Benutzername und Passwort gelten seit Jahren als Standard für den Zugriff auf IT-Umgebungen – doch allein bieten sie keinen ausreichenden Schutz mehr. Gestohlene Zugangsdaten, Phishing-Angriffe oder unsichere Passwörter zählen zu den häufigsten Ursachen erfolgreicher Cyberangriffe. Sichere Zugriffe erfordern daher mehr als nur ein Passwort. Multi-Faktor-Authentifizierung (MFA) schließt diese Sicherheitslücke und ist heute ein zentraler Baustein moderner IT-Sicherheitsstrategien.
Was bedeutet Multi-Faktor-Authentifizierung konkret?
Die Multi-Faktor-Authentifizierung ist ein zentrales Sicherheitsverfahren moderner IT-Umgebungen. Sie ergänzt die klassische Anmeldung mit zwei oder mehr Sicherheitsebenen, die über den Schutz mit Passwörtern hinausgeht. Nutzer müssen ihre Identität dabei mit mindestens zwei voneinander unabhängigen Faktoren bestätigen. Das erschwert unbefugten Zugriff auf digitale IT-Systeme erheblich – selbst dann, wenn ein Passwort kompromittiert wurde.
Die Multi-Faktor-Authentifizierung kombiniert dafür Faktoren aus unterschiedlichen Kategorien:
- Wissen: etwas, das die Person weiß, z. B. ein Passwort oder ein PIN
- Besitz: etwas, das die Person besitzt, z. B. ein Smartphone, eine Authenticator-App oder einen Sicherheitsschlüssel
- Biometrisches Merkmal: etwas, das die Person eindeutig kennzeichnet, z. B. ein Fingerabdruck oder eine Gesichtserkennung
Ein typisches Beispiel ist die Anmeldung mit einem Passwort und einer zusätzlichen Bestätigung über eine Authenticator-App. Erst wenn beide Faktoren erfolgreich geprüft wurden, wird der Zugriff freigegeben. Genau darin liegt der zentrale Sicherheitsgewinn: Wird ein Passwort kompromittiert, fehlt Angreifern weiterhin der zweite Faktor.
Warum Passwörter allein nicht mehr ausreichen
Passwörter werden im Arbeitsalltag teilweise mehrfach verwendet, sind zu einfach gewählt oder können durch Phishing, Schadsoftware oder Datenlecks in falsche Hände geraten. Cyberkriminelle nutzen automatisierte Angriffe, um Zugangsdaten systematisch auszuprobieren oder weiterzuverwenden. Sobald ihnen ein Benutzername und ein Passwort vorliegt, kann ein Anmeldeversuch zunächst wie der Zugriff einer berechtigten Person wirken. Ohne eine zusätzliche Prüfung lässt sich nur schwer erkennen, ob tatsächlich die richtige Person auf das Konto zugreift.
Multi-Faktor-Authentifizierung ergänzt deshalb eine zweite Sicherheitsbarriere. Selbst, wenn das Passwort bekannt ist, bleibt der Zugriff ohne den weiteren Faktor in der Regel gesperrt. Für Unternehmen ist MFA vor allem dort unverzichtbar, wo Konten Zugriff auf die Verwaltung weiterer Benutzerkonten und zentraler IT-Ressourcen ermöglichen.
Dazu zählen bspw.:
- Geschäftliche E-Mail-Konten
- Administrative Benutzer Konten
- Passwortmanager
- Digitale Plattformen für Finanzen, Abrechnungen und Gehälter
- Cloud-Anwendungen und Unternehmensplattformen
- Server und zentrale Infrastrukturdienste
- Remote- und VPN-Zugängen
Wo sollten Unternehmen mit MFA beginnen?
Eine vollständige Einführung muss nicht zwangsläufig mit allen Konten gleichzeitig starten. Sinnvoll ist eine priorisierte Umsetzung anhand des jeweiligen Risikos. Besondere Aufmerksamkeit benötigen zunächst Konten, deren Kompromittierung weitreichende Folgen haben könnte.
Dazu gehören vor allem:
- Administrative Konten
- Remote-Zugänge
- Geschäftliche E-Mail-Konten
- Cloud- und Infrastrukturdienste
- Konten externer Partner und Dienstleister
Im nächsten Schritt kann MFA auf weitere Anwendungen und Benutzergruppen ausgeweitet werden. Wichtig ist, Zuständigkeiten, Ausnahmen und Wiederherstellungsprozesse von Anfang an klar zu definieren.
