SMS-Authentifizierung
Eine Identifikation ist nur durch die Telefonnummer des Absenders möglich. So können SMS unter falschem Namen versendet werden (Phishing/Spoofing).
Keine MITRE Quellen vorhanden.
Details:
Zur Identifizierung wird die Telefonnummer des Absenders verwendet, was aber beim Senden einer SMS im PDU-Format frei eingetragen werden kann.
Quellen/Links:
Technische Quellen (Standards/Spezifikationen)
- GSM 04.11 / 3GPP TS 24.011 (Signalling protocol for SMS)
- GSM 03.40 / 3GPP TS 23.040 (Technical realization of SMS)
- 3GPP TS 24.011 (Point-to-Point SMS protocol)
- ETSI Standards Portal
Erkennung:
Eine verlässliche Erkennung des tatsächlichen SMS-Absenders ist am Endgerät in der Regel nicht möglich, weil die angezeigte Senderkennung manipulierbar sein kann. Praktisch bleiben vor allem Plausibilitätsprüfungen: unerwartete Absenderkennung, unpassende Link-Domain, ungewöhnlicher Zeitdruck oder die Aufforderung, Codes sofort weiterzugeben.
Eine belastbare technische Zuordnung ist typischerweise nur über Provider-Verkehrsdaten und forensische Auswertung möglich [1][2].
Quellen/Links:
Gegenmaßnahmen:
Für sicherheitskritische Authentifizierung sollte SMS nicht als alleiniger Faktor genutzt werden [3]. Robuster sind phishing-resistente Verfahren wie Passkeys/FIDO2 oder mindestens appbasierte TOTP-Verfahren.
Wenn SMS aus betrieblichen Gründen weiter genutzt werden muss, sollten Risiken reduziert werden: kurze Code-Gültigkeit, striktes Rate-Limiting, Transaktionsbindung des Codes, Anomalieerkennung und klare Nutzerhinweise gegen Social Engineering [4].
Quellen/Links:
