Sicherheit geht vor: Salesforce besteht auf Multifaktor-Authentifizierung

Als führende Plattform für das Kundenbeziehungsmanagement ist Salesforce ein hervorragendes Ziel für Hacker, die es auf sensible Daten von Unternehmen aller Art abgesehen haben. Angesichts der Tatsache, dass die Anzahl von Cyberangriffen insgesamt immer weiter zunimmt, hat das Unternehmen Anfang des Jahres gezielt reagiert: Seit 1. Februar 2022 sind alle Kunden dazu verpflichtet, den Zugriff auf Salesforce-Produkte über eine Lösung zur Multifaktor-Authentifizierung (MFA) abzusichern.

Passwörter sind nach wie vor ein großer Risikofaktor

Das größte Problem mit Anmeldeinformationen besteht für viele Unternehmen darin, dass ihre Mitarbeiter dieselben Passwörter für viele geschäftliche und private Konten wiederverwenden. Laut Digital Shadows sind mittlerweile mehr als 15 Milliarden gestohlene Anmeldedaten in einschlägigen Foren verfügbar. Ein Vergleich stellt das Risiko in Relation: 61 Prozent der Bevölkerung nutzen Passwörter mehrfach – trotz besseren Wissens um die Gefahren. Die Wahrscheinlichkeit ist also relativ hoch, dass diese Unsitte auch in der eigenen Belegschaft weit verbreitet ist. Wie einfach Hacker diese Schwäche zum eigenen Vorteil ausspielen können, zeigt das Beispiel des Datendiebstahls bei Zoom im Jahr 2020: Hier wurden auf einen Schlag 500.000 Passwörter abgegriffen zum Verkauf angeboten. Im Gegensatz dazu ist die vom Passwort-Missbrauch ausgehende Gefahr bei Salesforce ungleich höher, da auf dieser Plattform die Beziehungsdaten der Kunden vieler Unternehmen vorgehalten und verwaltet werden.

Was die Salesforce-Vorgabe für Anwender bedeutet

Kunden von Salesforce und allen Produkten, die auf der Salesforce-Plattform aufbauen, sind vertraglich verpflichtet, die Multifaktor-Authentifizierung zu verwenden. Damit diese Vorgabe bereits ab September 2022 auf Kundenseite erfüllt wird, erfolgt die MFA-Aktivierung seitens Salesforce für alle Konten künftig automatisch.

Wer bereits eine MFA-Lösung wie beispielsweise WatchGuard AuthPoint im Einsatz hat, kann sich glücklich schätzen: Bestehende Lösungen können in Salesforce-Produkte integriert werden. Es ist nicht notwendig, auf die MFA-Funktionalität eines Salesforce-Produkts zu wechseln. Das verkürzt die Implementierungszeit und minimiert die Kosten.

Einrichtung von AuthPoint mit Salesforce

Die Integration von AuthPoint mit Salesforce ist einfach und lässt sich in wenigen Minuten durchführen. Der Salesforce Integrationsleitfaden von WatchGuard stellt Schritt-für-Schritt-Anweisungen für die Konfiguration von Salesforce, die Einrichtung von AuthPoint als Identity Provider (IdP), die Erstellung von Richtlinien sowie die Bereitstellung für die Anwender zur Verfügung. Darüber hinaus finden sich weitere Informationen im Video „Cybersecurity Insights: Salesforce Requires MFA“.

AuthPoint bietet darüber hinaus die Möglichkeit zum Single-Sign-On (SSO). Damit lässt sich der Zugriff auf Cloud-Anwendungen mit Multifaktor-Authentifizierung und einer WatchGuard Firebox kontrollieren – für deutlich mehr Schutz als bei der reinen Verwendung von Passwörtern.

Von Salesforce zugelassene MFA-Methoden

Das Salesforce MFA-FAQ beantwortet eine Vielzahl offener Fragen. Eine der häufigsten bezieht sich auf die generell zulässigen MFA-Methoden. Es ist bekannt, dass sich MFA-Verfahren auf Basis von SMS- oder E-Mail-OTP leicht umgehen lassen. Erst Anfang Februar fiel Vodafone Portugal einer Attacke der LAPSUS$-Gruppe zum Opfer. In diesem Fall wurden gestohlene Anmeldeinformationen und eine SIM-Austauschmethode genutzt, um SMS-OTP zu knacken. Daher lautet die Antwort auf die Frage „Können E-Mails, SMS oder Telefonanrufe als MFA-Verifizierungsmethoden verwenden werden?“ kategorisch Nein. Push-basierte Authentifizierungsmethoden bieten immer noch das beste Gleichgewicht zwischen Benutzerfreundlichkeit und Sicherheit.

Die passende MFA-Lösung von WatchGuard

Als eine der Top-Alternativen zur Salesforce MFA-Lösung hat die G2-Community AuthPoint von WatchGuard in die Liste der empfohlenen Anwendungen aufgenommen. Wer sich selbst einen Eindruck von AuthPoint verschaffen möchte: Hier geht es zur kostenlosen Demo.