Administrative Rechte sollten nur kurzzeitig und gezielt für Aufgaben wie Software-Installationen aktiviert werden, z. B. via sudo oder UAC.

Wird versehentlich Schadsoftware ausgeführt, erbt sie nur die eingeschränkten Rechte des angemeldeten Nutzers.

PoLP schützt zuverlässig auch dann, wenn Nutzer Warnmeldungen unüberlegt bestätigen.

Eine unerwartete Anfrage nach dem Administrator-Passwort sollte als mögliches Warnsignal für einen laufenden Angriff verstanden werden.

Auch IT-Administratoren sollten für die tägliche Arbeit dauerhaft mit Administratorrechten angemeldet sein, um Zeit zu sparen.

Nutzer sollten ihre tägliche Arbeit mit eingeschränkten Standard-Benutzerkonten verrichten.

Der Vorfall zeigt, dass grundsätzlich jede Form von 2FA nutzlos gegen Phishing ist.

Da die SMS-2FA kompromittiert wurde, ist automatisch auch das Administratorkonto des Mitarbeiters vollständig kompromittiert, unabhängig vom Prinzip der minimalen Rechte.

FIDO2 hätte den Vorfall nicht verhindert, da auch Sicherheitsschlüssel abfangbare Einmalcodes verwenden.

Ein FIDO2-Schlüssel hätte den Login auf der gefälschten Proxy-Domain verweigert, da die Signatur nur für die echte Domain gültig ist.

Der geplante FIDO2-Rollout schützt gezielt vor Zugangsdaten-Phishing und Session-Diebstahl, ersetzt aber keine anderen Schutzmaßnahmen wie Endpoint-Security gegen Schadsoftware.

Der Vorfall gelang, weil die SMS-2FA nicht kryptografisch an die aufgerufene Domain gebunden ist und der Angreifer Code sowie Sitzungs-Cookie in Echtzeit übernehmen konnte.

SMS- und TOTP-Codes sind kryptografisch an die aufgerufene Domain gebunden.

Der Schutz von 2FA beschränkt sich darauf, dass sich ein Angreifer nicht beliebig oft erneut einloggen kann, was bei Echtzeitangriffen irrelevant ist.

Eine Proxy-Webseite des Angreifers leitet Passwort und 2FA-Code in Echtzeit an den echten Dienst weiter und übernimmt das gültige Sitzungs-Cookie.

2FA-Codes können von einem AiTM-Proxy grundsätzlich nicht abgefangen werden.

Nach einem erfolgreichen AiTM-Angriff hat der Angreifer nur eingeschränkten, schreibgeschützten Zugriff.