Ratgeber für Unternehmen mit 3-200 Mitarbeitern
MFA (Multi-Faktor-Authentifizierung) verlangt beim Login mindestens zwei unabhängige Nachweise: etwas, das man weiß (Passwort), und etwas, das man hat oder ist (App-Code, Hardware-Token, Fingerabdruck). Selbst wenn ein Passwort gestohlen wird, kommt der Angreifer ohne den zweiten Faktor nicht rein. MFA ist damit die wirksamste Einzelmaßnahme gegen Konto-Übernahmen - und für NIS2, ISO 27001 und die meisten Cyberversicherungen praktisch Pflicht.
Was ist MFA - und was der Unterschied zu 2FA?
MFA steht für Multi-Faktor-Authentifizierung: Für die Anmeldung sind mehrere unabhängige Faktoren nötig. Man unterscheidet drei Kategorien:
- Wissen - Passwort, PIN
- Besitz - Authenticator-App auf dem Handy, Hardware-Token (z. B. YubiKey), Passkey
- Inhärenz - Fingerabdruck, Gesichtsscan
2FA (Zwei-Faktor-Authentifizierung) ist der häufigste Sonderfall von MFA mit genau zwei Faktoren. Im Alltag werden die Begriffe oft synonym benutzt.
Warum MFA so wirksam ist
Die meisten Einbrüche fangen nicht mit einem raffinierten Hack an, sondern mit einem gestohlenen Passwort - aus einem Datenleck, per Phishing oder durch Wiederverwendung. Microsoft beziffert die Wirkung seit Jahren deutlich: Ein sauber ausgerolltes MFA blockt die überwältigende Mehrheit automatisierter Konto-Übernahmen. Das Passwort allein reicht schlicht nicht mehr.
Dazu kommt der Compliance-Druck: NIS2, ISO 27001 und die meisten Cyberversicherungen verlangen MFA für administrative Zugänge und Fernzugriff inzwischen ausdrücklich.
Welche MFA-Verfahren gibt es - und welche sind sicher?
Nicht jeder zweite Faktor ist gleich gut:
| Verfahren | Sicherheit | Praxis |
|---|---|---|
| SMS-Code | schwach (SIM-Swapping, abfangbar) | nur als Notlösung |
| Authenticator-App (TOTP) | gut | Standard für die meisten Teams |
| Push-Bestätigung mit Number-Matching | gut | komfortabel, phishing-resistenter |
| Hardware-Token / Passkey (FIDO2) | sehr hoch, phishing-resistent | für Admins und sensible Rollen |
Faustregel: SMS ist besser als nichts, aber App oder Passkey sind das Ziel. Für privilegierte Konten führt an FIDO2/Passkey kaum ein Weg vorbei.
MFA einführen - in fünf Schritten
- Bestandsaufnahme: Welche Systeme gibt es (Microsoft 365, VPN, Server, Fachanwendungen), wo ist MFA schon möglich, wo fehlt es?
- Prioritäten setzen: Zuerst die kritischen Zugänge - Administrator-Konten, Fernzugriff, E-Mail. Dann die Fläche.
- Verfahren wählen: App als Standard, Passkey/Hardware-Token für Admins. Backup-Methoden einplanen.
- Ausrollen mit Rückfallnetz: Gestaffelt statt über Nacht, mit klarer Anleitung und einem Prozess für verlorene Geräte, damit niemand ausgesperrt bleibt.
- Absichern gegen MFA-Müdigkeit: Number-Matching statt einfacher Push-Bestätigung, damit niemand aus Reflex eine fremde Anfrage bestätigt.
Häufige Fehler
MFA nur für einige Konten. Ein einziger ungeschützter Admin-Zugang hebelt den Rest aus. Fernzugriff und privilegierte Konten müssen zuerst dran sein.
SMS als einziger Faktor. SMS ist abfangbar. Als alleiniger zweiter Faktor für Admins zu schwach.
Kein Notfall-Prozess. Ohne definierten Weg für verlorene Handys sperrt MFA im Zweifel die eigenen Leute aus - und wird dann heimlich umgangen.
Häufige Fragen
Ist MFA und 2FA dasselbe? 2FA ist MFA mit genau zwei Faktoren - der häufigste Fall. MFA ist der Oberbegriff und schließt auch drei oder mehr Faktoren ein.
Reicht MFA per SMS? Als Notlösung besser als nichts, aber SMS ist über SIM-Swapping angreifbar. Für Admin-Zugänge solltest Du eine Authenticator-App oder einen Passkey nutzen.
Ist MFA für NIS2 oder ISO 27001 Pflicht? Faktisch ja. Beide verlangen starke Authentifizierung für privilegierte Zugänge und Fernzugriff - ohne MFA ist das kaum nachweisbar. Auch Cyberversicherungen setzen es meist voraus.
Nervt MFA die Mitarbeiter nicht? Mit App-Push und Passkeys ist der Mehraufwand minimal - oft ein Fingertipp. Der Komfortverlust ist klein gegen das Risiko einer Konto-Übernahme.
Was passiert bei einem verlorenen Handy? Deshalb plant man Backup-Methoden und einen klaren Wiederherstellungs-Prozess ein. Richtig aufgesetzt sperrt Dich MFA nie dauerhaft aus.
