20. Juli 2026 22:02

Was ist Multi-Faktor-Authentifizierung (MFA)? Umfassender Implementierungsleitfaden für Unternehmen

In der heutigen digitalen Welt sind unbefugter Zugriff und Datenschutzverletzungen eine der größten Bedrohungen für Unternehmen. Traditionelle Kombinationen aus Benutzername und Passwort bieten keine ausreichende Sicherheit mehr. An diesem Punkt ist die Multi-Faktor-Authentifizierung (Multi-Factor Authentication - MFA) zu einem unverzichtbaren Bestandteil von Cybersicherheitsstrategien für Unternehmen geworden. MFA ist ein Sicherheitsmechanismus, der von Benutzern verlangt, ihre Identität durch zwei oder mehr verschiedene Authentifizierungsfaktoren nachzuweisen.

Laut Microsofts Berichten von 2023 sind Konten mit MFA um 99,9 % weniger gefährdet als solche ohne MFA. Diese Statistik allein zeigt deutlich, warum Unternehmen MFA dringend implementieren müssen. In diesem Artikel werden wir detailliert untersuchen, was MFA ist, welche verschiedenen Arten es gibt, mögliche Sicherheitslücken und die besten Implementierungsstrategien für Unternehmen.

Wie funktioniert Multi-Faktor-Authentifizierung?

MFA verwendet mindestens zwei der drei grundlegenden Faktorkategorien zur Benutzerauthentifizierung:

• Wissensfaktor (Knowledge Factor): Etwas, das der Benutzer weiß - Passwort, PIN-Code oder Antwort auf eine Sicherheitsfrage
• Besitzfaktor (Possession Factor): Etwas, das der Benutzer besitzt - Smartphone, Sicherheitstoken, Smartcard oder Hardware-Schlüssel
• Biometrischer Faktor (Inherence Factor): Einzigartige biologische Merkmale des Benutzers - Fingerabdruck, Gesichtserkennung, Netzhautscan oder Stimmerkennung

Selbst wenn ein Angreifer Ihr Passwort erbeuten sollte, kann er bei aktivierter MFA nicht auf Ihr Konto zugreifen. Denn ohne den zweiten oder dritten Authentifizierungsfaktor ist ein Systemzugriff unmöglich. Dieser mehrschichtige Sicherheitsansatz ist die Grundlage moderner Cybersicherheitsstrategien.

MFA-Typen und Technologien: Welche ist für Ihr Unternehmen geeignet?

SMS-basierte Authentifizierung

Eine der am häufigsten verwendeten MFA-Methoden ist die SMS-Verifizierung, die einen einmaligen Code an die registrierte Telefonnummer des Benutzers sendet. Obwohl leicht implementierbar, ist sie anfällig für SIM-Swap-Angriffe. SIM-Swap ist eine Bedrohung, bei der Angreifer durch Social-Engineering-Techniken die Telefonnummer des Benutzers auf ihre eigene SIM-Karte übertragen. Daher wird SMS-basierte MFA nicht mehr als die sicherste Option angesehen.

TOTP (Time-Based One-Time Password)

Zeitbasierte Einmalpasswörter, die mit Anwendungen wie Google Authenticator, Microsoft Authenticator und Authy generiert werden, sind deutlich sicherer als SMS. Bei dieser Methode erzeugt ein auf dem Gerät des Benutzers laufender Algorithmus eindeutige Codes, die sich alle 30 Sekunden ändern. Da keine Internetverbindung erforderlich ist, kann es offline funktionieren und ist widerstandsfähiger gegen Phishing-Angriffe.

Hauptgründe für die Bevorzugung von TOTP in Unternehmensumgebungen:

• Kosteneffizienz - kostenlose oder kostengünstige Anwendungen
• Einfache Bereitstellung und Benutzeradaption
• Höheres Sicherheitsniveau im Vergleich zu SMS
• Offline-Funktionsfähigkeit

FIDO2 und WebAuthn: Sicherheit der nächsten Generation

FIDO2 (Fast Identity Online) ist ein offener Standard, der für passwortlose (passwordless) Authentifizierung entwickelt wurde. Mit Hardware-Sicherheitsschlüsseln wie YubiKey oder biometrischen Sensoren bietet es das höchste Sicherheitsniveau. FIDO2 ist nahezu immun gegen Phishing-Angriffe, da Anmeldeinformationen niemals an den Server übertragen werden.

Vorteile von FIDO2 in Unternehmensumgebungen:

• Hervorragender Schutz gegen Phishing- und Man-in-the-Middle-Angriffe
• Einfachheit in der Benutzererfahrung
• Geringeres Risiko auf Serverseite durch keine gemeinsamen Geheimnisse
• Breite Unterstützung als Industriestandard

Push-basierte Benachrichtigungen

Anwendungen wie Microsoft Authenticator und Duo Mobile senden eine Push-Benachrichtigung an das registrierte Gerät des Benutzers und fordern Bestätigung an. Wenn der Benutzer die Benachrichtigung bestätigt, wird Zugriff gewährt. Obwohl diese Methode benutzerfreundlich ist, kann sie für MFA-Fatigue-(Müdigkeits-)Angriffe anfällig sein.

MFA-Bypass-Angriffe: Bedrohungen, die Unternehmen kennen sollten

MFA-Fatigue-(Müdigkeits-)Angriffe

MFA-Fatigue ist eine Social-Engineering-Technik, bei der Angreifer versuchen, den Benutzer zu ermüden, indem sie kontinuierlich MFA-Bestätigungsanfragen senden. Der Benutzer könnte den böswilligen Anmeldeversuch bestätigen, entweder um die Benachrichtigungen zu stoppen oder versehentlich. Diese Art von Angriffen hat in den letzten Jahren erheblich zugenommen, mit erfolgreichen Angriffen auf große Unternehmen wie Uber und Cisco.

Präventionsstrategien:

• Aktivierung der Number-Matching-Funktion
• Anzeige von Standortinformationen des Anmeldeversuchs
• Begrenzung der maximalen Anzahl von Bestätigungsanfragen in einem bestimmten Zeitraum
• Benutzerschulung und Sensibilisierungsprogramme

SIM-Swap-Angriffe

SIM-Swap bedeutet, dass Angreifer Mobilfunkanbieter durch Social-Engineering-Methoden täuschen und die Telefonnummer des Ziels auf eine von ihnen kontrollierte SIM-Karte übertragen. In diesem Fall gelangen SMS-basierte MFA-Codes direkt zum Angreifer. Als Gegenmaßnahme sollten Authenticator-Apps oder FIDO2-Schlüssel anstelle von SMS verwendet werden.

Session Hijacking und Cookie-Diebstahl

Wenn Session-Cookies nach erfolgreicher MFA-Durchführung gestohlen werden, kann der Angreifer ohne erneute MFA-Prüfung auf das System zugreifen. Daher sind Session-Management und Conditional-Access-Richtlinien genauso wichtig wie MFA. Regelmäßige Session-Timeouts, erneute Authentifizierung bei IP-Adressänderungen und Erkennung anomalen Verhaltens sind kritische Maßnahmen.

Vergleich populärer MFA-Lösungen: Microsoft, Google und Duo

Microsoft Authenticator und Azure MFA

Microsofts MFA-Lösung ist vollständig in Azure Active Directory integriert und