Multi-Faktor-Authentifizierung: Der Standard gegen Passwort-Diebstahl

Inhaltsverzeichnis

Multi-Faktor-Authentifizierung ist heute der verlässlichste Basisschutz gegen Identitätsdiebstahl und unautorisierten Zugriff auf Unternehmenssysteme. Dennoch verzichten viele Unternehmen noch immer auf eine vollständige MFA-Implementierung. Häufige Gründe hierfür sind der unterschätzte Aufwand oder eine mangelnde Priorisierung. Dabei zeigen aktuelle Sicherheitsberichte konsistent: Der Großteil der erfolgreichen Angriffe auf Unternehmenskonten basieren auf schwachen oder gestohlenen Passwörtern. Multi-Faktor-Authentifizierung schließt diese Lücke strukturell.

Was ist Multi-Faktor-Authentifizierung?

Multi-Faktor-Authentifizierung (MFA) bezeichnet ein Verfahren, bei dem der Zugang zu einem System nicht nur durch ein Passwort, sondern durch mindestens zwei unabhängige Faktoren gesichert wird. Diese Faktoren entstammen verschiedenen Kategorien:

  • Wissen: etwas, das nur der Nutzer kennt (Passwort, PIN)
  • Besitz: etwas, das nur der Nutzer hat (Smartphone, Hardware-Token, Smartcard)
  • Biometrie: etwas, das der Nutzer ist (Fingerabdruck, Gesichtserkennung)

Erst wenn mindestens zwei dieser Faktoren erfolgreich validiert sind, wird der Zugang gewährt. Ein gestohlenes Passwort allein reicht damit nicht mehr aus, um ein Konto zu kompromittieren.

Abgrenzung: MFA vs. 2FA

Zwei-Faktor-Authentifizierung (2FA) ist ein Spezialfall der Multi-Faktor-Authentifizierung und verwendet genau zwei Faktoren. MFA kann drei oder mehr Faktoren umfassen, wird aber im Unternehmenskontext häufig synonym mit 2FA verwendet. Für die meisten Anwendungsfälle ist eine Zwei-Faktor-Lösung bereits ein erheblicher Sicherheitsgewinn.

MFA Vorteile: Was Unternehmen konkret gewinnen

Die Einführung von Multi-Faktor-Authentifizierung ist keine rein technische Maßnahme.  Sie hat direkte Auswirkungen auf das Risikoniveau des gesamten Unternehmens. MFA ist kein isoliertes Tool. Im Kontext einer Zero-Trust-Architektur ist sie eine der zentralen Säulen: Identitäten werden erst nach erfolgreicher Mehrfaktorprüfung als vertrauenswürdig eingestuft.

Schutz auch bei Datenpannen

Passieren Datenpannen bei Drittanbietern und geraten dabei Zugangsdaten in fremde Hände, schützt MFA dennoch: Ohne den zweiten Faktor bleibt der Angreifer gesperrt. Das reduziert den Schadenradius geleakter Passwortlisten erheblich.

Compliance-Erfüllung

Regulatorische Rahmenbedingungen wie NIS2, ISO 27001, SOC 2 oder die DSGVO fordern ausdrücklich oder sinngemäß den Einsatz starker Authentifizierungsverfahren. MFA ist für viele Unternehmen damit nicht nur sinnvoll, sondern Pflicht.

Vertrauen bei Kunden und Partnern

Gerade für Unternehmen, die Kundendaten verarbeiten oder kritische Dienstleistungen erbringen, signalisiert eine nachweislich gesicherte Authentifizierung Verlässlichkeit.

Gängige MFA-Methoden im Vergleich

Nicht alle MFA-Methoden bieten das gleiche Sicherheitsniveau. Die Wahl der Methode sollte sich am Schutzbedarf der jeweiligen Systeme und am Komfort für die Nutzenden orientieren.

Authenticator-Apps (TOTP)

Apps wie Microsoft Authenticator oder Google Authenticator generieren zeitbasierte Einmalcodes (TOTP). Sie bieten ein hohes Sicherheitsniveau und sind unabhängig von einer Netzwerkverbindung. Phishing-resistenz ist jedoch begrenzt: Codes können durch Social Engineering abgegriffen werden.