Was ist ein Passkey - und was macht ihn besser als eine Authenticator-App? Ein Passkey ist eine Anmeldung nach dem FIDO2-Standard mit einem Schlüsselpaar: Der private Schlüssel verlässt Dein Gerät oder Deinen Sicherheitsschlüssel nie, und die Anmeldung funktioniert nur gegenüber der echten Domain. Einen TOTP-Code aus der App kann man dagegen abtippen - also auch auf einer gefälschten Login-Seite. Genau das macht Passkeys phishing-resistent.
Was bedeutet phishing-resistente MFA? Phishing-resistent heißt: Der zweite Faktor lässt sich nicht weiterreichen. Bei SMS- oder App-Codes kann ein Angreifer Dich auf eine nachgebaute Login-Seite locken und den Code in Echtzeit an den echten Dienst weitergeben. Passkeys und FIDO2-Sicherheitsschlüssel prüfen die Domain mit und verweigern die Anmeldung auf der falschen Seite. Für Administratoren ist das der empfohlene Standard.
Was ist MFA-Müdigkeit (MFA-Fatigue)? Ein Angriffsmuster, bei dem jemand mit einem gestohlenen Passwort so lange Push-Anfragen auslöst, bis das Opfer aus Reflex oder Genervtheit bestätigt. Gegenmittel ist Number-Matching: Du musst eine am Bildschirm angezeigte Zahl in der App eintippen, statt nur auf Bestätigen zu drücken. Zusätzlich sollten Mitarbeitende wissen, dass eine unerwartete Anfrage ein Meldefall ist - und kein Versehen.
Wie lange dauert die Einführung von MFA im Unternehmen? Technisch ist MFA in Microsoft 365 an einem Tag aktiviert. Der Aufwand steckt in der Fläche: Bestandsaufnahme der Systeme, Kommunikation, Geräte-Enrollment und Sonderfälle wie Schichtarbeit, Produktionsrechner oder Konten ohne Diensthandy. Für einen Betrieb mit 3 bis 200 Mitarbeitern rechnest Du realistisch mit einem gestaffelten Rollout über einige Wochen statt mit einem Stichtag.
Wie viele Notfallzugänge braucht man? Üblich sind zwei sogenannte Break-Glass-Konten: reine Notfall-Administratorkonten mit sehr langem Passwort und eigenem Hardware-Token, ausgenommen von genau den Zugriffsrichtlinien, die sie aussperren könnten. Diese Konten liegen sicher verwahrt, werden im Alltag nie benutzt, und ihre Anmeldungen werden überwacht. Ohne sie kann eine fehlerhafte Richtlinie die gesamte Administration blockieren.
Braucht man MFA auch im internen Netz? Ja. Die Annahme, ein Gerät im Büronetz sei vertrauenswürdig, hält modernen Angriffen nicht stand - ein infiziertes Notebook oder ein Fremdgerät sitzt genauso im Netz. Geprüft werden sollte die Identität, nicht der Standort. Ausnahmen für das interne Netz sind bequem, hebeln den Schutz aber genau dort aus, wo ein Angreifer nach dem Ersteinbruch weiterarbeitet.
Was kostet MFA? Grundlegende MFA ist in den gängigen Microsoft-365-Plänen enthalten, Authenticator-Apps sind kostenlos. Kosten entstehen vor allem durch Hardware-Token für privilegierte Konten, durch höhere Lizenzstufen für feingranularen bedingten Zugriff und durch den einmaligen Einführungsaufwand. Gemessen am Schaden einer Konto-Übernahme ist MFA die günstigste Sicherheitsmaßnahme, die Du treffen kannst.
Was ist bedingter Zugriff - und ersetzt er MFA? Nein, er steuert MFA. Bedingter Zugriff (Conditional Access) entscheidet anhand von Nutzer, Gerät, Standort und Risiko, wann ein zweiter Faktor verlangt wird und wann eine bestehende Sitzung reicht. Richtig konfiguriert senkt das die Zahl der Abfragen im Alltag spürbar, ohne den Schutz zu verringern. Falsch konfiguriert entstehen Ausnahmen, die genau das Gegenteil bewirken.
Kann MFA umgangen werden? Ja, MFA ist kein Allheilmittel. Angreifer nutzen Echtzeit-Phishing über zwischengeschaltete Seiten, gestohlene Sitzungs-Tokens, Push-Bombing und vor allem Konten, bei denen MFA nie aktiviert wurde. Deshalb gehören phishing-resistente Verfahren für privilegierte Konten, begrenzte Sitzungsdauern und eine Protokollierung der Anmeldungen dazu. MFA senkt das Risiko drastisch, ersetzt aber weder Patch-Management noch Backups.
Sollen wir Hardware-Token für alle anschaffen? Meist nicht. Sinnvoll sind sie dort, wo der Schaden am größten wäre: Administratorkonten, Geschäftsführung, Buchhaltung und Notfallzugänge. Für die Breite reicht in der Regel eine Authenticator-App mit Number-Matching oder ein Passkey auf dem vorhandenen Dienstgerät. Eine echte Ausnahme sind Arbeitsplätze ohne Smartphone, etwa in der Produktion - dort ist ein Token oft die einzige praktikable Lösung.
Verwandt
MFA & Identity Security · Passwortmanagement · Zero Trust · NIS2-Umsetzung · Security Awareness