Gestohlene Zugangsdaten sind der einfachste Weg in ein Unternehmen. Phishing-Mails und geleakte Passwortlisten liefern Angreifern täglich frisches Material – und ein einzelnes Passwort hält dem wenig entgegen. Multi-Faktor-Authentifizierung (MFA) setzt genau an dieser Schwachstelle an.
Die Anmeldung verlangt zusätzliche, voneinander unabhängige Nachweise, die sich aus der Ferne deutlich schwerer stehlen lassen. Kaum eine andere Maßnahme senkt das Risiko von Kontoübernahmen so wirksam bei vergleichsweise geringem Aufwand.
Was ist Multi-Faktor-Authentifizierung?
Multi-Faktor-Authentifizierung bedeutet, dass eine Anmeldung mindestens zwei Nachweise aus unterschiedlichen Kategorien erfordert. Die klassischen Kategorien sind Wissen (Passwort oder PIN), Besitz (Smartphone, Smartcard oder Sicherheitsschlüssel) und Biometrie (Fingerabdruck oder Gesichtserkennung). Entscheidend ist die Unabhängigkeit der Faktoren: Zwei Passwörter bilden keine MFA, weil beide derselben Kategorie entstammen und auf demselben Weg gestohlen werden können. Erst die Kombination verschiedener Kategorien zwingt Angreifer, mehrere Hürden gleichzeitig zu nehmen – etwa ein Passwort abzugreifen und zusätzlich an das Smartphone der Zielperson zu gelangen. Im Alltag zeigt sich MFA als zusätzliche Abfrage nach dem Passwort; dahinter steht ein eigenständiger, technisch getrennter Nachweis.
Wie MFA funktioniert
Allen Verfahren gemeinsam ist der Ablauf: Nach dem ersten Faktor fordert der Dienst einen zweiten Nachweis an und gibt den Zugang erst nach dessen Prüfung frei. In Bedienkomfort und Schutzwirkung unterscheiden sich die Verfahren jedoch deutlich:
- TOTP-Apps: Eine Authenticator-App erzeugt zeitbasierte Einmalcodes, die zusätzlich zum Passwort eingegeben werden. Eine solide Basis – auf gefälschten Anmeldeseiten aber abfangbar.
- Push-Bestätigung: Ein Anmeldeversuch löst eine Nachricht auf dem Smartphone aus, die der Nutzer bestätigt. Varianten mit Nummernabgleich erschweren gedankenloses Wegtippen.
- Hardware-Token: Ein separates Gerät erzeugt Codes oder bestätigt Anfragen. Der Faktor bleibt vom Arbeitsrechner getrennt und übersteht dessen Kompromittierung.
- FIDO2 und Passkeys: Kryptografische Schlüsselpaare sind an die echte Web-Adresse des Dienstes gebunden. Eine nachgebaute Phishing-Seite erhält schlicht keine gültige Antwort – diese Verfahren gelten deshalb als Phishing-resistent.
- SMS-Codes: Einmalcodes per SMS sind besser als ein Passwort allein, gelten aber wegen Angriffen wie SIM-Swapping als schwächste Variante.
- Backup-Verfahren: Wiederherstellungscodes und Ersatzfaktoren verhindern, dass ein verlorenes Smartphone Mitarbeitende aussperrt. Schwache Wiederherstellungswege hebeln starke Faktoren aus und gehören deshalb von Anfang an ins Konzept.
Eine Grenze teilen alle Bestätigungsverfahren: Bei sogenannter MFA-Fatigue bombardieren Angreifer, die das Passwort bereits besitzen, die Zielperson mit Push-Anfragen, bis eine davon genervt bestätigt wird. Nummernabgleich, begrenzte Versuche und der Wechsel auf FIDO2 entschärfen dieses Muster.
Warum MFA wichtig ist
- Gestohlene Passwörter allein genügen für eine Kontoübernahme nicht mehr.
- Phishing-resistente Verfahren wie FIDO2 entziehen gefälschten Anmeldeseiten die Grundlage.
- Fernzugänge und Admin-Konsolen sind ohne zweiten Faktor ein leichtes Ziel.
- Cyber-Versicherer und Auditoren setzen MFA für kritische Zugänge inzwischen regelmäßig voraus.
- Die NIS-2-Richtlinie führt MFA ausdrücklich in ihrem Maßnahmenkatalog für das Risikomanagement auf.
- Die Einführung ist im Verhältnis zur Schutzwirkung günstig und zügig umsetzbar.
Typische Szenarien
- Alle Konten des Cloud-Arbeitsplatzes erhalten MFA-Pflicht, beginnend mit Administratoren und Postfächern mit weitreichenden Rechten.
- Der Fernzugriff über ZTNA oder VPN verlangt neben dem Passwort eine Bestätigung per App oder Sicherheitsschlüssel.