Hardware-Token (FIDO2 / Passkeys)

FIDO2-basierte Hardware-Tokens oder Passkeys bieten das höchste verfügbare Sicherheitsniveau. Sie sind phishing-resistent, da die Authentifizierung kryptografisch an die jeweilige Domain gebunden ist. Besonders für privilegierte Konten und kritische Systeme empfohlen.

Push-Benachrichtigungen

Nutzer bestätigen den Anmeldeversuch per Push-Benachrichtigung auf ihrem Smartphone. Komfortabel, aber anfällig für MFA-Fatigue-Angriffe, bei denen Angreifer wiederholt Push-Anfragen senden, bis ein Nutzer aus Versehen bestätigt.

SMS-basierte Codes

Einmalcodes per SMS sind die älteste und am wenigsten sichere MFA-Methode. SIM-Swapping, SS7-Angriffe und Abfangen durch Schadsoftware machen SMS-Codes für geschäftskritische Anwendungen ungeeignet. Als einfacher Einstieg noch vertretbar, sollte jedoch durch modernere Methoden ersetzt werden.

Passwortlos anmelden: Der nächste Schritt

Multi-Faktor-Authentifizierung ist der aktuelle Standard – passwortlose Authentifizierung ist die Zukunft. Bei passwortlosen Verfahren entfällt das Passwort vollständig; die Identität wird ausschließlich über kryptografische Faktoren nachgewiesen (z. B. Biometrie in Kombination mit einem Geräteschlüssel).

Vorteile:

  • Kein Passwort, das gestohlen, vergessen oder wiederverwendet werden kann
  • Geringere Schulungsaufwände durch intuitivere Bedienung
  • Hohe Phishing-Resistenz durch kryptografische Domain-Bindung

Microsoft, Google und Apple setzen Passkeys bereits als Standard ein; im Unternehmenskontext gewinnen sie durch Identity-Provider-Integrationen zunehmend an Bedeutung. Unternehmen, die heute MFA einführen, sollten die Infrastruktur von Anfang an so aufbauen, dass der Übergang zu passwortlosen Verfahren schrittweise möglich bleibt.

MFA einführen im Unternehmen: Ein strukturierter Ansatz

Schritt 1: Bestandsaufnahme und Priorisierung

Nicht alle Systeme haben den gleichen Schutzbedarf. Beginnen Sie mit einer Inventarisierung:

  • Welche Systeme sind extern erreichbar (VPN, E-Mail, Cloud-Dienste)?
  • Welche Konten verfügen über privilegierte Berechtigungen?
  • Welche Daten sind besonders schützenswert?

Priorisieren Sie die Einführung für Systeme mit hohem Risikopotenzial. Das sind typischerweise externe Zugangspunkte und administrative Konten.

Schritt 2: Auswahl der Authentifizierungsmethode

Wählen Sie die Methode passend zum Schutzbedarf und zum technischen Reifegrad Ihrer Nutzenden:

  • Hoher Schutzbedarf, technisch affine Nutzende: FIDO2 / Hardware-Token
  • Standardsysteme, breite Nutzerbasis: Authenticator-App (TOTP oder Push)
  • Externen Partner-Zugriff: Push-Benachrichtigung oder TOTP

Vermeiden Sie SMS-basierte Lösungen für kritische Systeme.

Schritt 3: Rollout und Change Management

MFA-Einführungen scheitern häufig nicht an der Technik, sondern an der Akzeptanz. Empfohlene Maßnahmen:

  • Frühzeitige Kommunikation und Einbindung der Fachabteilungen
  • Pilotgruppen vor dem vollständigen Rollout
  • Klare Anleitungen und Supportangebote für Nutzende
  • Helpdesk-Kapazitäten für den Einführungszeitraum planen

Schritt 4: Monitoring und kontinuierliche Verbesserung

MFA ist kein einmaliges Projekt, sondern ein dauerhafter Betrieb:

  • Anomalie-Erkennung bei ungewöhnlichen Anmeldeversuchen
  • Regelmäßige Überprüfung der genutzten Methoden auf aktuelle Sicherheitsstandards
  • Anpassung bei neuen Angriffsmustern (z. B. MFA-Fatigue-Schutz)

Häufig gestellte Fragen

Macht MFA das Passwort überflüssig?

