Multi-Faktor-Authentifizierung (MFA) verlangt bei der Anmeldung mindestens zwei unabhängige Nachweise. Ein gestohlenes Passwort allein reicht dann nicht mehr, um in ein Konto zu gelangen. Die Nachweise stammen aus drei Kategorien: etwas, das Sie wissen (Passwort, PIN), etwas, das Sie besitzen (Smartphone, Sicherheitsschlüssel), und etwas, das Sie sind (Fingerabdruck, Gesichtserkennung). Bei zwei Faktoren spricht man auch von Zwei-Faktor-Authentifizierung (2FA).
Wie wirksam ist MFA?
Sehr wirksam. Eine Studie von Microsoft Research aus dem Jahr 2023 hat Anmeldungen in Microsoft-Unternehmenskonten ausgewertet: MFA senkte das Risiko einer Kontoübernahme um 99,22 %. Selbst bei Konten, deren Zugangsdaten bereits im Netz kursierten, lag die Senkung bei 98,56 %.
Auch Microsoft selbst setzt darauf: Seit Oktober 2024 ist MFA für die Anmeldung am Azure-Portal und am Entra Admin Center Pflicht, seit Februar 2025 schrittweise auch für das Microsoft 365 Admin Center, so die Microsoft-Dokumentation zur verpflichtenden MFA.
Welche Verfahren es gibt
| Verfahren | Sicherheit | Hinweis |
|---|---|---|
| Sicherheitsschlüssel (FIDO2) oder Passkey | sehr hoch | phishing-resistent, ideal für Administratoren |
| Authenticator-App mit Zahlenabgleich | hoch | Standard für Microsoft 365 |
| Einmalcode aus einer App (TOTP) | mittel bis hoch | funktioniert auch offline |
| SMS-Code | gering | anfällig für SIM-Tausch und Umleitung, nur als Notlösung |
Phishing-resistent heißt: Der Faktor ist an die echte Website gebunden. Gibt ein Mitarbeiter seine Daten auf einer gefälschten Anmeldeseite ein, funktioniert der Sicherheitsschlüssel dort nicht. Einmalcodes und Push-Bestätigungen kann ein Angreifer dagegen auf einer nachgebauten Seite abfangen.
Typische Schwachstellen
- MFA-Müdigkeit: Angreifer lösen so lange Anmeldeanfragen aus, bis jemand genervt auf „Genehmigen“ tippt. Der Zahlenabgleich in der Authenticator-App verhindert das weitgehend.
- Ausnahmen: Alte Protokolle, Dienstkonten oder einzelne Geschäftsführer-Konten ohne MFA sind oft der einzige offene Weg.
- Kein Plan für verlorene Handys: Ohne geregelte Wiederherstellung sperren sich Mitarbeiter aus oder umgehen die Regel.
Wo Unternehmen zuerst ansetzen sollten
- Administratorkonten, am besten mit Sicherheitsschlüssel
- Microsoft 365 und andere Cloud-Dienste, für alle Mitarbeiter
- Fernzugriff über VPN oder Remote-Desktop
- Kritische Fachanwendungen wie Buchhaltung, Banking oder Warenwirtschaft
In Microsoft 365 lässt sich MFA über bedingten Zugriff (Conditional Access) fein steuern, etwa strenger von außen als im Firmennetz. Das ist Teil unserer Microsoft-365-Betreuung und unserer Leistungen zur IT-Security. Weitere Bausteine einer modernen Absicherung finden Sie unter Zero Trust und Phishing.