Multi-Faktor-Authentifizierung einführen: Schritt für Schritt erklärt

Warum Passwörter allein nicht mehr reichen

Ein Passwort ist ein einzelnes Geheimnis, und es kann auf viele Arten abhandenkommen: über eine Phishing-Seite, Schadsoftware auf einem Laptop, ein Datenleck bei einem anderen Dienst mit demselben Passwort oder durch schlichtes Erraten. Wer es kennt, ist für das System nicht vom rechtmäßigen Nutzer zu unterscheiden. Multi-Faktor-Authentifizierung (MFA) schließt diese Lücke, indem sie bei der Anmeldung einen zweiten, unabhängigen Nachweis verlangt.

Der zweite Faktor ist etwas, das die Person besitzt, etwa ein Smartphone oder ein Sicherheitsschlüssel, oder ein körperliches Merkmal wie der Fingerabdruck, mit dem sie den Schlüssel freigibt. MFA ersetzt keine durchdachte Passwortrichtlinie, verringert aber die Folgen eines geleakten Passworts erheblich.

MFA-Methoden im Vergleich: Nicht jeder zweite Faktor ist gleich stark

Die Methoden unterscheiden sich vor allem darin, ob sie sich von einer täuschend echten Login-Seite austricksen lassen. Moderne Phishing-Baukästen schalten sich zwischen Nutzer und echten Dienst und reichen alle Eingaben weiter, auch Einmalcodes. Als phishing-resistent gelten nur Verfahren, die kryptografisch an die echte Website gebunden sind.

Authenticator-App mit Nummernabgleich

Für die meisten Mitarbeitenden ist eine Authenticator-App am Smartphone der praktikable Standard. Beim Nummernabgleich (Number Matching) zeigt der Anmeldebildschirm eine kurze Zahl, die in der App eingetippt werden muss. Das verhindert, dass jemand eine fremde Anmeldung aus Gewohnheit bestätigt. Gegen eine gefälschte Login-Seite, die die Zahl in Echtzeit weiterreicht, schützt das allerdings nicht.

FIDO2-Sicherheitsschlüssel und Passkeys

FIDO2-Sicherheitsschlüssel sind kleine USB- oder NFC-Geräte. Passkeys beruhen auf demselben Standard und liegen auf dem Smartphone, dem Laptop oder im Passwortmanager. Beide antworten nur der echten Domain des Dienstes, eine gefälschte Seite erhält also nichts Verwertbares. Sie sind die richtige Wahl für Administratoren und alle, die Zugriff auf Finanzen oder sensible Daten haben. Wer Sicherheitsschlüssel nutzt, sollte zwei pro Person einplanen, einen davon als Reserve.

Warum SMS nur eine Übergangslösung ist

SMS-Codes sind besser als kein zweiter Faktor, aber die schwächste Variante. Angreifer können Rufnummern per SIM-Swapping auf sich umleiten, und die Codes lassen sich genauso abphishen wie Passwörter. Das US-Standardisierungsinstitut NIST führt Codes per SMS oder Anruf als eingeschränktes Verfahren, das nur mit zusätzlichen Auflagen genutzt werden soll, etwa dem Angebot einer sichereren Alternative. Nutzen Sie SMS nur, wo nichts anderes möglich ist.

Wo Sie mit MFA beginnen: die Konten mit der größten Hebelwirkung

Sie müssen nicht alle Systeme am selben Tag absichern. Beginnen Sie dort, wo eine Übernahme den größten Schaden anrichten würde:

1. Administratorkonten: Admins von Microsoft 365 oder Google Workspace, Firewall, Backup-Konsole, Domain-Registrar und Hosting.
2. E-Mail und Zusammenarbeit: Postfächer sind der Schlüssel zum Zurücksetzen von Passwörtern für fast alle anderen Dienste.
3. VPN und Fernzugriff: VPN-Zugänge, Remote Desktop und Fernwartungstools sind beliebte Einfallstore.
4. Cloud-Anwendungen mit sensiblen Daten: Buchhaltung, Lohnverrechnung, CRM und Dateiablage.
5. Der Passwortmanager selbst: Er enthält alle anderen Zugangsdaten.

Prüfen Sie anschließend, ob noch alte Anmeldeverfahren ohne MFA im Einsatz sind, etwa Mailprogramme, Drucker oder Scanner, die sich nur mit Benutzername und Passwort über POP, IMAP oder SMTP anmelden (Basic-Authentifizierung). Große Anbieter schalten diese Verfahren schrittweise ab, doch wo sie noch funktionieren, können Angreifer den zweiten Faktor umgehen. Wie Sie das angehen, erklärt unser Beitrag zum Absichern von Microsoft 365.