Mehr IT-Sicherheit ohne Produktivitätsverlust
Ein häufiger Vorbehalt gegenüber Multi-Faktor-Authentifizierungen ist der zusätzliche Aufwand bei der Anmeldung. In der Praxis hängt die Nutzerfreundlichkeit jedoch stark von der gewählten Lösung und ihrer Einbindung ab. Eine gut geplante Multi-Faktor-Authentifizierung berücksichtigt deshalb nicht nur technische Sicherheitsanforderungen, sondern auch die täglichen Abläufe der Mitarbeiter.
Dazu gehören bspw.:
- geeignete Verfahren für unterschiedliche Benutzergruppen
- verständliche Anleitungen für die Einrichtung
- klar geregelte Prozesse bei Geräteverlust
- definierte Wiederherstellungs- und Notfallzugänge
- zentrale Verwaltung der Sicherheitsrichtlinien
- begleitende Information und Sensibilisierung der Mitarbeiter
So wird MFA nicht als isolierte Zusatzabfrage eingeführt, sondern als fester Bestandteil eines sicheren und praxistauglichen Zugriffsmanagements.
Multi-Faktor-Authentifizierung und NIS2
Die NIS2-Anforderungen rücken den Schutz von Identitäten und digitalen Zugängen stärker in den Fokus. Für wichtige und besonders wichtige Einrichtungen sieht das deutsche BSI im Rahmen der Risikomanagementmaßnahmen unter anderem Lösungen zur Multi-Faktor-Authentisierung oder zur kontinuierlichen Authentifizierung vor.
Das bedeutet jedoch nicht, dass jede Organisation pauschal die gleichen Verfahren für sämtliche Konten einsetzen muss. Unternehmen sollten prüfen, welche Konten und Systeme besonders schützenswert sind, welche Risiken durch kompromittierte Zugangsdaten entstehen, an welchen Stellen MFA angemessen und erforderlich ist und welche Authentifizierungsverfahren dem jeweiligen Schutzbedarf entsprechen.
MFA sollte dabei nicht als alleiniger Nachweis vollständiger Compliance dargestellt werden. Sie ist vielmehr eine wichtige Maßnahme innerhalb eines umfassenden Informationssicherheits- und Risikomanagements.
Multi-Faktor-Authentifizierung als Teil einer ganzheitlichen IT-Sicherheitsstrategie
Multi-Faktor-Authentifizierung schützt digitale Identitäten und Zugänge. Sie ersetzt jedoch keine weiteren technischen und organisatorischen Sicherheitsmaßnahmen.
Ein wirksames Sicherheitskonzept verbindet unter anderem:
- einen angemessenen Schutz von Netzwerken und Servern
- Patch- und Update-Management
- Schutz vor Schadsoftware und Ransomware
- geregelte Berechtigungen
- Datensicherung und Wiederherstellungsprozesse
- Security Awareness
- sichere Authentifizierungsverfahren
Gerade das Zusammenspiel mit Security Awareness ist wichtig. Mitarbeiter sollten beispielsweise wissen, dass auch unerwartete MFA-Abfragen oder wiederholte Anmeldebestätigungen ein Warnsignal sein können.
Der vorherige Beitrag der Serie bietet hierzu weiterführende Informationen: Security Awareness im Unternehmen.
Fazit: Ein gestohlenes Passwort darf nicht über den Zugriff entscheiden
Passwörter bleiben in vielen Unternehmen ein Bestandteil der Anmeldung. Sie sollten jedoch nicht die einzige Sicherheitsbarriere darstellen. Multi-Faktor-Authentifizierung erschwert unbefugte Zugriffe, weil ein Passwort allein nicht mehr genügt. Damit gehört MFA zu den grundlegenden Maßnahmen für den Schutz von Benutzerkonten, Anwendungen und Unternehmensdaten. Entscheidend ist eine strukturierte Einführung. Unternehmen sollten besonders kritische Konten priorisieren, geeignete Verfahren auswählen, Ausnahmen dokumentieren und ihre Mitarbeiter verständlich begleiten. So wird aus einer zusätzlichen Anmeldeabfrage ein wirksamer Baustein der IT-Sicherheitsstrategie.
Wie sicher sind Ihre Unternehmenszugänge?
Welche Konten und Anwendungen in Ihrem Unternehmen benötigen zusätzlichen Schutz? Finden Sie heraus, wie ausgeprägt die Zugriffssicherheit in Ihrem Unternehmen wirklich ist. Unsere Experten beraten Sie unverbindlich und zeigen, wie sich Multi-Faktor-Authentifizierung passend in Ihre
IT-Landschaft integrieren lässt.