MFA ergänzt das Passwort durch einen zweiten Faktor, ersetzt es aber zunächst nicht. Passwortlose Verfahren wie Passkeys gehen einen Schritt weiter und machen das Passwort tatsächlich obsolet. Für die meisten Unternehmen ist der Übergang zu passwortlosen Verfahren ein mittelfristiges Ziel, während MFA den sofort wirksamen Schutz bietet.

Wie reagiert MFA auf den MFA-Fatigue-Angriff?

Bei MFA-Fatigue senden Angreifer wiederholt Push-Benachrichtigungen, um Nutzende zur unbeabsichtigten Bestätigung zu verleiten. Abhilfe schaffen nummerbasierte Abgleichverfahren (Number Matching), bei denen der Nutzer einen angezeigten Code aktiv bestätigen muss, sowie FIDO2-Tokens, die keine Push-Bestätigung verwenden.

Was kostet die Einführung von MFA?

Die Kosten variieren je nach gewählter Methode und vorhandener Infrastruktur. Cloud-basierte Identity-Provider mit integrierter MFA sind bereits ab wenigen Euro pro Nutzer und Monat verfügbar. Hardware-Token liegen höher, amortisieren sich aber schnell angesichts des durchschnittlichen Schadens durch einen kompromittierten Account.

MFA jetzt einführen – Axsos begleitet Ihr Unternehmen bei der sicheren Implementierung der Multi-Faktor-Authentifizierung.

Dieser Inhalt wurde mit Hilfe von KI erstellt, wurde aber vor Veröffentlichung redaktionell geprüft und überarbeitet.

Teilen:

Nach oben scrollen

Wir sind auf der
it-sa 2026!

Vom 27. bis 29. Oktober 2026 sind wir auf der it-sa Expo&Congress in Nürnberg dabei.

Freut euch auf spannende Gespräche, innovative IT-Sicherheitslösungen und den persönlichen Austausch mit unserem Team.

📍 Halle 7 | Stand 341

🤝 Wir freuen uns auf euren Besuch!

Jetzt kostenloses Ticket anfordern

Kingdompreneurship Summit 2026

Vom 30. bis 31. Oktober 2026 dreht sich alles um Unternehmertum, Innovation und die Verbindung von Glauben und Business.

Freut euch auf inspirierende Gespräche, neue Perspektiven und wertvolle Kontakte mit Unternehmern und Gründern.

📍 CongressForum Frankenthal | Stand 6

🤝 Wir freuen uns auf den Austausch mit euch

Hier mehr erfahren

Jamil Isayyed

Jamil ist ein erfahrener Fachmann für digitale Prozesse, verfügt über einen reichen internationalen Hintergrund in der Informationstechnologie- und Dienstleistungsbranche, der sich über Deutschland, Griechenland und Palästina erstreckt. Er hat einen Bachelor-Abschluss in Informatik und eine Scrum-Master-Zertifizierung der Scrum Alliance mit Schwerpunkt Computer Software-Engineering. Jamils Leidenschaft gilt der Führung und dem Aufbau von Hochleistungsteams, die außergewöhnliche Erfahrungen liefern und wertvolle Möglichkeiten für Kunden schaffen. Zusätzlich zu seiner Hauptaufgabe ist er der Direktor der Axsos Academy GmbH. In dieser Funktion leitet er ein dynamisches deutsch-palästinensisches Bootcamp, das Jugendlichen den Einstieg in den IT-Markt und den Aufbau einer erfolgreichen Karriere ermöglichen soll.

Bernd Länge

Bernd Länge ist seit über 20 Jahren in der IT-Branche tätig und berät Kunden und Interessenten in Fragen der Cybersicherheit sowie bei der Entwicklung und Implementierung von Informationssicherheitsmanagement und Datenschutz. In dieser Funktion fungiert er als externer Datenschutz- und Informationssicherheitsbeauftragter für Kunden. Es ist ihm wichtig, einen pragmatischen Ansatz zu verfolgen und eng mit Kunden, Partnern und Herstellern zusammenzuarbeiten, um sicherzustellen, dass die Unternehmenssicherheit der Kunden auf dem neuesten Stand ist.

