Mehrfaktor-Authentifizierung (MFA) ist eine der wirksamsten Maßnahmen gegen Kontoübernahme. Selbst wenn ein Passwort durch Phishing oder ein Datenleck nach außen gelangt, verhindert MFA oft, dass eine angreifende Person sich direkt anmeldet. Dennoch scheitert eine MFA-Einführung manchmal, nicht an der Technik, sondern an einem überhasteten Rollout, zu viel Reibung oder unklaren Ausnahmen. Dieser Artikel zeigt, wie du MFA wirksam und praxistauglich einführst.
Was ist MFA und warum wirkt es?
MFA fügt dem Anmelden einen zusätzlichen Schritt hinzu. Neben etwas, das du weißt (deinem Passwort), fragt es nach etwas, das du hast (einem Telefon, einer App oder einem Schlüssel) oder etwas, das du bist (einem Fingerabdruck oder Gesichtsscan). Eine angreifende Person, die nur dein Passwort hat, kommt damit nicht hinein.
Gerade weil Passwörter so oft nach außen gelangen, ist dieser zweite Faktor so wertvoll. MFA macht aus einem gestohlenen Passwort statt eines direkten Schlüssels nur einen halben Schlüssel, der ohne den zweiten Faktor wenig wert ist.
Wähle die richtige Methode
Nicht jede Form von MFA ist gleich stark. Eine bewusste Wahl lohnt sich:
- Authenticator-App (Einmalcode): solide und breit einsetzbar, eine gute Standardwahl.
- Bestätigung per Benachrichtigung (Push): benutzerfreundlich, aber achte auf MFA-Müdigkeit; kombiniere sie mit Nummernabgleich.
- FIDO2 oder Passkeys: phishingresistent und damit der stärkste Schutz für Konten mit hohem Risiko.
- SMS-Code: besser als nichts, aber schwächer als App oder Schlüssel, weil SMS abgefangen werden kann.
Beginne bei den Konten mit dem höchsten Risiko
Führe MFA nicht auf einen Schlag in der ganzen Organisation ein, sondern stufenweise. Beginne bei den Konten mit der größten Auswirkung: Administratoren, Finanzen, HR, Servicedesk und Management. Dort richtet eine Übernahme den meisten Schaden an.
Indem du klein anfängst, begrenzt du das Risiko und sammelst zugleich Erfahrung mit dem Rollout. Was du bei der ersten Gruppe lernst, macht den breiteren Rollout reibungsloser.
Mach die Einführung für die Nutzer einfach
Viel Widerstand gegen MFA entsteht nicht aus Unwillen, sondern aus Unklarheit. Sorge daher für eine kurze, klare Anleitung auf einer Seite, ein kurzes Video und einen klaren Weg zur Unterstützung.
Erkläre auch, warum MFA eingeführt wird. Wer versteht, dass es vor Phishing und Datenlecks schützt, erlebt den zusätzlichen Schritt eher als sinnvoll denn als Hindernis. Diese Erklärung ist genauso wichtig wie die Technik selbst.
Regle Wiederherstellung und Ausnahmen im Voraus
Was passiert, wenn jemand sein Telefon verliert? Regle Wiederherstellungscodes, ein Ersatzverfahren und, für Administratoren, einen kontrollierten Notzugang. Tu das im Voraus, nicht erst, wenn jemand bereits ausgesperrt ist.
Lässt du Ausnahmen zu, etwa für veraltete Systeme oder geteilte Konten, halte fest, wie du das Risiko kompensierst: mit Netzwerkbeschränkungen, zusätzlichem Logging, strengerer Überwachung oder einem Migrationsplan. Eine Ausnahme ohne Kompensation ist eine Lücke in deiner Sicherheit.
Erfolgsfaktor: Aufmerksamkeit für Verhalten
MFA ist nicht nur Technik, sondern auch Verhalten. Die Einführung gelingt erst dann wirklich, wenn Menschen den zweiten Faktor als normalen Teil ihrer Arbeit akzeptieren und wenn sie wissen, was bei etwas Ungewöhnlichem zu tun ist.
Ermutige Mitarbeitende daher, unerwartete Bestätigungsanfragen zu melden. Eine Flut von Anfragen, die niemand ausgelöst hat, ist oft das erste Zeichen eines Angriffs. Wer das meldet statt wegzuklicken, gibt deinem Sicherheitsteam eine wertvolle Frühwarnung.
Verwandte Artikel
- MFA-Ermüdungsangriffe: die Kehrseite von MFA im Awareness-Programm
- Medizinische Personendaten sind hochbegehrt
FAQ
Welche MFA-Methode ist am sichersten?
FIDO2 und Passkeys sind phishingresistent und damit am stärksten. Eine Authenticator-App ist ein guter Standard; SMS ist die schwächste Option, weil sie abgefangen werden kann. Für Konten mit hohem Risiko ist phishingresistente MFA die beste Wahl.
Wo beginnt man mit dem MFA-Rollout?
Bei den Konten mit der größten Auswirkung: Administratoren, Finanzen, HR, Servicedesk und Management. Danach geht es stufenweise zum Rest. Das begrenzt das Risiko und schafft Erfahrung mit dem Rollout.
Was tun, wenn jemand das Telefon verliert?
Regle Wiederherstellungscodes, ein klares Ersatzverfahren und, für Administratoren, einen kontrollierten Notzugang im Voraus. Richte das ein, bevor es gebraucht wird, nicht erst, wenn jemand schon ausgesperrt ist.
Wie geht man mit Systemen ohne MFA-Unterstützung um?
Lass eine Ausnahme nur zu, wenn du das Risiko kompensierst, etwa mit Netzwerkbeschränkungen, zusätzlichem Logging oder strengerer Überwachung, und halte einen Migrationsplan fest. Eine Ausnahme ohne Kompensation ist eine offene Tür für Angreifer.
Schützt MFA vor allen Angriffen?
Nein. MFA stoppt den allergrößten Teil der Kontoübernahmen, aber Angreifer versuchen es über MFA-Müdigkeit oder Adversary-in-the-Middle zu umgehen. Kombiniere MFA daher mit Nummernabgleich, phishingresistenten Methoden und aufmerksamen Mitarbeitenden, die ungewöhnliche Anfragen melden.