Mehrfaktor-Authentifizierung (MFA) ist eine der wirksamsten Maßnahmen gegen Kontoübernahme. Selbst wenn ein Passwort durch Phishing oder ein Datenleck nach außen gelangt, verhindert MFA oft, dass eine angreifende Person sich direkt anmeldet. Dennoch scheitert eine MFA-Einführung manchmal, nicht an der Technik, sondern an einem überhasteten Rollout, zu viel Reibung oder unklaren Ausnahmen. Dieser Artikel zeigt, wie Sie MFA wirksam und praxistauglich einführen.
Was ist MFA und warum wirkt es?
MFA fügt dem Anmelden einen zusätzlichen Schritt hinzu. Neben etwas, das Sie wissen (Ihrem Passwort), fragt es nach etwas, das Sie haben (einem Telefon, einer App oder einem Schlüssel) oder etwas, das Sie sind (einem Fingerabdruck oder Gesichtsscan). Eine angreifende Person, die nur Ihr Passwort hat, kommt damit nicht hinein.
Gerade weil Passwörter so oft nach außen gelangen, ist dieser zweite Faktor so wertvoll. MFA macht aus einem gestohlenen Passwort statt eines direkten Schlüssels nur einen halben Schlüssel, der ohne den zweiten Faktor wenig wert ist.
Wählen Sie die richtige Methode
Nicht jede Form von MFA ist gleich stark. Eine bewusste Wahl lohnt sich:
- Authenticator-App (Einmalcode): solide und breit einsetzbar, eine gute Standardwahl.
- Bestätigung per Benachrichtigung (Push): benutzerfreundlich, aber achte auf MFA-Müdigkeit; kombiniere sie mit Nummernabgleich.
- FIDO2 oder Passkeys: phishingresistent und damit der stärkste Schutz für Konten mit hohem Risiko.
- SMS-Code: besser als nichts, aber schwächer als App oder Schlüssel, weil SMS abgefangen werden kann.
Beginnen Sie bei den Konten mit dem höchsten Risiko
Führen Sie MFA nicht auf einen Schlag in der ganzen Organisation ein, sondern stufenweise. Beginnen Sie bei den Konten mit der größten Auswirkung: Administratoren, Finanzen, HR, Servicedesk und Management. Dort richtet eine Übernahme den meisten Schaden an.
Indem Sie klein anfangen, begrenzen Sie das Risiko und sammeln zugleich Erfahrung mit dem Rollout. Was Sie bei der ersten Gruppe lernen, macht den breiteren Rollout reibungsloser.
Machen Sie die Einführung für die Nutzer einfach
Viel Widerstand gegen MFA entsteht nicht aus Unwillen, sondern aus Unklarheit. Sorgen Sie daher für eine kurze, klare Anleitung auf einer Seite, ein kurzes Video und einen klaren Weg zur Unterstützung.
Erklären Sie auch, warum MFA eingeführt wird. Wer versteht, dass es vor Phishing und Datenlecks schützt, erlebt den zusätzlichen Schritt eher als sinnvoll denn als Hindernis. Diese Erklärung ist genauso wichtig wie die Technik selbst.
Regle Wiederherstellung und Ausnahmen im Voraus
Was passiert, wenn jemand sein Telefon verliert? Regle Wiederherstellungscodes, ein Ersatzverfahren und, für Administratoren, einen kontrollierten Notzugang. Tu das im Voraus, nicht erst, wenn jemand bereits ausgesperrt ist.
Lassen Sie Ausnahmen zu, etwa für veraltete Systeme oder geteilte Konten, halten Sie fest, wie Sie das Risiko kompensieren: mit Netzwerkbeschränkungen, zusätzlichem Logging, strengerer Überwachung oder einem Migrationsplan. Eine Ausnahme ohne Kompensation ist eine Lücke in Ihrer Sicherheit.
Erfolgsfaktor: Aufmerksamkeit für Verhalten
MFA ist nicht nur Technik, sondern auch Verhalten. Die Einführung gelingt erst dann wirklich, wenn Menschen den zweiten Faktor als normalen Teil ihrer Arbeit akzeptieren und wenn sie wissen, was bei etwas Ungewöhnlichem zu tun ist.
Ermutige Mitarbeitende daher, unerwartete Bestätigungsanfragen zu melden. Eine Flut von Anfragen, die niemand ausgelöst hat, ist oft das erste Zeichen eines Angriffs. Wer das meldet statt wegzuklicken, gibt Ihrem Sicherheitsteam eine wertvolle Frühwarnung.
Verwandte Artikel
- MFA-Ermüdungsangriffe: die Kehrseite von MFA im Awareness-Programm
- Medizinische Personendaten sind hochbegehrt
FAQ
Welche MFA-Methode ist am sichersten?
FIDO2 und Passkeys sind phishingresistent und damit am stärksten. Eine Authenticator-App ist ein guter Standard; SMS ist die schwächste Option, weil sie abgefangen werden kann. Für Konten mit hohem Risiko ist phishingresistente MFA die beste Wahl.
Wo beginnt man mit dem MFA-Rollout?
Bei den Konten mit der größten Auswirkung: Administratoren, Finanzen, HR, Servicedesk und Management. Danach geht es stufenweise zum Rest. Das begrenzt das Risiko und schafft Erfahrung mit dem Rollout.
Was tun, wenn jemand das Telefon verliert?
Regle Wiederherstellungscodes, ein klares Ersatzverfahren und, für Administratoren, einen kontrollierten Notzugang im Voraus. Richten Sie das ein, bevor es gebraucht wird, nicht erst, wenn jemand schon ausgesperrt ist.
Wie geht man mit Systemen ohne MFA-Unterstützung um?
Lassen Sie eine Ausnahme nur zu, wenn Sie das Risiko kompensieren, etwa mit Netzwerkbeschränkungen, zusätzlichem Logging oder strengerer Überwachung, und halten Sie einen Migrationsplan fest. Eine Ausnahme ohne Kompensation ist eine offene Tür für Angreifer.
Schützt MFA vor allen Angriffen?
Nein. MFA stoppt den allergrößten Teil der Kontoübernahmen, aber Angreifer versuchen es über MFA-Müdigkeit oder Adversary-in-the-Middle zu umgehen. Kombiniere MFA daher mit Nummernabgleich, phishingresistenten Methoden und aufmerksamen Mitarbeitenden, die ungewöhnliche Anfragen melden.