Was MFA ist
Bei der Mehrfaktor-Authentifizierung (MFA) weisen Sie sich mit mindestens zwei unabhängigen Faktoren aus: etwas, das Sie wissen (Passwort), etwas, das Sie besitzen (Smartphone, Sicherheitsschlüssel) oder etwas, das Sie sind (Fingerabdruck, Gesicht). Wird das Passwort abgegriffen, bleibt der Zugang ohne den zweiten Faktor verschlossen.
Welche Verfahren es gibt
- Authenticator-App (TOTP oder Push): weit verbreitet und gut zu handhaben. Push-Verfahren mit Zahlenabgleich erschweren ermüdungsbasierte Angriffe.
- FIDO2-Sicherheitsschlüssel und Passkeys: besonders widerstandsfähig gegen Phishing, weil die Anmeldung an die echte Website gebunden ist.
- Hardware-Token und Smartcards: in bestimmten Umgebungen üblich.
- SMS-Codes: besser als nichts, aber anfälliger, etwa durch SIM-Tausch. Nur als Notlösung.
Wo MFA zuerst hingehört
Beginnen Sie mit Administratorkonten, E-Mail und Fernzugriff (VPN, Remote Desktop, Cloud-Dienste). Danach folgen alle Benutzerkonten mit Zugriff auf Unternehmensdaten. In Umgebungen mit Microsoft Entra ID lassen sich Regeln über Conditional Access steuern, etwa MFA außerhalb des Firmennetzes.
So führen Sie MFA ein
- Verfahren festlegen und Ausnahmen klar begrenzen.
- Notfallzugänge einplanen: zwei Break-glass-Konten für Administratoren, sicher verwahrt und überwacht, damit ein Fehler Sie nicht aussperrt.
- Pilotgruppe starten, Erfahrungen sammeln, dann schrittweise ausrollen.
- Mitarbeitende begleiten: kurze Anleitung, Ansprechpartner, Hilfe bei Gerätewechsel.
- Wiederherstellung regeln: Was passiert bei verlorenem Smartphone?
- Veraltete Anmeldeverfahren abschalten, die MFA umgehen.