Multi-Faktor-Authentifizierung (MFA)

Passwörter allein schützen Konten nur unzureichend. Sie werden erraten, in Datenlecks veröffentlicht, mehrfach verwendet oder über Phishing abgegriffen. Multi-Faktor-Authentifizierung ergänzt das Passwort um mindestens einen weiteren Nachweis und gilt deshalb als eine der wirksamsten Einzelmaßnahmen gegen Kontoübernahmen. Bei genau zwei Faktoren spricht man auch von Zwei-Faktor-Authentifizierung (2FA). Die NIS2-Richtlinie nennt Multi-Faktor-Authentifizierung ausdrücklich unter den Maßnahmen zum Management von Cybersicherheitsrisiken, soweit sie angemessen ist.

Wie funktioniert Multi-Faktor-Authentifizierung?

Die Faktoren stammen aus unterschiedlichen Kategorien:

• Wissen: etwas, das nur die Person weiß, etwa Passwort oder PIN.
• Besitz: etwas, das sie hat, etwa Smartphone, Hardware-Schlüssel oder Smartcard.
• Inhärenz: ein körperliches Merkmal wie Fingerabdruck oder Gesicht.

Entscheidend ist, dass die Faktoren aus verschiedenen Kategorien stammen. Zwei Passwörter ergeben keine MFA.

Die Verfahren unterscheiden sich deutlich in ihrer Sicherheit. SMS-Codes sind besser als kein zweiter Faktor, lassen sich aber abfangen oder durch Täuschung erfragen. Einmalcodes aus einer Authenticator-App und Push-Bestätigungen sind verbreitet, können bei ausgefeiltem Phishing aber ebenfalls ausgehebelt werden. Als phishing-resistent gelten Verfahren nach dem FIDO2-Standard, etwa Hardware-Sicherheitsschlüssel und Passkeys, weil sie kryptografisch an die echte Website gebunden sind.

Typische Beispiele

• Anmeldung an Microsoft 365 mit Passwort und Bestätigung in einer Authenticator-App.
• VPN-Zugang für das Homeoffice mit zusätzlichem Einmalcode.
• Administratorkonten, die nur mit Hardware-Sicherheitsschlüssel nutzbar sind.
• Zugriff auf Fernwartungswerkzeuge und auf die Verwaltungsoberflächen von Firewalls oder Servern.
• Freigabe einer Überweisung im Online-Banking auf einem registrierten Gerät.

Worauf Unternehmen achten sollten

• MFA für alle Konten aktivieren, zuerst für Administratoren, Fernzugänge, E-Mail und Cloud-Dienste.
• Veraltete Anmeldeprotokolle abschalten, die keine MFA unterstützen und sie damit umgehen können.
• Push-Bestätigungen nur mit Zahlenabgleich verwenden, damit massenhaft ausgelöste Anfragen („MFA-Fatigue“) nicht zu einer unbedachten Freigabe führen.
• Für besonders schützenswerte Konten phishing-resistente Verfahren einsetzen.
• Abläufe für verlorene Geräte und das Zurücksetzen von Faktoren festlegen, denn auch der Helpdesk kann Ziel von Social Engineering sein.

Abgrenzung

MFA beschreibt die Prüfung der Identität bei der Anmeldung. Conditional Access entscheidet zusätzlich anhand von Kontext wie Gerät, Standort oder Risiko, ob und mit welchen Faktoren eine Anmeldung erlaubt wird.