Rollout-Plan: MFA in sechs Schritten einführen

1. Bestandsaufnahme: Erfassen Sie alle Konten, Dienste und Zugangswege, auch geteilte Postfächer und Dienstkonten.
2. Methoden festlegen: Bestimmen Sie den Standard für Mitarbeitende, die Methode für Administratoren und eine Ausweichlösung für Ausnahmen.
3. Pilotphase: Starten Sie mit der IT und einigen Freiwilligen aus verschiedenen Abteilungen und notieren Sie Probleme.
4. Kommunikation: Kündigen Sie die Umstellung früh an, erklären Sie den Grund und stellen Sie eine kurze Anleitung mit Screenshots bereit.
5. Registrierungsphase: Geben Sie allen einen festen Zeitraum, um ihre Methoden einzurichten, mit Unterstützung vor Ort oder telefonisch.
6. Durchsetzen und prüfen: Schalten Sie MFA verpflichtend, sperren Sie veraltete Zugänge und kontrollieren Sie regelmäßig, ob alle Konten erfasst sind.

Ob MFA akzeptiert wird, entscheidet vor allem die Kommunikation. Mitarbeitende sollten wissen, warum die Änderung kommt, was sie tun müssen und an wen sie sich wenden, wenn etwas nicht funktioniert. Ein fixer Stichtag, ein Einrichtungstermin während der Arbeitszeit und eine benannte Ansprechperson verringern Widerstände deutlich.

MFA-Fatigue: Push-Bombing erkennen und abwehren

Hat ein Angreifer bereits ein Passwort, kann er Push-Benachrichtigungen immer wieder auslösen, oft spätabends oder kombiniert mit einem Anruf, bei dem er sich als IT-Support ausgibt. Er hofft, dass die Person irgendwann bestätigt, nur damit es aufhört. Das nennt man MFA-Fatigue oder Push-Bombing, und am Anfang steht oft eine Phishing-Mail, über die das Passwort abgegriffen wurde. Diese Gegenmaßnahmen helfen:

• Nummernabgleich und zusätzlichen Kontext wie App-Name und Standort aktivieren.
• Anmeldeversuche begrenzen und die IT bei auffälligen Mustern alarmieren.
• Klarstellen, dass die IT niemals telefonisch um eine Freigabe oder einen Code bittet.
• Für Administratoren und andere kritische Konten phishing-resistente Methoden verwenden.

Verlorene Geräte und Kontowiederherstellung

Früher oder später geht ein Smartphone verloren, kaputt oder wird getauscht. Gibt es dafür keinen klaren Ablauf, ist die Versuchung groß, MFA einfach abzuschalten, und genau das nutzen Angreifer mit gefälschten Anrufen beim Helpdesk aus. Legen Sie vorab fest, wie eine Person ihre Identität nachweist, bevor ein neues Gerät registriert wird.

• Pro Person mindestens zwei Methoden registrieren, zum Beispiel App und Sicherheitsschlüssel.
• Die Identität per Rückruf an eine bekannte Nummer oder persönlich prüfen, nie nur auf Zuruf.
• Für die Neuregistrierung zeitlich begrenzte Einmal-Zugangscodes nutzen, statt MFA zu deaktivieren.
• Verlorene Geräte sofort aus dem Konto entfernen und jede Zurücksetzung dokumentieren.

Conditional Access: MFA mit Kontext

Mit Conditional Access (bedingtem Zugriff) berücksichtigen Anmelderegeln den Kontext: Wer meldet sich an, mit welchem Gerät, aus welchem Land und für welche Anwendung? Ein typisches Regelwerk verlangt MFA für alle Benutzer, erlaubt den Zugriff auf sensible Daten nur von verwalteten Geräten und blockiert Anmeldungen aus Ländern, in denen das Unternehmen nicht tätig ist. Für Administratoren werden zusätzlich phishing-resistente Methoden verlangt.

In Microsoft 365 bieten die kostenlosen Sicherheitsstandards (Security Defaults) einen Grundschutz. Fein abgestufte Conditional-Access-Richtlinien erfordern eine Lizenz für Microsoft Entra ID P1, die zum Beispiel in Microsoft 365 Business Premium enthalten ist. Testen Sie neue Regeln zuerst im Nur-Bericht-Modus (Report-only), damit niemand versehentlich ausgesperrt wird.

Fazit: MFA geplant einführen, nicht über Nacht

MFA hat für Unternehmen jeder Größe ein sehr gutes Verhältnis von Aufwand und Wirkung, und auch die NIS2-Richtlinie nennt sie ausdrücklich unter den Maßnahmen für das Risikomanagement. Wenn Sie Unterstützung wünschen, übernimmt Q-entra die Einrichtung im Rahmen von Cyber Security und betreut die Einstellungen auf Wunsch laufend mit Managed Security.