Multi-Faktor-Authentifizierung: Der Standard gegen Passwort-Diebstahl

Multi-Faktor-Authentifizierung ist heute der verlässlichste Basisschutz gegen Identitätsdiebstahl und unautorisierten Zugriff auf Unternehmenssysteme. Dennoch verzichten viele Unternehmen noch immer auf eine vollständige MFA-Implementierung. Häufige Gründe hierfür sind der unterschätzte Aufwand oder eine mangelnde Priorisierung. Dabei zeigen aktuelle Sicherheitsberichte konsistent: Der Großteil der erfolgreichen Angriffe auf Unternehmenskonten basieren auf schwachen oder gestohlenen Passwörtern. Multi-Faktor-Authentifizierung schließt diese Lücke strukturell.

Was ist Multi-Faktor-Authentifizierung?

Multi-Faktor-Authentifizierung (MFA) bezeichnet ein Verfahren, bei dem der Zugang zu einem System nicht nur durch ein Passwort, sondern durch mindestens zwei unabhängige Faktoren gesichert wird. Diese Faktoren entstammen verschiedenen Kategorien:

• Wissen: etwas, das nur der Nutzer kennt (Passwort, PIN)
• Besitz: etwas, das nur der Nutzer hat (Smartphone, Hardware-Token, Smartcard)
• Biometrie: etwas, das der Nutzer ist (Fingerabdruck, Gesichtserkennung)

Erst wenn mindestens zwei dieser Faktoren erfolgreich validiert sind, wird der Zugang gewährt. Ein gestohlenes Passwort allein reicht damit nicht mehr aus, um ein Konto zu kompromittieren.

Abgrenzung: MFA vs. 2FA

Zwei-Faktor-Authentifizierung (2FA) ist ein Spezialfall der Multi-Faktor-Authentifizierung und verwendet genau zwei Faktoren. MFA kann drei oder mehr Faktoren umfassen, wird aber im Unternehmenskontext häufig synonym mit 2FA verwendet. Für die meisten Anwendungsfälle ist eine Zwei-Faktor-Lösung bereits ein erheblicher Sicherheitsgewinn.

MFA Vorteile: Was Unternehmen konkret gewinnen

Die Einführung von Multi-Faktor-Authentifizierung ist keine rein technische Maßnahme.  Sie hat direkte Auswirkungen auf das Risikoniveau des gesamten Unternehmens. MFA ist kein isoliertes Tool. Im Kontext einer Zero-Trust-Architektur ist sie eine der zentralen Säulen: Identitäten werden erst nach erfolgreicher Mehrfaktorprüfung als vertrauenswürdig eingestuft.

Schutz auch bei Datenpannen

Passieren Datenpannen bei Drittanbietern und geraten dabei Zugangsdaten in fremde Hände, schützt MFA dennoch: Ohne den zweiten Faktor bleibt der Angreifer gesperrt. Das reduziert den Schadenradius geleakter Passwortlisten erheblich.

Compliance-Erfüllung

Regulatorische Rahmenbedingungen wie NIS2, ISO 27001, SOC 2 oder die DSGVO fordern ausdrücklich oder sinngemäß den Einsatz starker Authentifizierungsverfahren. MFA ist für viele Unternehmen damit nicht nur sinnvoll, sondern Pflicht.

Vertrauen bei Kunden und Partnern

Gerade für Unternehmen, die Kundendaten verarbeiten oder kritische Dienstleistungen erbringen, signalisiert eine nachweislich gesicherte Authentifizierung Verlässlichkeit.

Gängige MFA-Methoden im Vergleich

Nicht alle MFA-Methoden bieten das gleiche Sicherheitsniveau. Die Wahl der Methode sollte sich am Schutzbedarf der jeweiligen Systeme und am Komfort für die Nutzenden orientieren.

Authenticator-Apps (TOTP)

Apps wie Microsoft Authenticator oder Google Authenticator generieren zeitbasierte Einmalcodes (TOTP). Sie bieten ein hohes Sicherheitsniveau und sind unabhängig von einer Netzwerkverbindung. Phishing-resistenz ist jedoch begrenzt: Codes können durch Social Engineering abgegriffen werden.

Hardware-Token (FIDO2 / Passkeys)

FIDO2-basierte Hardware-Tokens oder Passkeys bieten das höchste verfügbare Sicherheitsniveau. Sie sind phishing-resistent, da die Authentifizierung kryptografisch an die jeweilige Domain gebunden ist. Besonders für privilegierte Konten und kritische Systeme empfohlen.

Push-Benachrichtigungen

Nutzer bestätigen den Anmeldeversuch per Push-Benachrichtigung auf ihrem Smartphone. Komfortabel, aber anfällig für MFA-Fatigue-Angriffe, bei denen Angreifer wiederholt Push-Anfragen senden, bis ein Nutzer aus Versehen bestätigt.

