Ein Mitarbeiter im Vertrieb klickt auf eine täuschend echte Microsoft-Anmeldeseite und gibt sein Passwort ein. Ohne zweiten Faktor hat der Angreifer jetzt Zugriff auf Postfach, Kundendaten und Teams-Chats, und kann von dort aus weitere Kollegen und Kunden angreifen. Mit Multi-Faktor-Authentifizierung wäre das gestohlene Passwort allein wertlos gewesen.
Multi-Faktor-Authentifizierung, kurz MFA, gehört zu den wirksamsten und gleichzeitig günstigsten Schutzmaßnahmen überhaupt. Für Unternehmen, die unter NIS2 fallen, ist sie sogar ausdrücklich gesetzlich vorgesehen. Trotzdem ist sie in vielen Unternehmen noch lückenhaft eingeführt, oft genau an den Stellen, an denen sie am dringendsten gebraucht wird.
In diesem Beitrag erfahren Sie, was MFA ist, welche Faktoren und Verfahren es gibt, wie sicher sie im Vergleich sind, wie Angreifer MFA umgehen, welche Rolle Passkeys spielen und wie Sie MFA im Unternehmen sinnvoll einführen.
Was ist Multi-Faktor-Authentifizierung?
Multi-Faktor-Authentifizierung ist ein Anmeldeverfahren, bei dem eine Person ihre Identität mit mindestens zwei voneinander unabhängigen Nachweisen bestätigt, bevor sie Zugriff erhält. Werden genau zwei Faktoren kombiniert, spricht man von Zwei-Faktor-Authentifizierung, kurz 2FA. Das BSI verwendet häufig den Begriff Zwei-Faktor-Authentisierung. Gemeint ist im Kern dasselbe.
Der Grundgedanke ist einfach: Ein Angreifer müsste mehrere unterschiedliche Dinge gleichzeitig erbeuten. Ein Passwort lässt sich durch Phishing oder ein Datenleck stehlen. Ein Smartphone oder einen Sicherheitsschlüssel aus der Ferne zu entwenden, ist deutlich schwieriger.
Die drei Faktorarten
| Faktor | Beschreibung | Beispiele |
|---|---|---|
| Wissen | etwas, das nur die Person weiß | Passwort, PIN, Sicherheitsfrage |
| Besitz | etwas, das nur die Person hat | Smartphone mit Authenticator-App, Hardware-Token, Chipkarte, Mitarbeiterausweis |
| Inhärenz | etwas, das die Person ist | Fingerabdruck, Gesichtserkennung |
Wichtig: Zwei Faktoren aus derselben Kategorie, etwa Passwort und Sicherheitsfrage, gelten laut BSI nicht als unabhängig. Echte MFA kombiniert verschiedene Kategorien.
Kontextfaktoren und kontinuierliche Authentifizierung
Moderne Systeme beziehen zusätzlich den Kontext ein: Standort, Gerät, Uhrzeit, Netzwerk. Eine Anmeldung vom bekannten Firmenlaptop im Büro wird anders bewertet als eine aus einem unbekannten Land um drei Uhr nachts. Einen Schritt weiter geht die kontinuierliche Authentifizierung, die das Verhalten während einer Sitzung beobachtet und bei Auffälligkeiten zusätzliche Bestätigungen verlangt oder die Sitzung beendet. Das BSI weist darauf hin, dass sie reagiert und eine Kompromittierung nicht verhindern, sondern nur deren Folgen begrenzen kann.
Warum Passwörter allein nicht mehr reichen
Passwörter haben ein Grundproblem: Sie lassen sich kopieren. Wer ein Passwort kennt, kann sich damit von überall auf der Welt anmelden, und der rechtmäßige Inhaber merkt davon zunächst nichts. Typische Wege, auf denen Passwörter in falsche Hände geraten:
- Phishing: Gefälschte Anmeldeseiten sehen heute oft perfekt aus, sprachlich wie optisch, nicht zuletzt durch KI-generierte Texte.
- Datenlecks bei anderen Diensten: Wer dasselbe Passwort mehrfach nutzt, macht jedes Leck zu einem Risiko für das Firmenkonto.
- Schadsoftware: Sogenannte Infostealer lesen gespeicherte Passwörter aus dem Browser aus und verkaufen sie weiter.
- Erraten und Ausprobieren: Schwache oder häufig verwendete Passwörter werden automatisiert durchprobiert.
Lange, einzigartige Passwörter und ein Passwortmanager senken das Risiko deutlich, beseitigen es aber nicht. Gegen Phishing und Infostealer hilft ein starkes Passwort nur wenig. Genau deshalb braucht es einen zweiten Faktor, der sich nicht einfach kopieren lässt.
