Was ist MFA?

Multi-Faktor-Authentifizierung (MFA) einfach erklärt

Wenn Sie sich an einem Computer oder Online-Dienst anmelden, beweisen Sie, dass Sie wirklich Sie sind. Fachleute nennen das Authentifizierung. Meist genügt dafür ein Passwort. Das Problem: Passwörter lassen sich erraten, abfangen oder in Datenlecks finden.

Bei der Multi-Faktor-Authentifizierung kombinieren Sie mindestens zwei unterschiedliche Nachweise, sogenannte Faktoren. Sie stammen aus drei Kategorien: etwas, das Sie wissen (Passwort oder PIN), etwas, das Sie besitzen (Smartphone oder Sicherheitsschlüssel), und etwas, das Sie sind (Fingerabdruck oder Gesicht).

Das Prinzip kennen Sie vom Geldautomaten: Sie brauchen die Karte und die PIN. Wer nur Ihre PIN kennt, kommt nicht an Ihr Geld – und wer nur die Karte findet, auch nicht. Werden genau zwei Faktoren genutzt, spricht man auch von Zwei-Faktor-Authentifizierung (2FA).

So funktioniert MFA

Nach der Eingabe des Passworts fordert das System einen zweiten Nachweis an. Die gängigen Verfahren unterscheiden sich deutlich in ihrer Sicherheit:

1. SMS-Code: Ein Einmalcode kommt per SMS. Das ist besser als ein Passwort allein, aber die schwächste Variante, weil SMS umgeleitet oder abgefangen werden können.
2. Authenticator-App: Eine App auf dem Smartphone erzeugt laufend neue Einmalcodes, die nur kurz gültig sind.
3. Push-Bestätigung: Die App fragt „Melden Sie sich gerade an?“, und Sie tippen auf „Ja“. Das ist bequem, aber anfällig für „MFA-Fatigue“ (englisch für Ermüdung): Angreifer mit erbeutetem Passwort lösen so lange Anfragen aus, bis jemand entnervt bestätigt. Abhilfe schafft ein Zahlenabgleich, bei dem Sie eine auf dem Anmeldebildschirm angezeigte Zahl in der App eingeben.
4. Sicherheitsschlüssel und Passkeys (FIDO2): Die Anmeldung bestätigt ein kleiner Sicherheitsschlüssel, den Sie per USB anstecken oder ans Smartphone halten, oder ein Passkey – ein digitaler Schlüssel, der auf Smartphone, Computer oder in einem Passwortmanager gespeichert ist. Beide nutzen ein mathematisches Schlüsselverfahren nach dem Standard FIDO2. Sie gelten als phishing-resistent, denn sie funktionieren nur auf der echten Webseite – nicht auf einer Fälschung.

Entscheidend ist, dass MFA lückenlos gilt. Angreifer suchen gezielt nach Zugängen, die ausgenommen sind: veraltete E-Mail-Protokolle ohne MFA-Unterstützung, schlecht geschützte Notfallkonten oder Konten, die „nur vorübergehend“ befreit wurden.

Ein Beispiel aus der Praxis

Ein Handelsunternehmen sichert den Fernzugang seiner Beschäftigten mit MFA – per einfacher Push-Bestätigung in einer App. Eines Abends erhält ein Mitarbeiter im Minutentakt Anmeldeanfragen auf sein Smartphone. Er hält das für einen Fehler und tippt schließlich auf „Genehmigen“, damit Ruhe ist. Ein Angreifer, der sein Passwort zuvor per Phishing erbeutet hatte, ist damit im Firmennetz.

Bei der Aufarbeitung zeigt sich zudem: Ein altes Funktionspostfach – eine gemeinsam genutzte Adresse der Buchhaltung – war ganz von der MFA-Pflicht ausgenommen. Das Unternehmen stellt den Fernzugang auf Zahlenabgleich um, gibt den Administratorkonten FIDO2-Schlüssel und schließt alle Ausnahmen. Außerdem gilt jetzt eine einfache Regel: Wer eine Anfrage nicht selbst ausgelöst hat, lehnt sie ab und meldet sie.

Warum ist das für Unternehmen wichtig?

Gestohlene oder erratene Passwörter sind ein klassisches Einfallstor. Angreifer erbeuten sie mit gefälschten E-Mails (Phishing), probieren gängige Passwörter bei vielen Konten aus (Passwort-Spraying) oder testen Zugangsdaten aus fremden Datenlecks (Credential Stuffing). MFA macht all diese Angriffe deutlich schwerer. Besonders wichtig ist sie für alles, was aus dem Internet erreichbar ist: E-Mail, Cloud-Dienste, VPN und Fernwartungszugänge.

Auch Regelwerke greifen das Thema auf: Die NIS2-Richtlinie und das deutsche BSI-Gesetz nennen Multi-Faktor-Authentifizierung ausdrücklich unter den Risikomanagementmaßnahmen für betroffene Unternehmen. Cyberversicherer fragen bei Vertragsabschluss ebenfalls häufig danach.

MFA ist allerdings kein Allheilmittel. Gefälschte Anmeldeseiten, sogenannte Phishing-Proxys, schalten sich unbemerkt zwischen Nutzende und den echten Dienst. Sie greifen Einmalcodes ab und übernehmen die angemeldete Sitzung – eine Form des Man-in-the-Middle-Angriffs. Deshalb lohnt sich der Umstieg auf phishing-resistente Verfahren.

So schützen Sie sich

• Ohne Ausnahmen: Aktivieren Sie MFA für alle Zugänge aus dem Internet – auch für Dienstleister und Funktionspostfächer.
• Starke Verfahren wählen: Setzen Sie auf FIDO2-Sicherheitsschlüssel oder Passkeys, mindestens aber auf Authenticator-Apps mit Zahlenabgleich statt SMS.
• Administratorkonten besonders schützen: Konten mit weitreichenden Rechten sollten ausschließlich phishing-resistente Verfahren nutzen.
• Alte Anmeldewege schließen: Protokolle, die keine MFA unterstützen, sollten abgeschaltet sein.
• Notfälle regeln: Planen Sie gesicherte Notfallkonten und einen klaren Ablauf für den Fall, dass ein Smartphone verloren geht.
• Team sensibilisieren: Unerwartete MFA-Anfragen sind ein Warnsignal – das Passwort ist dann vermutlich schon bekannt.

Wie Rootsektor unterstützt

Mit unserem Microsoft 365 & Azure Review prüfen wir, ob MFA in Ihrer Microsoft-Cloud wirklich lückenlos greift: welche Verfahren zugelassen sind, ob veraltete Anmeldewege offen sind und ob die Regeln für den bedingten Zugriff (Conditional Access) unbeabsichtigte Ausnahmen enthalten. Diese Regeln legen fest, wer sich unter welchen Bedingungen anmelden darf. Sie erhalten priorisierte Maßnahmenempfehlungen. Ihre Anfrage stellen Sie über unser Pentest-Angebot; nach dem Scoping folgt innerhalb von 24 Stunden (an Werktagen) ein Festpreisangebot.