MFA ist eine der wirksamsten und günstigsten Schutzmassnahmen überhaupt und sollte überall aktiv sein.
Wie funktioniert Multi-Faktor-Authentifizierung?
MFA verlangt beim Anmelden mindestens zwei unabhängige Nachweise aus verschiedenen Kategorien: etwas, das Sie wissen (Passwort), etwas, das Sie besitzen (Smartphone, Sicherheitsschlüssel), oder etwas, das Sie sind (Fingerabdruck, Gesicht). Ein gestohlenes Passwort allein reicht damit nicht mehr für den Zugriff.
Nach dem NIST-Standard für digitale Identität gilt ein Anmeldevorgang erst als ausreichend abgesichert (Authenticator Assurance Level 2), wenn der Nachweis von zwei unterschiedlichen Faktoren gemeinsam erfolgt, etwa Passwort plus ein Einmalcode-Gerät oder ein Sicherheitsschlüssel. Phishing-resistente Verfahren wie Passkeys gelten dabei als besonders robust, weil sie ohne abfragbaren Code arbeiten.
Für wen ist MFA relevant, und ist es Pflicht?
MFA ist für jedes Unternehmen relevant, das Cloud-Dienste, E-Mail oder Fernzugriffe nutzt, praktisch also für jedes KMU. Für wesentliche und wichtige Einrichtungen im Sinn der EU-Richtlinie NIS2 gehört die Verwendung von Multi-Faktor- oder kontinuierlicher Authentifizierung ausdrücklich zu den verlangten Massnahmen im Cybersicherheitsrisikomanagement, wo angemessen.
Ausserhalb eines gesetzlichen Zwangs gilt MFA branchenübergreifend als eine der wirksamsten und günstigsten Einzelmassnahmen gegen Kontoübernahmen. Wer NIS2, DORA oder eine ISO-27001-Zertifizierung anstrebt, wird MFA praktisch immer als Nachweis vorgelegt bekommen, unabhängig davon, ob es im eigenen Fall eine explizite Pflicht ist.
Wie führen Sie MFA im Unternehmen richtig ein?
Für eine Einführung, die akzeptiert statt umgangen wird, empfiehlt sich diese Reihenfolge.
- MFA zuerst für Admin-Konten und Fernzugriffe aktivieren, danach flächendeckend für alle Konten
- Phishing-resistente Verfahren wie Passkeys oder Authenticator-Apps bevorzugen, SMS-Codes nur als Rückfalloption
- Conditional Access nutzen, damit MFA nur bei riskantem Kontext abgefragt wird, nicht bei jeder Anmeldung
- Einen Notfallzugang für den Fall eines verlorenen zweiten Faktors einrichten und dokumentieren
Welche Fehler passieren bei MFA am häufigsten?
Der häufigste Fehler ist eine Lücke: MFA für die Hauptanwendung, aber nicht für Fernzugriff, Admin-Konten oder ein altes Nebensystem, wodurch Angreifer gezielt die ungeschützte Stelle suchen. Ebenso häufig wird ausschliesslich auf SMS-Codes gesetzt, die anfälliger für Abfangen und sogenanntes SIM-Swapping sind als App-basierte oder gerätegebundene Verfahren.
Drittens wird MFA ohne Rücksicht auf Nutzerfreundlichkeit ausgerollt, sodass Mitarbeitende Wege suchen, es zu umgehen. Und viertens fehlt ein Notfallzugang, sodass ein verlorenes Telefon eine ganze Anmeldung blockiert, statt geregelt aufgefangen zu werden.
Worauf sollten Sie bei MFA-Lösungen achten?
Über die reine Code-Abfrage hinaus zählt bei der Auswahl Folgendes.
- Unterstützung phishing-resistenter Verfahren wie Passkeys oder FIDO2-Sicherheitsschlüssel statt nur SMS
- Integration mit Conditional Access, um Reibung auf riskante Anmeldungen zu begrenzen
- Zentrale Verwaltung über den Identitätsanbieter statt Insellösungen pro Anwendung
Häufige Fragen
Ist MFA gesetzlich vorgeschrieben?
Für wesentliche und wichtige Einrichtungen nach der EU-Richtlinie NIS2 gehört die Verwendung von Multi-Faktor- oder kontinuierlicher Authentifizierung ausdrücklich zu den verlangten Cybersicherheitsmassnahmen, wo angemessen (Art. 21 Abs. 2 lit. j). Ausserhalb dieses Anwendungsbereichs gibt es keine allgemeine Pflicht, MFA gilt aber als Stand der Technik.
Was ist der Unterschied zwischen MFA und 2FA?
2FA, die Zwei-Faktor-Authentifizierung, ist ein Spezialfall von MFA mit genau zwei Faktoren. MFA ist der Oberbegriff für zwei oder mehr unabhängige Nachweise.
Sind SMS-Codes eine sichere Form von MFA?
Besser als kein zweiter Faktor, aber schwächer als App-basierte Verfahren oder Sicherheitsschlüssel, weil SMS anfälliger für Abfangen ist. Phishing-resistente Verfahren wie Passkeys gelten als deutlich robuster.
Nervt MFA die Mitarbeitenden im Alltag?
Richtig eingerichtet kaum, wenn Conditional Access den Faktor nur bei riskantem Kontext abfragt, etwa neuem Gerät oder ungewöhnlichem Standort, statt bei jeder einzelnen Anmeldung.
Was passiert, wenn ich mein Zweitgerät verliere?
Dafür braucht es einen vorab dokumentierten Notfallzugang oder eine Wiederherstellungsoption über den Identitätsanbieter, sonst blockiert der Verlust den Zugang vollständig.
Reicht MFA allein für einen guten Schutz?
MFA ist eine der wirksamsten Einzelmassnahmen, ersetzt aber nicht weitere Bausteine wie Conditional Access, Endpoint-Management und E-Mail-Security, die zusammen ein tragfähiges Sicherheitsniveau ergeben.
Quellen
- Richtlinie (EU) 2022/2555 (NIS2), Art. 21 Abs. 2 lit. j, EUR-Lex, Amt für Veröffentlichungen der Europäischen Union, 2022
- SP 800-63B: Digital Identity Guidelines, Authentication and Authenticator Management, National Institute of Standards and Technology (NIST), 2020