine derartige Änderung vornehmen werden.
Neuartige Zwei-Faktor-SMS von Apple: So sehen sie aus
Schon seit einiger Zeit erlaubt der iPhone-Hersteller die Absicherung deiner Apple-ID mit einem weiteren Faktor. Willst du dich also beispielsweise auf icloud.com anmelden, um deine Mails zu lesen, musst du dann nicht nur deine E-Mail-Adresse und Passwort angeben. Es ist auch die Angabe einer sechsstelligen Ziffernfolge nötig. Diese bekommst du entweder direkt über einen Hinweis in iOS oder per SMS.
Die alten SMS von Apple beinhalteten lediglich den sechsstelligen Code und eine Warnung vor dem Teilen mit anderen. Die neuartigen SMS erhalten nun jedoch noch weitere Informationen, die die Sicherheit erhöhen sollen:
Wie im Bild zu erkennen ist, hat Apple die SMS noch um die Kürzel „@apple.com #669799 %apple.com“ erweitert. Die Änderung hatte der iPhone-Hersteller bereits im August 2020 in einer Entwicklernachricht erwähnt. Das Feature ist seit iOS 14 und macOS Big Sur Teil der Betriebssysteme.
Einige Hacker versuchen durch vorgetäuschte Webseiten, diese Sicherheitscodes abzufangen, um so Zugriff auf einen geschützten Account des Nutzers zu gelangen. Die vereinfachte Eingabe der Ziffernfolgen in aktuellen iOS-Versionen mit nur einer Fingerbewegung hat aber einen Nachteil. Wenn iOS eine SMS mit einem 2FA-Code erkannt hatte, machte diese Erleichterung ein Phishing ebenfalls etwas einfacher.
Die letzte Zeile in den Kurznachrichten soll genau vor diesem Vortäuschen durch gefälschte Webseiten schützen. Wenn die Adresse im Browser nicht mit den Informationen in der SMS übereinstimmt, zeigt iOS den Code nicht länger direkt oberhalb der Tastatur an. Das Übersenden eines legitimen Zwei-Faktor-Codes an eine gefälschte Webseite wird damit etwas unwahrscheinlicher.
Achtung, wenn kein Code-Vorschlag angezeigt wird
Wenn du dich also in Zukunft auf einer Webseite mit aktiver Zwei-Faktor-Authentifizierung anmelden willst und dir der per SMS eingegangene Code nicht automatisch in der Tastatur angezeigt wird, solltest du vorsichtig sein. Möglicherweise handelt es sich um eine gefälschte Webseite, die diesen Code abfangen will. In diesem Fall solltest du die Adresse der Webseite noch einmal genauer untersuchen.