So funktioniert eine MFA-Anmeldung
- Die Person gibt Benutzernamen und Passwort ein.
- Das System prüft das Passwort und fordert einen zweiten Faktor an.
- Die Person bestätigt den zweiten Faktor, etwa durch einen Code aus der Authenticator-App, eine Bestätigung auf dem Smartphone oder einen Sicherheitsschlüssel.
- Erst wenn beide Faktoren stimmen, wird der Zugriff gewährt.
Bei passwortlosen Verfahren entfällt der erste Schritt: Die Anmeldung erfolgt direkt mit einem Gerät oder Schlüssel, entsperrt durch PIN oder Biometrie. Auch das ist eine Form der Multi-Faktor-Authentifizierung, weil Besitz und Wissen oder Inhärenz kombiniert werden.
MFA-Verfahren im Sicherheitsvergleich
Nicht jede Form von MFA schützt gleich gut. Das BSI hat die gängigen Verfahren in einem Vergleich der 2FA-Verfahren bewertet. Vereinfacht ergibt sich folgendes Bild:
| Verfahren | Sicherheit | Schutz vor Echtzeit-Phishing | Einsatz im Unternehmen |
|---|---|---|---|
| SMS- oder E-Mail-Code | gering bis mittel | nein | nur als Notlösung |
| Code aus Authenticator-App (TOTP) | mittel | nein | verbreiteter Standard, besser als SMS |
| Push-Bestätigung in einer App | mittel | eingeschränkt | komfortabel, aber anfällig für MFA-Müdigkeit, besser mit Zahlenabgleich |
| Hardware-Token, Chipkarte | hoch | je nach Verfahren | Administratoren, besonders schützenswerte Zugänge |
| FIDO2-Sicherheitsschlüssel und gerätegebundene Passkeys | sehr hoch | ja | Ziel für alle kritischen Zugänge |
Der wichtigste Unterschied liegt in der letzten Spalte. Codes per SMS oder App können von einer gefälschten Anmeldeseite in Echtzeit abgefangen und weitergereicht werden. FIDO2-Schlüssel und Passkeys sind dagegen an die echte Website gebunden. Eine Fälschung kann mit ihnen nichts anfangen. Fachleute sprechen deshalb von phishingresistenter MFA.
Wie Angreifer MFA umgehen
MFA ist kein Allheilmittel. Angreifer haben sich darauf eingestellt und nutzen vor allem diese Methoden:
- Echtzeit-Phishing: Eine gefälschte Anmeldeseite leitet Passwort und Einmalcode sofort an die echte Seite weiter und stiehlt dabei das Sitzungstoken. Der Angreifer ist angemeldet, obwohl MFA aktiv war. Dagegen helfen nur phishingresistente Verfahren wie FIDO2 und Passkeys.
- MFA-Müdigkeit: Der Angreifer kennt das Passwort und löst immer wieder Push-Anfragen aus, bis die Person genervt auf „Bestätigen“ drückt. Hilfreich sind Zahlenabgleich, Begrenzung der Anfragen und klare Schulung: Eine Anfrage, die man nicht selbst ausgelöst hat, wird abgelehnt und gemeldet.
- SIM-Swapping: Kriminelle lassen die Telefonnummer auf eine neue SIM-Karte übertragen und empfangen so SMS-Codes. Ein Grund mehr, SMS nur als Notlösung zu nutzen.
- Social Engineering beim Helpdesk: Ein Anrufer gibt sich als Mitarbeiter aus, der sein Handy verloren hat, und lässt MFA zurücksetzen. Hier braucht es ein klares Verfahren zur Identitätsprüfung, bevor Faktoren zurückgesetzt werden.
- Lücken in der Abdeckung: Alte Protokolle, Dienstkonten oder einzelne Anwendungen ohne MFA bleiben offen. Angreifer suchen gezielt nach diesen Ausnahmen.
MFA und NIS2: Was das Gesetz verlangt
Für besonders wichtige und wichtige Einrichtungen nennt § 30 BSIG ausdrücklich den Einsatz von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung als Teil der Risikomanagementmaßnahmen. Das BSI erläutert in seinem Infopaket zu MFA und gesicherter Kommunikation, dass das Gesetz kein bestimmtes Vertrauensniveau vorschreibt. Die Einrichtung entscheidet auf Grundlage ihrer Risikoanalyse, welche Systeme wie geschützt werden.
