Multi-Faktor-Authentifizierung: Verfahren, Sicherheit und Einführung

Multi-Faktor-Authentifizierung (MFA) bedeutet, dass eine Anmeldung mindestens zwei voneinander unabhängige Nachweise aus verschiedenen Kategorien verlangt: etwas, das Sie wissen (Passwort oder PIN), etwas, das Sie besitzen (Telefon oder Sicherheitsschlüssel), oder etwas, das Sie sind (Fingerabdruck oder Gesicht). Ein gestohlenes Passwort allein reicht dann nicht mehr. Am sichersten sind Passkeys und Sicherheitsschlüssel, weil sie gegen Phishing schützen. Authenticator-Apps sind deutlich besser als SMS-Codes. Das BSI empfiehlt, die Zwei-Faktor-Anmeldung einzuschalten, sobald ein Dienst sie anbietet, und NIS2 nennt sie unter den Mindestmaßnahmen.

Wenn Sie MFA im Unternehmen einführen, helfen der Vergleich der Verfahren und die Reihenfolge weiter unten; für den privaten Einstieg reichen die ersten Abschnitte.

Was ist Multi-Faktor-Authentifizierung?

Passwörter werden erraten, abgefischt oder aus Datenlecks wiederverwendet. MFA setzt voraus, dass ein Angreifer zusätzlich etwas in die Hand bekommt, das er aus der Ferne schwer erlangt. Wichtig ist, dass die Faktoren aus verschiedenen Kategorien stammen. Zwei Passwörter nacheinander sind kein zweiter Faktor.

Zwei-Faktor-Authentifizierung (2FA) ist der häufigste Fall von MFA, nämlich genau zwei Faktoren. Im Alltag werden beide Begriffe oft gleich verwendet.

Die Verfahren im Vergleich

Hintergründe stehen in den Beiträgen zu Einmalcodes, Passkeys und FIDO2. Das BSI rät außerdem, den zweiten Faktor nicht auf demselben Gerät zu empfangen, mit dem Sie sich anmelden, und mehr als einen zweiten Faktor einzurichten, damit Sie bei einem Verlust nicht ausgesperrt sind.

Warum MFA im Unternehmen Pflichtthema ist

• Gestohlene Zugangsdaten gehören zu den häufigsten Wegen in Unternehmensnetze. MFA stoppt die meisten automatisierten Angriffe damit.
• NIS2: § 30 Abs. 2 Nr. 10 BSIG nennt für betroffene Einrichtungen Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung.
• DSGVO: Art. 32 verlangt ein dem Risiko angemessenes Schutzniveau. Für Konten mit personenbezogenen Daten gilt MFA als naheliegende Maßnahme.
• Cyberversicherung: Viele Versicherer fragen danach und lehnen Anträge ohne MFA teils ab.

Grenzen von MFA

• Echtzeit-Phishing: Eine gefälschte Seite leitet Passwort und Code sofort weiter. Davor schützen nur Passkeys und Sicherheitsschlüssel.
• Gestohlene Sitzungen: Schadsoftware kann nach der Anmeldung das Sitzungs-Cookie kopieren und MFA so umgehen.
• Bestätigungsmüdigkeit: Wer ständig Push-Anfragen erhält, bestätigt irgendwann eine falsche.
• Schwache Rücksetzwege: Wenn das Helpdesk den zweiten Faktor nach einem Anruf zurücksetzt, ist der Schutz hinfällig.
• Alte Protokolle: Ältere E-Mail-Protokolle können MFA nicht und umgehen sie, wenn sie nicht abgeschaltet sind.

MFA einführen: eine sinnvolle Reihenfolge

1. Bestand aufnehmen: Welche Dienste gibt es, und welche laufen über Ihren Identitätsanbieter?
2. Administratoren zuerst: Geben Sie Admin-Konten Sicherheitsschlüssel oder Passkeys, jeweils mit einem Ersatz.
3. E-Mail und Fernzugriff: Sichern Sie Postfächer, VPN und Cloud-Konsolen ab, denn sie sind die häufigsten Ziele.
4. Verfahren festlegen: Standard für alle ist eine Authenticator-App oder ein Passkey, SMS nur als Ausnahme.
5. Single Sign-on nutzen: Wer viele Anwendungen über einen Identitätsanbieter anmeldet, muss MFA nur an einer Stelle erzwingen. Mit Conditional Access lässt sich das nach Risiko abstufen.
6. Wiederherstellung regeln: Legen Sie fest, wie das Helpdesk Personen prüft, bevor es einen Faktor zurücksetzt.
7. Alte Protokolle abschalten und die Ausnahmen regelmäßig prüfen.
8. Erklären: Sagen Sie der Belegschaft, warum die Änderung kommt. In Betrieben mit Betriebsrat stimmen Sie die Einführung ab, vor allem wenn private Telefone genutzt werden sollen.

