Multi-Faktor-Authentifizierung wird Pflicht bei Google Cloud

In naher Zukunft müssen alle Nutzer der Google Cloud Platform (GCP) bei der Anmeldung nicht nur ihr Passwort eingeben, sondern auch einen zusätzlichen Code nutzen. Google plant diese Umstellung, um die Übernahme von Konten durch Angreifer zu erschweren. Die Einführung der obligatorischen Multi-Faktor-Authentifizierung (MFA) hat bereits begonnen und soll bis Ende 2025 für alle Nutzer verpflichtend sein.

Warum MFA bei Google Cloud eingeführt wird

Ein aktueller Blogbeitrag von Google erläutert die Gründe für diese Sicherheitsmaßnahme. Derzeit ist es für Angreifer vergleichsweise einfach, ein Konto zu kapern, wenn sie Zugriff auf die Login-Daten haben. Die alleinige Eingabe eines Passworts soll deshalb zukünftig nicht mehr ausreichen. Mit der Aktivierung von MFA ist zusätzlich ein Code erforderlich, der beispielsweise von einer Authenticator-App generiert wird. Damit wird verhindert, dass ein Angreifer mit nur einem Passwort auf ein Konto zugreifen kann.

Zeitrahmen und Umsetzung

Anfang 2025 plant Google den Start des Rollouts der Pflicht-MFA für bestehende Konten. Ab diesem Zeitpunkt können neue Nutzer nur noch mit Aktivierung der MFA ein Konto erstellen. Bis Jahresende 2025 soll das neue Anmeldeverfahren für alle Cloud-Nutzer verbindlich werden. Google arbeitet dabei eng mit Geschäftskunden und Identitätsanbietern zusammen, um den Übergang so reibungslos wie möglich zu gestalten. Aktuell nutzen bereits etwa 70 Prozent der Cloud-Kunden MFA.

Sicherheitsempfehlungen von Google

Google empfiehlt allen Endkunden, die Multi-Faktor-Authentifizierung schon vorab unter security.google.com zu aktivieren. Zusätzlich rät das Unternehmen dazu, auch für reguläre Google-Accounts die Zwei-Faktor-Authentifizierung (2FA) zu implementieren, um die Konten weiter abzusichern.

Weiterführende Sicherheitsmaßnahmen

Neben der Einführung der MFA arbeitet Google an weiteren Maßnahmen zum Schutz der Benutzerkonten. Eine davon ist die Einführung der Device Bound Session Credentials (DBSC), die den Diebstahl von Cookies und die damit verbundene Übernahme von Login-Sitzungen verhindern soll. Diese Neuerungen sollen die Sicherheit weiter verbessern und den Schutz vor unbefugtem Zugriff erhöhen.