Multi-Faktor-Authentifizierung (MFA) verringert das Risiko, dass ein gestohlenes Passwort zum Zugriff auf ein Konto ausreicht. Ihre Wirksamkeit hängt von der Auswahl der Konten, der Methoden, der Wiederherstellung und der Begleitung der Nutzenden ab.
Redaktion: Cybersécurité Solution.
Dokumentarische Zusammenfassung auf Grundlage institutioneller Quellen und der im Artikel zitierten offiziellen Dokumentationen. Unsere redaktionelle Methodik einsehen.
Redaktionelle Überprüfung: 24. August 2026. Dieser Inhalt dient der Information und stellt keine individuelle technische Beratung dar.
Diese Seite enthält allgemeine Informationen aus offiziellen Veröffentlichungen. Cybersécurité Solution führt keine technischen Eingriffe durch und erteilt keine individuelle Beratung. Jede Umgebung muss von einer kompetenten Fachperson entsprechend ihres Kontexts geprüft werden.
Ein Passwort kann durch Phishing erbeutet, auf einem kompromittierten Dienst wiederverwendet oder auf einem infizierten Gerät ausgelesen werden. Multi-Faktor-Authentifizierung fügt einen zweiten Nachweis hinzu: eine App, einen physischen Schlüssel, Biometrie oder einen anderen Mechanismus. Angreifende müssen dann mehrere Elemente umgehen, statt nur ein Geheimnis zu kennen.
Dieser Schutz ist nicht absolut. Manche Methoden widerstehen Phishing besser als andere, und Nutzende können durch wiederholte Bestätigungsanfragen getäuscht werden. Zwei-Faktor-Authentifizierung sollte daher mit Gerätemanagement, Rechteverwaltung und Wiederherstellungsverfahren kombiniert werden.
Ein KMU muss nicht alle Konten am selben Tag aktivieren. Es kann mit jenen beginnen, deren Kompromittierung die größten Auswirkungen hätte: Administratoren, Mailbox der Geschäftsführung, Bank, Backups, Gehaltsabrechnung, Rechnungsstellung und Dienste, die andere Zugänge zurücksetzen können.
Dieser Ratgeber erklärt die wichtigsten Methoden und organisatorischen Punkte. Die genauen Einstellungen hängen von Anbietern und Lizenzen ab. Vor jeder umfassenden Änderung sollte das Unternehmen die Notfallkonten und die Folgen einer Aussperrung kennen.
Mit einem Passwort allein kann der Besitz des Geheimnisses zur Anmeldung ausreichen. Mit mehreren Faktoren verlangt der Dienst einen zusätzlichen Nachweis von einem Gerät, einer App oder einem Schlüssel. Diese Hürde verringert den Nutzen eines gestohlenen Passworts erheblich.
Der Vorteil ist besonders groß bei über das Internet erreichbaren Diensten. Wird jedoch eine bereits geöffnete Sitzung gekapert, ist die Wiederherstellung schwach oder bestätigt eine Person eine betrügerische Anfrage, kann das Konto trotzdem kompromittiert werden. Der Schutz muss als Teil eines Gesamtsystems betrachtet werden.
Die Priorität ergibt sich aus dem Dominoeffekt. Ein Konto, das neue Nutzerkonten anlegen, Wiederherstellungsdaten ändern oder auf Backups zugreifen kann, muss vor einem sekundären Dienst mit eingeschränkten Rechten geschützt werden.
Sie sind einfach einzuführen, hängen aber vom Mobilfunknetz ab und können bestimmten Angriffen auf die Leitung oder Social Engineering ausgesetzt sein. Sie bleiben in der Regel besser als gar kein zweiter Faktor, wenn andere Methoden nicht verfügbar sind.
Zeitbasierte Codes aus einer App laufen nicht über SMS. Push-Benachrichtigungen sind praktisch, aber Nutzende müssen den Kontext prüfen und vermeiden, eine nicht selbst ausgelöste Anfrage mechanisch zu bestätigen.
Physische Schlüssel und Methoden auf Basis von Standards wie FIDO2 binden die Authentifizierung an den tatsächlichen Dienst. Sie eignen sich besonders für Administratorkonten und Konten mit hoher Auswirkung, sofern Ersatzschlüssel verwaltet werden.
Ein Unternehmen kann ausgesperrt sein, wenn ein Telefon verloren geht, eine Mitarbeiterin oder ein Mitarbeiter ausscheidet oder die Authenticator-App nicht übertragen wurde. Notfallkonten, Wiederherstellungscodes und Supportverfahren müssen vor der Aktivierung festgelegt werden.
Wiederherstellungsmittel sind selbst sensible Zugänge. Sie dürfen nicht im selben Postfach oder auf demselben Gerät wie das geschützte Konto aufbewahrt werden. Ihre Nutzung sollte begrenzt, dokumentiert und getestet sein.
Die Einführung profitiert von einer Pilotgruppe. Reale Schwierigkeiten zeigen sich dann: dienstliche oder private Telefone, Mitarbeitende ohne Smartphone, Dienstreisen, Offline-Verbindungen und gemeinsam genutzte Arbeitsplätze. Antworten darauf sollten vor der unternehmensweiten Ausweitung feststehen.
Eine kurze Kommunikation erklärt, warum die Maßnahme eingeführt wird, wie eine normale Anfrage aussieht und wer bei einer Aussperrung zu kontaktieren ist. Nutzende sollten wissen, dass eine unerwartete Benachrichtigung auf einen Anmeldeversuch hindeuten kann und nicht automatisch bestätigt werden darf.
