Wie funktioniert MFA?
Ein Faktor ist eine Art von Nachweis. Unterschieden werden drei Arten: etwas, das man weiß (Passwort, PIN), etwas, das man besitzt (Smartphone, Sicherheitsschlüssel), und etwas, das man ist (Fingerabdruck, Gesicht). MFA verlangt mindestens zwei verschiedene Arten. Zwei Passwörter hintereinander sind deshalb keine MFA.
Verfahren im Vergleich
| Verfahren | Sicherheit | Hinweis |
|---|---|---|
| SMS-Code | gering | kann abgefangen oder umgeleitet werden |
| Einmalcode aus einer App (TOTP) | mittel | Code kann auf einer gefälschten Seite abgegriffen werden |
| Push-Bestätigung | mittel | anfällig für „MFA-Müdigkeit“ durch wiederholte Anfragen |
| Push mit Zahlenabgleich | gut | CISA nennt es eine der besten Zwischenlösungen[1] |
| Sicherheitsschlüssel (FIDO2) oder Passkey | hoch | phishing-resistent, da an die echte Webseite gebunden[1] |
Die US-Behörde CISA rät allen Organisationen dringend zu phishing-resistenter MFA. Wo das nicht sofort möglich ist, soll zumindest Zahlenabgleich bei Push-Bestätigungen eingesetzt werden.[1]
Wo MFA Pflicht sein sollte
Das BSI empfiehlt, Fernzugänge nur über VPN mit zweitem Faktor zu betreiben und privilegierte Konten immer mit Multi-Faktor-Authentisierung zu schützen.[2] Für Unternehmen unter NIS2 gehören Multi-Faktor-Authentifizierung und gesicherte Kommunikation ausdrücklich zu den Pflichtmaßnahmen.[3] Unsere Reihenfolge für den Mittelstand:
- VPN, Fernwartung und Remote-Desktop
- Administratorkonten und das Konto des IT-Dienstleisters
- Microsoft 365 bzw. E-Mail für alle Mitarbeitenden
- Online-Banking, Buchhaltung und Lohnabrechnung
- Alle übrigen Cloud-Dienste
Beispiel aus der Praxis
Bei einer Rechtsanwaltskanzlei mit zwölf Mitarbeitenden gibt eine Kollegin ihr Microsoft-365-Passwort auf einer gefälschten Anmeldeseite ein. Am selben Abend versuchen sich Angreifer aus dem Ausland damit anzumelden. Weil MFA mit Zahlenabgleich aktiv ist, erscheint auf ihrem Handy eine Anfrage mit einer Zahl, die sie nicht kennt. Sie lehnt ab und meldet es. Das Passwort wird geändert, die Angreifer kommen nicht ins Postfach. Ohne MFA hätten sie Zugriff auf Mandantenkorrespondenz gehabt.
MFA vs. Passwortmanager
Beide ergänzen sich. Ein Passwortmanager sorgt für lange, einzigartige Passwörter, sodass ein Datenleck bei einem Dienst nicht alle anderen gefährdet. MFA sorgt dafür, dass ein gestohlenes Passwort allein nicht reicht. Am besten nutzt man beides.
Kurz gesagt
MFA verlangt neben dem Passwort einen zweiten, unabhängigen Nachweis und macht gestohlene Passwörter weitgehend wertlos. Am sichersten sind Sicherheitsschlüssel und Passkeys; Push-Bestätigung mit Zahlenabgleich ist eine gute Zwischenlösung. Fernzugänge, Administratorkonten und E-Mail sollten zuerst geschützt werden.
Weiterlesen: MFA oder Passwortmanager im Unternehmen?, VPN fürs Homeoffice einrichten, Mitarbeiter gegen Phishing sensibilisieren