MFA sichert eine Anmeldung mit mindestens zwei unabhängigen Faktoren ab, etwa Passwort plus Hardware-Schlüssel oder App-Bestätigung, sodass ein gestohlenes Passwort allein keinen Zugang verschafft.
Multi-Faktor-Authentifizierung (MFA) verlangt für eine Anmeldung mindestens zwei Nachweise aus unterschiedlichen Kategorien: etwas, das man weiß (Passwort, PIN), etwas, das man besitzt (Smartphone, Hardware-Token, Smartcard), oder etwas, das man ist (Fingerabdruck, Gesicht). Ein Angreifer, der ein Passwort durch Phishing, Datenleck oder Raten erlangt hat, scheitert am zweiten Faktor. MFA gilt deshalb als eine der wirksamsten Einzelmaßnahmen gegen die Übernahme von Konten.
Nicht alle MFA-Verfahren sind gleich stark. Der Unterschied zwischen einer SMS mit Einmalcode und einem FIDO2-Hardware-Schlüssel entscheidet darüber, ob die Maßnahme einem gezielten Angriff standhält.
Verfahren im Vergleich
- SMS und Anruf: Weit verbreitet, aber anfällig für SIM-Swapping und das Abfangen von Codes auf gefälschten Anmeldeseiten. Nur als Übergangslösung geeignet.
- Zeitbasierte Einmalcodes (TOTP) aus einer App: Besser als SMS, aber der Code lässt sich auf einer Phishing-Seite eingeben und in Echtzeit weiterreichen.
- Push-Bestätigung: Komfortabel; ohne Nummernabgleich jedoch anfällig für „MFA Fatigue", bei dem Nutzer nach vielen Anfragen irgendwann bestätigen.
- Phishing-resistente Verfahren: Passkeys und FIDO2-Schlüssel sowie zertifikatsbasierte Anmeldung binden den Nachweis kryptografisch an die echte Domain. Eine gefälschte Seite erhält keinen gültigen Nachweis.
Ergänzend bewertet Conditional Access den Kontext der Anmeldung und fordert MFA risikoabhängig an.
Bedeutung für Unternehmen
MFA ist inzwischen regulatorische Erwartung: NIS2 nennt sie ausdrücklich als Mindestmaßnahme, Cyberversicherer machen sie zur Bedingung. Der Grund ist der Zahlen wegen eindeutig: Laut Verizon DBIR 2025 war Credential Abuse an 22 Prozent der Breaches beteiligt. Ohne MFA ist jedes im Umlauf befindliche Passwort ein offener Zugang.
Was wir in Einsätzen sehen: MFA ist eingeführt, aber nicht überall. Typische Lücken sind Dienstkonten, Legacy-Protokolle wie IMAP oder SMTP-Auth, die keine MFA unterstützen und noch aktiviert sind, VPN-Zugänge mit reinem Passwort, Administrationsoberflächen im internen Netz und Notfallkonten ohne zweiten Faktor. Wo MFA mit Codes oder Push arbeitet, lässt sie sich mit realistischen Phishing-Szenarien umgehen, die den zweiten Faktor in Echtzeit abfragen oder die Sitzung nach der Anmeldung übernehmen. Dies ist in unseren Phishing-Kampagnen regelmäßig erfolgreich und für Kunden oft die wichtigste Erkenntnis des Einsatzes.
Praxis: Umsetzung und Prüfung
- Vollständigkeit vor Komfort: Inventarisieren Sie alle Anmeldewege, inklusive VPN, Fernwartung, Cloud-Konsolen, E-Mail-Protokolle und Administrationsschnittstellen. Jede Ausnahme ist ein Einstiegspunkt.
- Veraltete Authentifizierung abschalten: Legacy-Protokolle ohne MFA-Unterstützung deaktivieren, nicht nur überwachen.
- Phishing-resistente Verfahren für privilegierte Konten: Administratoren, Geschäftsführung und Finanzbereich zuerst auf FIDO2 oder Passkeys umstellen; den Rest schrittweise.
- Nummernabgleich und Kontextanzeige bei Push: Reduziert die Wirkung von MFA-Fatigue-Angriffen; zusätzlich Alarm bei vielen abgelehnten Anfragen.
- Umgehungsresistenz testen: Eine Red-Team- oder Social-Engineering-Kampagne zeigt, ob Ihre MFA einem Angriff standhält, der auf den zweiten Faktor zielt, und ob das SOC ungewöhnliche Anmeldungen nach einer erfolgreichen Umgehung erkennt.