Zwei-Faktor-Authentifizierung ist schwer auf ein von mehreren Personen genutztes Konto anzuwenden. Diese Schwierigkeit zeigt oft, dass personalisierte Konten oder eine Delegationsfunktion nötig sind. Wenn die Anwendung dies nicht zulässt, muss die Ausnahme bekannt sein und durch andere Kontrollen ausgeglichen werden.
Manche älteren Anwendungen nutzen Protokolle, die mit moderner Authentifizierung unvereinbar sind. Ihr Fortbestand kann eine Umgehungsmöglichkeit schaffen. Der Dienstleister sollte diese Abhängigkeiten identifizieren und die Folgen erklären, bevor eine pauschale Regel erzwungen wird.
Protokolle können wiederholte Ablehnungen, Anmeldungen von neuen Geräten und Änderungen an Faktoren anzeigen. Eine Reihe unerwünschter Benachrichtigungen kann auf einen MFA-Fatigue-Angriff hindeuten, bei dem Angreifende hoffen, dass eine Anfrage schließlich akzeptiert wird.
Die Überprüfung sollte auch die registrierten Methoden umfassen: altes Telefon, private Nummer, nicht mehr kontrollierte App oder Schlüssel eines Dienstleisters. Faktoren müssen mit Stellenwechseln und Austritten aktualisiert werden.
Ein einfacher Indikator ist der Anteil geschützter prioritärer Konten, die ausgenommenen Konten und der Grund jeder Ausnahme. Der Fortschritt ist aussagekräftiger als eine irreführende Gesamtquote: hundert sekundäre Konten zu schützen, aber einen Administrator ohne MFA zu belassen, verringert das Hauptrisiko nicht.
Zwei-Faktor-Authentifizierung ersetzt nicht eindeutige Passwörter, das Löschen alter Konten, die Begrenzung von Rechten und Wachsamkeit gegenüber Phishing. Sie fügt eine Barriere hinzu, behebt aber nicht andere Schwächen der Identitätsverwaltung.
Jedes Unternehmen hat ein anderes Umfeld, andere Verträge und Rahmenbedingungen. Sie können Ihren Bedarf sachlich beschreiben. Mit Ihrer Zustimmung können Ihre Kontaktdaten an einen unabhängigen Partner weitergegeben werden, der allein für seine Analyse, seine Preise und die vorgeschlagenen weiteren Schritte verantwortlich bleibt.
Zum FormularDie Einführung kann mit den Konten beginnen, deren Kompromittierung die meiste Kontrolle verschaffen oder sofortigen Betrug ermöglichen würde. Die Priorität hängt also nicht nur von der Anzahl der Nutzenden ab.
| Priorität | Konten | Warum |
|---|---|---|
| 1 | Administratoren, Notfall- und Wiederherstellungskonten | Sie erlauben, Rechte, Regeln oder Wiederherstellungsmittel zu ändern. |
| 2 | Mailbox der Geschäftsführung, Finanzen und Buchhaltung | Sie werden häufig für Identitätsmissbrauch und Überweisungsbetrug angegriffen. |
| 3 | Cloud, Fachanwendungen, CRM, Speicher und Fernzugänge | Sie bündeln Daten und geben Zugang zu mehreren Diensten. |
| 4 | Bank, Zahlungsverkehr, Lieferanten und sensible Plattformen | Eine Kompromittierung kann zu direktem finanziellem Schaden führen. |
Diese Matrix sollte an das Unternehmen angepasst und durch ein getestetes Wiederherstellungsverfahren ergänzt werden. Multi-Faktor-Authentifizierung gehört zu den in § 30 BSIG genannten Risikomanagementmaßnahmen und wird vom BSI im Rahmen des IT-Grundschutzes als vorrangige Maßnahme empfohlen.
Zwei-Faktor-Authentifizierung zählt zu den wirksamsten Maßnahmen gegen das Risiko gestohlener Passwörter. Ihre Einführung sollte dennoch wie ein Zugangsprojekt gesteuert werden: Prioritäten, Methoden, Wiederherstellung, Ausnahmen und Unterstützung der Nutzenden.
Ein kleines Unternehmen kann schrittweise vorgehen. Zuerst Administratorkonten, Mailbox, Backups und Zahlungsverkehr zu schützen, bringt einen unmittelbaren Nutzen. Der Erfolg zeigt sich anschließend an der Verringerung der Ausnahmen und der Fähigkeit, ein Konto wiederherzustellen, ohne die Sicherheit zu schwächen.
Nein. SMS ist in der Regel besser als gar kein zweiter Faktor, aber für besonders sensible Konten sollten phishing-resistentere Methoden bevorzugt werden.
Das hängt von der Unternehmensrichtlinie, dem geltenden Recht und den verfügbaren Lösungen ab. Verantwortlichkeiten, Support und Alternativen sollten vor der Einführung festgelegt werden.
Das Unternehmen benötigt ein Wiederherstellungsverfahren: Ersatzfaktor, alternativer Schlüssel oder Eingriff einer berechtigten Administratorin bzw. eines Administrators. Dieses Verfahren muss vor dem Vorfall vorbereitet sein.
Sie verringert das Risiko erheblich, dass ein gestohlenes Passwort ausreicht, aber manche Angriffe versuchen, eine Bestätigungsanfrage zu erschleichen oder eine Sitzung zu kapern. Sensibilisierung und phishing-resistente Methoden bleiben wichtig.
Diese öffentlichen Quellen dienten zur Überprüfung und Einordnung der dargestellten Informationen.
Links geprüft am 24. August 2026.