- Administrative Zugänge zu Servern und Netzwerktechnik werden auf Hardware-Schlüssel umgestellt.
- Ein Unternehmen führt Passkeys für Mitarbeitende ein und senkt damit zugleich den Aufwand für Passwort-Rücksetzungen.
- Externe Dienstleister erhalten Zugriff erst nach Anmeldung mit einem zweiten Faktor.
Abgrenzung: MFA und 2FA
Die Zwei-Faktor-Authentifizierung (2FA) ist ein Spezialfall der MFA: genau zwei Faktoren, während MFA als Oberbegriff zwei oder mehr zulässt. Jede 2FA ist damit eine MFA; umgekehrt gilt das nicht zwingend. Für die Praxis zählt weniger die Anzahl als die Qualität der Faktoren. Ein Passwort plus SMS-Code ist formal 2FA, schützt aber deutlich schwächer als ein Passkey auf einem registrierten Gerät. Wer Sicherheitsanforderungen formuliert, sollte deshalb konkrete Verfahren benennen, statt allein die Faktorzahl vorzuschreiben. Auch Regulierer folgen dieser Logik und verlangen zunehmend Verfahren, die gegen Phishing bestehen. Für besonders schützenswerte Zugänge lohnt der Schritt zu Phishing-resistenten Verfahren mehr als ein dritter Faktor.
MFA im Unternehmensnetz
Die größte Wirkung entfaltet MFA beim Zugriff auf Anwendungen und Infrastruktur. In SASE/SSE-Architekturen wird die Anmeldung mit starken Faktoren zur Voraussetzung für jede Verbindung; geprüft werden Identität und Gerätezustand gemeinsam. So entsteht ein Zugriffsmodell, bei dem ein gestohlenes Passwort allein keinen Weg mehr ins Unternehmensnetz öffnet. Bei Einführung und Rollout – von der Auswahl geeigneter Verfahren bis zur Anbindung bestehender Verzeichnisdienste – unterstützen in der Praxis spezialisierte Dienstleister.
Häufige Fragen
Was gilt bei MFA als eigenständiger Faktor?
Ein eigenständiger Faktor stammt aus einer eigenen Kategorie: Wissen wie ein Passwort, Besitz wie ein Smartphone oder Sicherheitsschlüssel, Biometrie wie ein Fingerabdruck. Zwei Nachweise derselben Kategorie – etwa Passwort und Sicherheitsfrage – bilden keine echte MFA. Wichtig ist zudem die technische Trennung: Liegen Passwort und Codegenerator auf demselben kompromittierten Gerät, schrumpft der Zugewinn deutlich.
Welche MFA-Verfahren gelten als Phishing-resistent?
Verfahren auf Basis von FIDO2, also Passkeys und Hardware-Sicherheitsschlüssel, sowie zertifikatsbasierte Anmeldungen mit Smartcards. Sie binden den Nachweis kryptografisch an die echte Adresse des Dienstes; eine nachgebaute Anmeldeseite bekommt daher keine verwertbare Antwort. Einmalcodes aus Apps oder per SMS lassen sich dagegen auf Phishing-Seiten abfangen und in Echtzeit weiterverwenden.
Was ist MFA-Fatigue und was hilft dagegen?
MFA-Fatigue bezeichnet Angriffe, bei denen Täter mit gestohlenem Passwort so lange Push-Anfragen auslösen, bis die genervte Zielperson eine davon bestätigt. Dagegen helfen Nummernabgleich zwischen Anmeldebildschirm und App, eine Begrenzung der Anfragen, Schulung der Beschäftigten und langfristig der Umstieg auf FIDO2-Verfahren, bei denen es keine bestätigbare Anfrage mehr gibt.
Ist SMS als zweiter Faktor noch vertretbar?
SMS-Codes sind deutlich besser als ein Passwort allein, aber die schwächste MFA-Variante: Sie lassen sich per SIM-Swapping, über Schwachstellen im Mobilfunknetz oder auf Phishing-Seiten abfangen. Als Übergangslösung für Konten mit geringem Schutzbedarf vertretbar; für Administratoren, Fernzugänge und Finanzfreigaben sind App-basierte Verfahren oder Passkeys die bessere Wahl.
Verlangt NIS-2 den Einsatz von MFA?
Die NIS-2-Richtlinie zählt Multi-Faktor-Authentifizierung und kontinuierliche Authentifizierungslösungen ausdrücklich zu den Maßnahmen des Cyber-Risikomanagements, deren Einsatz betroffene Unternehmen prüfen und angemessen umsetzen müssen. Für Fernzugriffe, privilegierte Konten und zentrale Verwaltungssysteme ist MFA damit faktisch gesetzt. Wie streng die Umsetzung ausfällt, richtet sich nach Risiko und Kritikalität der jeweiligen Systeme.