Das BSI empfiehlt dabei die Kombination aus Wissens- und Besitzfaktoren und orientiert sich an den Vertrauensniveaus seiner Technischen Richtlinie TR-03107:
| Vertrauensniveau | Anforderung laut BSI |
|---|---|
| normal | ein gut gestalteter Faktor kann genügen |
| substanziell | zwei Faktoren aus unterschiedlichen Kategorien |
| hoch | zwei Faktoren und ein gegen Manipulation geschütztes Authentisierungsmittel |
Das BSI betont außerdem, dass das Gesamtsystem nur so stark ist wie sein schwächstes Glied. Dazu gehören auch die Identitätsprüfung bei der Ausgabe von Faktoren und das Verfahren, wenn ein Faktor verloren geht. Passkeys hält das BSI für sehr sicher und zukunftsfähig. Sie sind im Gesetz nicht namentlich genannt und damit keine Pflicht. Ob Ihr Unternehmen unter NIS2 fällt, prüfen Sie mit unserem Beitrag Wer ist von NIS2 betroffen?.
Passkeys: Die passwortlose Zukunft
Passkeys ersetzen das Passwort vollständig. Bei der Registrierung erzeugt das Gerät ein Schlüsselpaar: Der private Schlüssel bleibt auf dem Gerät oder in einem geschützten Speicher, der öffentliche Schlüssel liegt beim Dienst. Bei der Anmeldung entsperrt die Person den Passkey mit Fingerabdruck, Gesichtserkennung oder PIN, und das Gerät beweist kryptografisch, dass es den passenden Schlüssel besitzt.
Laut BSI bieten Passkeys hohen Schutz gegen bekannte Phishing-Methoden, weil sie an die echte Website gebunden sind. Einen Unterschied macht das BSI zwischen synchronisierten Passkeys, die über die Cloud eines Anbieters auf mehrere Geräte verteilt werden, und gerätegebundenen Passkeys, etwa auf einem Hardware-Sicherheitsschlüssel. Für besonders schützenswerte Zugänge sind gerätegebundene Varianten vorzuziehen. Für Betreiber von Online-Diensten hat das BSI mit der TR-03188 Passkey Server eine eigene Technische Richtlinie veröffentlicht.
| Merkmal | Passwort plus App-Code | Passkey |
|---|---|---|
| Passwort nötig | ja | nein |
| Schutz vor Echtzeit-Phishing | nein | ja |
| Bedienung | Code abtippen | Fingerabdruck, Gesicht oder PIN |
| Wiederverwendung gestohlener Daten | möglich, wenn das Passwort anderswo genutzt wird | nicht möglich, Schlüssel ist pro Dienst eindeutig |
Wo MFA im Unternehmen Pflicht sein sollte
Nicht jeder Zugang ist gleich kritisch. Diese Reihenfolge hat sich bewährt:
- Administratorkonten für Server, Domänencontroller, Cloud-Verwaltung, Firewall und Backup. Hier gehört phishingresistente MFA hin.
- Fernzugänge wie VPN, Remote Desktop und Fernwartung durch Dienstleister.
- E-Mail und Collaboration, etwa Microsoft 365 oder Google Workspace, weil Postfächer der häufigste Ausgangspunkt für Betrug und weitere Angriffe sind.
- Cloud-Anwendungen mit sensiblen Daten wie CRM, Buchhaltung, Personalsoftware.
- Banking und Zahlungsfreigaben, wo Banken das ohnehin vorschreiben.
- Alle übrigen Benutzerkonten, so weit wie möglich.
Ein häufig übersehener Punkt sind Konten ohne Menschen dahinter, etwa Dienstkonten, Schnittstellen und Notfallkonten. Sie lassen sich oft nicht mit klassischer MFA schützen und brauchen andere Maßnahmen: starke, regelmäßig geänderte Geheimnisse, eingeschränkte Rechte, Zugriff nur von bestimmten Systemen und Überwachung.
MFA für Dienstleister und Fernwartung
Ein besonders kritischer Bereich sind externe Zugänge: IT-Dienstleister, Softwarehersteller, Maschinenlieferanten für die Fernwartung oder Steuerberater mit Zugriff auf die Buchhaltung. Diese Zugänge sind oft weitreichend, werden selten genutzt und noch seltener überprüft. Für Angreifer sind sie ein bekanntes Einfallstor.
Für externe Zugänge sollten deshalb gelten:
- Persönliche Konten statt Sammelzugänge, damit jede Anmeldung einer Person zugeordnet werden kann.
- MFA ohne Ausnahme, idealerweise mit phishingresistenten Verfahren, wenn der Zugang administrative Rechte hat.
- Zeitliche Begrenzung: Wartungszugänge werden nur für die Dauer des Einsatzes freigeschaltet.