SMS-basierte Codes

Einmalcodes per SMS sind die älteste und am wenigsten sichere MFA-Methode. SIM-Swapping, SS7-Angriffe und Abfangen durch Schadsoftware machen SMS-Codes für geschäftskritische Anwendungen ungeeignet. Als einfacher Einstieg noch vertretbar, sollte jedoch durch modernere Methoden ersetzt werden.

Passwortlos anmelden: Der nächste Schritt

Multi-Faktor-Authentifizierung ist der aktuelle Standard – passwortlose Authentifizierung ist die Zukunft. Bei passwortlosen Verfahren entfällt das Passwort vollständig; die Identität wird ausschließlich über kryptografische Faktoren nachgewiesen (z. B. Biometrie in Kombination mit einem Geräteschlüssel).

Vorteile:

• Kein Passwort, das gestohlen, vergessen oder wiederverwendet werden kann
• Geringere Schulungsaufwände durch intuitivere Bedienung
• Hohe Phishing-Resistenz durch kryptografische Domain-Bindung

Microsoft, Google und Apple setzen Passkeys bereits als Standard ein; im Unternehmenskontext gewinnen sie durch Identity-Provider-Integrationen zunehmend an Bedeutung. Unternehmen, die heute MFA einführen, sollten die Infrastruktur von Anfang an so aufbauen, dass der Übergang zu passwortlosen Verfahren schrittweise möglich bleibt.

MFA einführen im Unternehmen: Ein strukturierter Ansatz

Schritt 1: Bestandsaufnahme und Priorisierung

Nicht alle Systeme haben den gleichen Schutzbedarf. Beginnen Sie mit einer Inventarisierung:

• Welche Systeme sind extern erreichbar (VPN, E-Mail, Cloud-Dienste)?
• Welche Konten verfügen über privilegierte Berechtigungen?
• Welche Daten sind besonders schützenswert?

Priorisieren Sie die Einführung für Systeme mit hohem Risikopotenzial. Das sind typischerweise externe Zugangspunkte und administrative Konten.

Schritt 2: Auswahl der Authentifizierungsmethode

Wählen Sie die Methode passend zum Schutzbedarf und zum technischen Reifegrad Ihrer Nutzenden:

• Hoher Schutzbedarf, technisch affine Nutzende: FIDO2 / Hardware-Token
• Standardsysteme, breite Nutzerbasis: Authenticator-App (TOTP oder Push)
• Externen Partner-Zugriff: Push-Benachrichtigung oder TOTP

Vermeiden Sie SMS-basierte Lösungen für kritische Systeme.

Schritt 3: Rollout und Change Management

MFA-Einführungen scheitern häufig nicht an der Technik, sondern an der Akzeptanz. Empfohlene Maßnahmen:

• Frühzeitige Kommunikation und Einbindung der Fachabteilungen
• Pilotgruppen vor dem vollständigen Rollout
• Klare Anleitungen und Supportangebote für Nutzende
• Helpdesk-Kapazitäten für den Einführungszeitraum planen

Schritt 4: Monitoring und kontinuierliche Verbesserung

MFA ist kein einmaliges Projekt, sondern ein dauerhafter Betrieb:

• Anomalie-Erkennung bei ungewöhnlichen Anmeldeversuchen
• Regelmäßige Überprüfung der genutzten Methoden auf aktuelle Sicherheitsstandards
• Anpassung bei neuen Angriffsmustern (z. B. MFA-Fatigue-Schutz)

Häufig gestellte Fragen

Macht MFA das Passwort überflüssig?

MFA ergänzt das Passwort durch einen zweiten Faktor, ersetzt es aber zunächst nicht. Passwortlose Verfahren wie Passkeys gehen einen Schritt weiter und machen das Passwort tatsächlich obsolet. Für die meisten Unternehmen ist der Übergang zu passwortlosen Verfahren ein mittelfristiges Ziel, während MFA den sofort wirksamen Schutz bietet.

Wie reagiert MFA auf den MFA-Fatigue-Angriff?

Bei MFA-Fatigue senden Angreifer wiederholt Push-Benachrichtigungen, um Nutzende zur unbeabsichtigten Bestätigung zu verleiten. Abhilfe schaffen nummerbasierte Abgleichverfahren (Number Matching), bei denen der Nutzer einen angezeigten Code aktiv bestätigen muss, sowie FIDO2-Tokens, die keine Push-Bestätigung verwenden.

Was kostet die Einführung von MFA?

Die Kosten variieren je nach gewählter Methode und vorhandener Infrastruktur. Cloud-basierte Identity-Provider mit integrierter MFA sind bereits ab wenigen Euro pro Nutzer und Monat verfügbar. Hardware-Token liegen höher, amortisieren sich aber schnell angesichts des durchschnittlichen Schadens durch einen kompromittierten Account.

MFA jetzt einführen – Axsos begleitet Ihr Unternehmen bei der sicheren Implementierung der Multi-Faktor-Authentifizierung.

Dieser Inhalt wurde mit Hilfe von KI erstellt, wurde aber vor Veröffentlichung redaktionell geprüft und überarbeitet.