Was ist Multi-Faktor-Authentifizierung und warum reicht ein Passwort nicht mehr?
Multi-Faktor-Authentifizierung (MFA) verlangt neben dem Passwort einen zweiten, unabhängigen Nachweis der Identität, etwa einen Code aus einer App, einen biometrischen Scan oder einen Hardware-Schlüssel. Selbst wenn ein Angreifer das Passwort kennt, fehlt ihm ohne diesen zweiten Faktor der Zugriff auf das Konto.
Passwörter allein sind aus mehreren Gründen unzureichend: Sie werden mehrfach verwendet, bei Datenlecks anderer Dienste offengelegt und lassen sich per Phishing-Mail gezielt abgreifen. Eine Analyse von Microsoft aus dem Jahr 2024 zeigt, dass Konten ohne MFA zehnmal häufiger kompromittiert werden als Konten mit aktivierter Zwei-Faktor-Absicherung.
Typisches Szenario: Gestohlene Zugangsdaten bei einem Dienstleister
Stellen Sie sich ein Dienstleistungsunternehmen aus Wertheim vor, bei dem die Microsoft-365-Zugangsdaten eines Mitarbeiters nach einem Datenleck bei einem externen Onlinedienst im Darknet auftauchen, weil dasselbe Passwort mehrfach verwendet wurde. Ohne aktivierte MFA könnte sich ein Angreifer direkt in das Postfach einloggen und von dort aus Rechnungsbetrug gegen Kunden starten. Eine aktivierte Zwei-Faktor-Authentifizierung stoppt den Anmeldeversuch in einem solchen Fall zuverlässig, selbst wenn das Passwort korrekt ist – genau dieses Muster liegt den meisten erfolgreichen Kontoübernahmen zugrunde.
Welche MFA-Methoden gibt es und welche ist die richtige?
Für Unternehmen kommen vier gängige MFA-Methoden infrage: SMS-Codes, Authenticator-Apps, Push-Benachrichtigungen und Hardware-Sicherheitsschlüssel. Die Methoden unterscheiden sich deutlich in Sicherheitsniveau und Benutzerfreundlichkeit.
| Methode | Sicherheitsniveau | Eignung |
|---|---|---|
| SMS-Code | Niedrig (anfällig für SIM-Swapping) | Einstieg, wenn nichts anderes möglich ist |
| Authenticator-App | Hoch | Standard für die meisten KMU-Mitarbeitenden |
| Push-Benachrichtigung | Hoch, aber anfällig für "MFA-Fatigue" | Geeignet mit Anzeige der Anmeldelokation |
| Hardware-Schlüssel (FIDO2) | Sehr hoch | Geschäftsführung, IT-Admins, sensible Konten |
Schutz vor Phishing
Selbst bei erfolgreichem Phishing eines Passworts bleibt das Konto ohne den zweiten Faktor geschützt.
Compliance-Baustein
MFA ist ein zentraler Baustein vieler NIS2-Umsetzungen und wird von Cyberversicherungen zunehmend vorausgesetzt.
Geringer Mehraufwand
Nach der Ersteinrichtung dauert eine MFA-Anmeldung nur wenige Sekunden länger als eine reine Passworteingabe.
Zentral verwaltbar
In Microsoft 365 lässt sich MFA zentral für alle Mitarbeitenden konfigurieren und überwachen.
Wie wird Multi-Faktor-Authentifizierung im Unternehmen eingeführt?
Bestandsaufnahme
Auflistung aller Systeme mit Login (Microsoft 365, VPN, Warenwirtschaft) und Priorisierung nach Kritikalität.
Methode festlegen
Auswahl von Authenticator-App als Standard und Hardware-Schlüssel für besonders schützenswerte Konten.
Pilotgruppe
Einführung zunächst bei IT-Administration und Geschäftsführung, um den Ablauf zu testen.
Unternehmensweiter Rollout
Schrittweise Einführung für alle Mitarbeitenden mit kurzer Einweisung und Support-Ansprechpartner.
Wichtig: Angreifer umgehen einfache Push-MFA zunehmend über sogenannte Device-Code-Phishing-Angriffe, bei denen Mitarbeitende zur Bestätigung eines fremden Anmeldeversuchs verleitet werden. Schulung zur Erkennung solcher Anfragen ist auch mit aktivierter MFA notwendig.
Fazit: Multi-Faktor-Authentifizierung als Pflichtbaustein
Multi-Faktor-Authentifizierung im Unternehmen ist eine der wenigen Sicherheitsmaßnahmen, die mit geringem Aufwand einen sehr hohen Schutzeffekt erzielt. Unternehmen in Wertheim, im Main-Tauber-Kreis und im übrigen Baden-Württemberg sollten MFA für alle geschäftskritischen Systeme als Mindeststandard etablieren, ergänzt um eine kurze Mitarbeiterschulung gegen neue Umgehungsversuche.
Multi-Faktor-Authentifizierung mit CoKom einführen
Die CoKom Computer & Kommunikation GmbH aus Wertheim richtet Multi-Faktor-Authentifizierung für Microsoft 365 und weitere Systeme bei KMU im Main-Tauber-Kreis ein und schult Mitarbeitende im Umgang damit. Details zu unserem Leistungsspektrum unter IT-Leistungen, weitere Sicherheitsthemen im CoKom-Blog.