Private Telefone und Alternativen

Nicht jeder möchte eine Firmen-App auf dem privaten Telefon, und eine Pflicht dazu ist arbeitsrechtlich nicht selbstverständlich. Klären Sie das früh. Alternativen sind Sicherheitsschlüssel oder Hardware-Tokens, die das Unternehmen stellt. Für Bereiche ohne Telefone, etwa in der Produktion, eignen sich Chipkarten oder Sicherheitsschlüssel an gemeinsam genutzten Rechnern.

Häufige Fehler

• MFA nur für einzelne Dienste einschalten und die wichtigsten Konten vergessen
• Administratoren ausnehmen, weil es lästig ist
• Keine zwei Notfallkonten vorhalten, sodass eine Fehlkonfiguration alle aussperrt
• Dienstkonten übersehen. Sie brauchen eigene Regeln, etwa Zertifikate oder eng begrenzte Rechte
• Wiederherstellungscodes auf demselben Telefon speichern

So läuft eine Anmeldung mit MFA ab

1. Sie geben Benutzernamen und Passwort ein, oder bei Passkeys nur den Benutzernamen.
2. Der Dienst fordert den zweiten Faktor an, je nach Verfahren einen Code, eine Bestätigung auf dem Telefon oder den Sicherheitsschlüssel.
3. Stimmt der Nachweis, lässt der Dienst Sie hinein. Viele Dienste merken sich ein vertrauenswürdiges Gerät für eine Weile, damit nicht jede Anmeldung eine Abfrage auslöst.

Bei adaptiver MFA hängt die Abfrage vom Risiko ab: Eine Anmeldung vom bekannten Laptop läuft durch, ein neues Land oder ein unbekanntes Gerät löst eine zusätzliche Prüfung aus. Das senkt die Zahl der Abfragen, sodass Nutzer eine Anfrage eher ernst nehmen. In Microsoft-Umgebungen übernimmt das zum Beispiel Conditional Access.

MFA im Alltag: Telefon weg, und jetzt?

Die häufigste Sorge ist der Verlust des zweiten Faktors. Planen Sie dafür drei Dinge ein. Erstens: Jede Person richtet mindestens zwei Faktoren ein, etwa App und Sicherheitsschlüssel. Das rät auch das BSI. Zweitens: Wiederherstellungscodes liegen außerhalb des Telefons, zum Beispiel im Passwortmanager oder ausgedruckt im Schrank. Drittens: Das Helpdesk hat ein festes Verfahren, bevor es einen Faktor zurücksetzt, etwa einen Rückruf an die hinterlegte Nummer oder die Bestätigung durch die Führungskraft. Angreifer rufen gezielt beim Helpdesk an und geben sich als Mitarbeitende aus, die ihr Telefon verloren haben.

Kosten und Aufwand

MFA ist oft schon bezahlt. Microsoft 365, Google Workspace und viele Fachanwendungen enthalten sie, und Authenticator-Apps sind kostenlos. Sicherheitsschlüssel kosten pro Stück meist einen überschaubaren zweistelligen Betrag, und Sie sollten je Person zwei einplanen. Der größere Aufwand steckt in der Einführung: Kommunikation, Registrierung aller Personen, Ausnahmen und Unterstützung in den ersten Wochen. Rechnen Sie anfangs mit mehr Support-Tickets, die sich nach kurzer Zeit legen.

Dienste, die oft vergessen werden

• Administratorzugänge bei Registrar und DNS-Anbieter
• Cloud-Konsolen und Abrechnungskonten
• Passwortmanager und Backup-Oberflächen
• Firewall, VPN und Fernwartung, auch bei Dienstleistern
• Personal- und Buchhaltungssoftware
• Soziale Medien des Unternehmens, die oft an einem gemeinsamen Passwort hängen

Gehen Sie diese Liste einmal durch. Ein einziger Zugang ohne zweiten Faktor reicht einem Angreifer, wenn er genug Rechte hat.

Verwaltung auf vielen Geräten

Der zweite Faktor liegt meist auf dem Telefon oder Laptop, deshalb zählt auch dessen Schutz. trio.so setzt Bildschirmsperre und Verschlüsselung auf Firmengeräten durch. Die Anmeldung an der trio.so-Konsole selbst lässt sich mit Authenticator-Apps, E-Mail-Codes, Sicherheitsschlüsseln oder Passkeys absichern, und per SAML Single Sign-on läuft sie über Ihren Identitätsanbieter.

Weiterführend: Identitätsmanagement und das Least-Privilege-Modell.