- Vertragliche Regelung: Sicherheitsanforderungen an den Dienstleister, einschließlich MFA und Meldung von Vorfällen, gehören in den Vertrag. Für NIS2-pflichtige Unternehmen ist die Sicherheit der Lieferkette ohnehin Teil der Pflichten.
MFA in Microsoft 365 und anderen Cloud-Diensten
Viele mittelständische Unternehmen arbeiten mit Microsoft 365. Dort lässt sich MFA auf zwei Wegen erzwingen. Die Sicherheitsstandards von Microsoft Entra ID aktivieren grundlegende Schutzmaßnahmen einschließlich MFA für alle Benutzer mit wenigen Klicks und eignen sich für kleinere Umgebungen. Mit bedingtem Zugriff, englisch Conditional Access, lassen sich feinere Regeln festlegen: etwa phishingresistente Verfahren für Administratoren, MFA bei Anmeldung von außerhalb des Firmennetzes oder die Sperrung alter Anmeldeprotokolle. Bedingter Zugriff setzt eine entsprechende Lizenz voraus.
Unabhängig vom Anbieter gelten dieselben Grundsätze:
- MFA für alle Benutzer erzwingen, nicht nur anbieten.
- Ältere Protokolle, die MFA nicht unterstützen, abschalten.
- Für Verwaltungskonten strengere Regeln festlegen als für normale Benutzer.
- Anmeldeprotokolle regelmäßig auf ungewöhnliche Anmeldungen prüfen.
Auch Dienste außerhalb der großen Plattformen gehören dazu, etwa Buchhaltungssoftware, Onlinebanking, Domain- und Hosting-Verwaltung oder Social-Media-Konten des Unternehmens. Gerade die Verwaltung von Domains und Websites wird oft vergessen, obwohl ein Angreifer darüber E-Mails umleiten oder die Website übernehmen kann.
Was kostet MFA?
Die direkten Kosten sind meist überschaubar. Authenticator-Apps sind in der Regel kostenlos, und viele Cloud-Dienste enthalten MFA bereits in ihren Lizenzen. Hardware-Sicherheitsschlüssel kosten pro Stück einen niedrigen zweistelligen Betrag, Smartcard-Lösungen mit Lesegeräten etwas mehr. Für Administratoren sollten mindestens zwei Schlüssel pro Person eingeplant werden, damit ein Verlust nicht zur Sperrung führt.
Der größere Aufwand liegt in der Einführung: Bestandsaufnahme, Konfiguration, Schulung und die Begleitung in den ersten Wochen, wenn Fragen zu neuen Geräten oder verlorenen Smartphones aufkommen. Dem steht ein deutlich geringeres Risiko von Kontoübernahmen gegenüber, die schnell zu Betrugsschäden, Datenverlust oder einem Ransomware-Angriff führen können.
Akzeptanz: So nehmen Sie das Team mit
MFA scheitert selten an der Technik, häufiger an der Akzeptanz. Diese Punkte helfen:
- Erklären, warum. Ein kurzes, konkretes Beispiel, etwa eine gefälschte Anmeldeseite, überzeugt mehr als jede Richtlinie.
- Komfortable Verfahren wählen. Passkeys und Push mit Zahlenabgleich sind schneller als das Abtippen von Codes.
- Schrittweise einführen. Erst eine Pilotgruppe, dann Abteilung für Abteilung, mit klaren Ansprechpartnern.
- Private Smartphones klären. Nicht alle Mitarbeitenden wollen eine Firmen-App auf ihrem privaten Gerät. Hardware-Schlüssel oder Diensthandys sind dann eine gute Alternative.
MFA im Unternehmen einführen: sechs Schritte
- Bestandsaufnahme. Welche Anwendungen und Zugänge gibt es, welche unterstützen MFA, wo laufen noch alte Anmeldeprotokolle ohne MFA?
- Verfahren festlegen. Für Administratoren und kritische Zugänge FIDO2-Schlüssel oder Passkeys, für die Breite Authenticator-App mit Zahlenabgleich, SMS nur als Notlösung.
- Zentral steuern. MFA möglichst über einen zentralen Identitätsdienst mit Single Sign-On erzwingen, statt in jeder Anwendung einzeln. So lassen sich Ausnahmen kontrollieren und Richtlinien einheitlich durchsetzen.
- Wiederherstellung regeln. Was passiert bei verlorenem Smartphone oder Schlüssel? Zweitfaktor hinterlegen, Ersatzschlüssel ausgeben, Helpdesk-Prozess mit sicherer Identitätsprüfung festlegen.
