MFA erklärt: Warum ein Passwort allein nicht mehr reicht
Ein starkes Passwort bleibt wichtig. Es kann aber gestohlen werden. Mehrfaktor-Authentifizierung ergänzt deshalb einen zweiten Nachweis beim Login. Für geschäftliche E-Mail-Konten, Cloud-Dienste und Administratorzugänge gehört MFA heute zu den wirksamsten Grundmaßnahmen.
Was bedeutet MFA?
MFA steht für Multi-Factor Authentication, auf Deutsch Mehrfaktor-Authentifizierung. Bei der Anmeldung werden mindestens zwei unterschiedliche Faktoren kombiniert. Typisch sind drei Gruppen:
- Wissen: zum Beispiel Passwort oder PIN.
- Besitz: zum Beispiel Smartphone oder Sicherheitsschlüssel.
- Biometrie: etwa Fingerabdruck oder Gesichtserkennung zur Freigabe eines Geräts.
Ein Passwort allein nutzt nur einen Faktor. Wird es durch Phishing, Schadsoftware oder ein Datenleck bekannt, fehlt ohne MFA eine zweite Hürde.
Ein typisches Beispiel
Ein Mitarbeiter erhält eine gut gemachte Mail mit einem Link zu einer gefälschten Microsoft-Anmeldeseite. Dort gibt er E-Mail-Adresse und Passwort ein. Ohne zusätzliche Absicherung kann der Angreifer diese Zugangsdaten direkt für eine echte Anmeldung verwenden.
Ist MFA aktiviert, reicht das gestohlene Passwort allein nicht. Je nach Verfahren müsste der Angreifer zusätzlich einen zweiten Faktor überwinden.
Nicht jede MFA-Methode schützt gleich gut
Der Unterschied ist wichtig. CISA empfiehlt, wo möglich die stärkste verfügbare Methode zu verwenden. SMS- oder E-Mail-Codes sind besser als gar keine MFA, bieten aber weniger Schutz als moderne, phishing-resistente Verfahren.
SMS-Code
Nach dem Passwort wird ein einmaliger Code per SMS gesendet. Das ist einfach einzurichten und deutlich besser als ein reines Passwort. Für besonders sensible oder administrative Konten gibt es jedoch robustere Varianten.
Authenticator-App mit Einmalcode
Eine App erzeugt regelmäßig einen neuen sechsstelligen Code. Das funktioniert auch ohne Mobilfunkempfang. Gegen den einfachen Diebstahl eines Passworts ist diese Methode wirksam. Eine gut gemachte Phishing-Seite kann einen Benutzer jedoch dazu bringen, auch den aktuellen Einmalcode einzugeben.
Push-Bestätigung und Number Matching
Statt einen Code abzutippen, erscheint eine Anmeldeanfrage am Smartphone. Reine „Ja/Nein“-Abfragen können problematisch sein, wenn Nutzer viele unerwartete Anfragen erhalten und irgendwann versehentlich bestätigen.
Number Matching verbessert das: Auf dem Anmeldebildschirm erscheint eine Zahl, die in der Authenticator-App bestätigt werden muss. Damit ist klarer, welche konkrete Anmeldung gerade freigegeben wird.
Sicherheitsschlüssel und Passkeys
FIDO-basierte Verfahren wie Hardware-Sicherheitsschlüssel und viele Passkey-Lösungen können die Anmeldung an die echte Website binden. Genau das macht sie wesentlich widerstandsfähiger gegen klassische Phishing-Seiten.
Besonders für Administratoren und andere kritische Konten sind solche Verfahren interessant. Der Benutzer besitzt keinen Einmalcode, den er versehentlich auf einer fremden Website eintippen kann.
Wo sollte MFA unbedingt aktiviert sein?
- geschäftliche E-Mail-Konten,
- Microsoft 365 und andere Cloud-Dienste,
- Administrator-Konten,
- VPN und Fernzugänge,
- Passwortmanager,
- Backup-Systeme,
- Domain-, Hosting- und Finanzzugänge.
Administrator-Konten sollten zuerst abgesichert werden, weil ein erfolgreicher Zugriff dort besonders weitreichende Folgen haben kann.
MFA ersetzt keine guten Passwörter
Auch mit MFA sollte jedes wichtige Konto ein eigenes, starkes Passwort verwenden. Ein Passwortmanager macht das deutlich praktikabler als ein Schema, das nur leicht verändert wird. MFA ist eine zweite Schutzschicht, kein Ersatz für die erste.
Was passiert, wenn das Smartphone verloren geht?
Dafür braucht es einen definierten Wiederherstellungsweg. Je nach Plattform können zusätzliche registrierte Geräte, Sicherheitsschlüssel oder durch Administratoren kontrollierte Wiederherstellungsverfahren eingesetzt werden.
Wichtig ist, dass der Notfallweg nicht schwächer ist als der normale Login. Ein gut geschütztes Konto hilft wenig, wenn sich der zweite Faktor anschließend mit einer leicht zu erratenden Sicherheitsfrage umgehen lässt.
MFA richtig einführen
In kleinen Betrieben muss daraus kein Großprojekt werden. Sinnvoll ist eine Reihenfolge: zuerst Administratoren und E-Mail, danach Cloudspeicher, Fernzugänge und weitere wichtige Dienste. Gleichzeitig sollten Mitarbeiter wissen, dass sie unerwartete Anmeldeanfragen nicht einfach bestätigen dürfen.
Wie Phishing-Versuche im Alltag erkannt werden können, steht im Artikel Phishing-Mail erkennen: 10 Warnzeichen. Weitere Grundlagen finden Sie unter IT-Sicherheit für kleine Betriebe.
Wenn Sie MFA für Microsoft 365 oder andere geschäftliche Zugänge einführen möchten, können wir beim kostenlosen IT-Erstcheck zuerst klären, welche Konten und Methoden in Ihrer Umgebung sinnvoll sind.