Martin Müller

Als Technik-Enthusiast und engagierte Führungspersönlichkeit unterstützt er seit über 20 Jahren Unternehmen in der IT-Branche dabei, den Weg in die Zukunft der Arbeit zu gestalten. Dank seiner schnellen Auffassungsgabe und seiner Fähigkeit, effektive Lösungen zu entwickeln, kann er eine klare Vision davon formulieren, wie unsere zukünftige Arbeitsweise aussehen wird. Schritt für Schritt meistert er Herausforderungen und treibt uns in die Zukunft voran. Diese Aufgaben bewältigt er jedoch nicht alleine. Er verfügt über ein kompetentes Team, dem er voll und ganz vertraut und auf das er sich verlassen kann. Gemeinsam überwinden sie jede Hürde! Durch positives, kritisches Denken führt oft die zweitbeste Lösung zu inkrementellem Erfolg – schließlich wurde auch ein Imperium nicht an einem Tag erbaut. Diese Herangehensweise macht ihn in seiner Rolle einzigartig, und er freut sich darauf, gemeinsam mit Ihnen den Weg in die Zukunft zu beschreiten.

Rolf Stephan

Seine Begeisterung für die Informationstechnologie führte Rolf zum Studium der Informatik und zum Abschluss an der Universität Karlsruhe, dem heutigen KIT / Karlsruher Institut für Technologie. Seitdem ist Rolf in der IT-Branche tätig und kennt die Branche aus dem Effeff – national und international. Seit mehr als 25 Jahren setzt er auf die internationale Zusammenarbeit von Experten über alle Kulturen hinweg. Diesen Ansatz verfolgte er auch in seinem ersten von ihm gegründeten Unternehmen, der AD Solutions AG, die sich schnell zu einem renommierten internationalen IT-Dienstleister mit mehreren Niederlassungen in Deutschland, der Schweiz, Österreich und den USA entwickelte. Seit 2010 ist Rolf Stephan General Manager und seit 2021 CEO der AXON IVY AG mit Hauptsitz in der Schweiz. Seit 2009 ist er für die Axsos AG als Investor, Aktionär und Aufsichtsratsvorsitzender tätig.

Frank Müller

Frank ist ein leidenschaftlicher IT-Experte und visionärer Unternehmer. Er liebt und glaubt an Frieden und Freiheit. Diese Werte sind für ihn mehr als nur Worte. Sie sind das Ergebnis von großem Bewusstsein, Verantwortung und einem soliden Fundament. Sein Fundament ist sein Glaube an Jesus und seine bedingungslose Liebe zu den Menschen. Auf diesem Fundament baut Frank seine großen Visionen auf, wie zum Beispiel den Einsatz für den Frieden im Heiligen Land. Er scheut sich nicht, kreative und unkonventionelle Ideen zu verwirklichen, wie die Gründung eines mittelständischen Unternehmens, das sich über vier Länder und Kulturen erstreckt und seinen Mitarbeitern viel Freiheit bietet. Die Gründung einer Bootcamp-Akademie mitten in der Coronavirus-Pandemie gehört sicherlich zu diesen Unternehmungen. Durch diese Bemühungen schafft Frank neue Innovationen und einen Mehrwert für seine Kunden und die Menschen, die mit ihm unterwegs sind. Mit mehr als 32 Jahren IT-Erfahrung und 15 Jahren als Unternehmer hilft Frank anderen Unternehmern, sich auf ihr Kerngeschäft zu konzentrieren und ihre Anforderungen in technologische Möglichkeiten und Implementierungen umzusetzen. Sein Team und er können diese Anforderungen in eine maßgeschneiderte IT-Strategie, Prozesse und Technologien umsetzen. Frank hat immer ein Herz für die Menschen, die er unterstützt, und möchte sie ermutigen, neue Wege zu gehen und ihr Potenzial zu entwickeln. Frank ist offen für den Gedankenaustausch mit Menschen, die Werte nicht als CSR oder Marketinggeschwätz sehen, sondern als Grundlage ihres Handelns. Er sucht den Kontakt zu Menschen, die die Welt zum Besseren verändern wollen. Darüber hinaus sind auch diejenigen willkommen, die auf dem Weg in die Cloud, die Digitalisierung oder den Einsatz von KI die Unterstützung von ihm oder seinem Team suchen.