- Schulen und kommunizieren. Mitarbeitende müssen wissen, warum MFA eingeführt wird, wie sie funktioniert und dass unerwartete Anfragen abgelehnt und gemeldet werden. Mehr dazu auf unserer Seite zum Awareness-Training.
- Überwachen und nachschärfen. Anmeldeprotokolle auswerten, Ausnahmen regelmäßig prüfen, alte Protokolle abschalten und Schritt für Schritt auf phishingresistente Verfahren umsteigen.
Typische Fehler bei der MFA-Einführung
- Nur E-Mail absichern. VPN, Remote Desktop und Verwaltungsoberflächen bleiben offen.
- Alte Protokolle vergessen. Ältere E-Mail-Protokolle oder Anwendungen, die MFA nicht unterstützen, werden zur Hintertür.
- SMS als Standard. SMS ist besser als nichts, schützt aber nicht vor Phishing und SIM-Swapping.
- Dauerhafte Ausnahmen. „Nur kurz ohne MFA für die Geschäftsführung“ wird schnell zur dauerhaften Lücke, ausgerechnet bei den wertvollsten Konten.
- Kein Plan für den Verlust. Ohne geregelte Wiederherstellung entstehen Notlösungen, die Angreifer ausnutzen.
- Push ohne Zahlenabgleich. Einfache Bestätigungsanfragen laden zu MFA-Müdigkeit ein.
Praxisbeispiel: MFA in einem Handelsunternehmen mit 120 Beschäftigten
Ausgangslage: E-Mail in der Cloud mit MFA per SMS, VPN nur mit Passwort, Administratoren mit einem Konto für alles.
Nach der Einführung sieht es so aus: Alle Mitarbeitenden nutzen eine Authenticator-App mit Zahlenabgleich für E-Mail, VPN und Cloud-Anwendungen. Die Anmeldung läuft zentral über Single Sign-On, alte Protokolle sind abgeschaltet. Administratoren haben getrennte Verwaltungskonten, die nur mit FIDO2-Sicherheitsschlüsseln funktionieren. Der Helpdesk setzt Faktoren nur nach Rückruf an die hinterlegte Nummer und Bestätigung durch die Führungskraft zurück. Einige Monate später taucht das Passwort eines Mitarbeiters in einem Datenleck eines anderen Dienstes auf, den er privat mit demselben Passwort genutzt hat. Der Angreifer versucht sich anzumelden und löst wiederholt Anmeldeanfragen aus. Weil die App eine Zahl verlangt, die nur auf dem Bildschirm des Angreifers erscheint, kann der Mitarbeiter die Anfrage gar nicht versehentlich bestätigen. Er meldet die unerwarteten Anfragen, das Passwort wird zurückgesetzt. Für die Verwaltungskonten wäre selbst ein Echtzeit-Phishing ins Leere gelaufen, weil die FIDO2-Schlüssel nur auf der echten Anmeldeseite funktionieren.
MFA mit Mitarbeiterausweis und Smartcard
In Umgebungen mit gemeinsam genutzten Arbeitsplätzen, etwa in Produktion, Pflege oder Logistik, ist das Smartphone nicht immer das beste Werkzeug. Hier bewähren sich Smartcards oder Mitarbeiterausweise mit Chip, kombiniert mit einer kurzen PIN. Als Partner setzen wir dafür unter anderem auf ProID des europäischen Herstellers MONET+, der laut Hersteller passwortlose Zwei-Faktor-Anmeldung per Smartcard oder App, Zutrittskontrolle und elektronische Signatur auf einer Plattform verbindet. Wie das im Klinikalltag aussieht, zeigt unser Beitrag Authentifizierung im Krankenhaus.
Fazit: MFA ist Pflicht, phishingresistente MFA das Ziel
Multi-Faktor-Authentifizierung verhindert einen großen Teil der Kontoübernahmen mit überschaubarem Aufwand. Für NIS2-pflichtige Unternehmen ist sie ausdrücklich Teil der gesetzlichen Mindestmaßnahmen. Entscheidend ist aber nicht nur, ob MFA aktiv ist, sondern wie: SMS-Codes und einfache Push-Bestätigungen lassen sich umgehen, FIDO2-Schlüssel und Passkeys nicht. Wer mit Administratorkonten, Fernzugängen und E-Mail beginnt, die Wiederherstellung sauber regelt und schrittweise auf phishingresistente Verfahren umsteigt, schließt eine der häufigsten Lücken überhaupt.
Sie möchten MFA in Ihrem Unternehmen einführen oder Ihre bestehende Lösung prüfen lassen? Unser IT-Security-Audit zum Festpreis zeigt, wo Zugänge noch ungeschützt sind. Jetzt kostenlose Erstberatung buchen.
