Multi-Faktor-Authentifizierung (MFA) einfach erklärt
Ein Passwort ist ein einziges Geheimnis. Wer es kennt, gilt für das System als berechtigte Person. Ob es selbst festgelegt, auf einer gefälschten Anmeldeseite abgefangen oder in einer Liste aus einem fremden Datenleck gefunden wurde, spielt dafür keine Rolle. Genau diese Schwäche gleicht MFA aus.
Das BSI ordnet die Nachweise drei Gruppen zu: Wissen, etwa eine PIN; Besitz, etwa eine Chipkarte oder ein Codegenerator; Biometrie, etwa der Fingerabdruck. Für MFA müssen die Nachweise aus verschiedenen Gruppen kommen. Wer nach dem Passwort noch eine Sicherheitsfrage beantwortet, nutzt zweimal Wissen und damit keine MFA. Die Zwei-Faktor-Authentifizierung ist der Sonderfall mit genau zwei Nachweisen.
Zweite Faktoren im Vergleich
Die Verfahren unterscheiden sich darin, wie leicht Angreifer sie beim Phishing über eine gefälschte Anmeldeseite mit abgreifen können:
| Verfahren | So funktioniert es | Einordnung |
|---|---|---|
| Code per SMS | Ein Einmalcode kommt als Textnachricht aufs Handy. | Hebt den Schutz gegenüber dem reinen Passwort. Wer die Rufnummer auf eine eigene SIM-Karte umleiten lässt, erhält aber auch den Code. |
| Code aus einer App | Eine Authenticator-App berechnet in kurzen Abständen einen neuen Code, nach dem zugrunde liegenden Standard alle 30 Sekunden. | Funktioniert ohne Mobilfunknetz. Auf einer gefälschten Anmeldeseite tippt man den Code aber genauso ein wie auf der echten. |
| Bestätigung per App | Die App fragt nach, ob Sie sich gerade anmelden; im besten Fall mit Zahlenabgleich. | Bequem; Anfragen, die man nicht selbst ausgelöst hat, müssen abgelehnt werden. |
| Sicherheitsschlüssel, Passkey | Ein kryptografischer Schlüssel auf einem USB- oder NFC-Gerät oder im Gerät selbst bestätigt die Anmeldung. | Der Schlüssel antwortet nur der Domain, für die er angelegt wurde. Eine Kopie unter fremder Adresse geht leer aus, daher die Einstufung als phishing-resistent. |
Die NIST-Richtlinie SP 800-63B-4 aus den USA (Juli 2025) zählt Verfahren, bei denen ein Code abgetippt wird, ausdrücklich nicht zu den phishing-resistenten. Für Konten mit weitreichenden Rechten sind Sicherheitsschlüssel oder Passkeys deshalb die robustere Wahl.
Welche Konten MFA zuerst brauchen
Die Reihenfolge richtet sich danach, welche Zugänge von außen offenstehen und welchen Schaden ein übernommenes Konto anrichten kann:
- Administratorkonten für Microsoft 365, Server, Firewall und Cloud-Dienste. Microsoft verlangt für die Anmeldung an seinen Verwaltungsportalen, etwa für Microsoft Entra ID, Microsoft Intune, Azure und Microsoft 365, inzwischen selbst einen zweiten Faktor (Stand: Oktober 2026).
- E-Mail und Dateiablage, weil ein gekapertes Postfach für Rechnungsbetrug und neue Phishing-Wellen genutzt werden kann.
- Fernzugänge wie VPN und Fernwartung, die direkt ins Firmennetz führen.
- Branchenportale und Bankzugänge, soweit der Anbieter einen zweiten Faktor anbietet.
Stolperstellen bei der Einführung
Aufwendig wird die Einführung vor allem bei Sonderfällen:
- Gemeinsam genutzte Zugänge: Ein Postfach oder Portal, an dem sich mehrere Personen mit denselben Daten anmelden, passt schlecht zu einem Faktor auf einem einzelnen Handy. Besser sind persönliche Konten mit Zugriffsrechten auf das gemeinsame Postfach.
- Neues oder verlorenes Handy: Ohne vorher hinterlegten Ersatzfaktor sperrt sich die Person aus. Das BSI empfiehlt, mehrere Faktoren für den Notfall zu hinterlegen.
- Notfallzugang: Mindestens ein eigenes Konto für den Notfall sollte den Zugang zur Verwaltung sichern, falls die übliche Anmeldung ausfällt. Auch dieses Konto braucht einen zweiten Faktor, etwa einen Sicherheitsschlüssel, der verschlossen aufbewahrt wird.
- Dienstleister und Aushilfen: Auch externe Konten bekommen einen zweiten Faktor; befristete Konten erhalten ein Ablaufdatum.
Kombiniert mit einem Passwort-Manager für lange Passwörter, die nur für einen Dienst gelten, entsteht eine solide Basis für die Anmeldung. Langfristig ist MFA ein Baustein des Ansatzes Zero Trust, bei dem Anmeldungen anhand von Person, Gerät und Situation bewertet werden.
Passwortliste trifft Anmeldeschutz
Angenommen, ein Immobilienmakler mit neun Mitarbeitenden nutzt Microsoft 365. Eine Kollegin hat für ihr Firmenkonto dasselbe Passwort gewählt wie für einen privaten Onlineshop. Dessen Kundendaten tauchen in einer Liste aus einem Datenleck auf. Wenig später versucht jemand, sich mit diesem Passwort an ihrem Postfach anzumelden.
Weil der zweite Faktor über Microsoft Entra ID für alle Konten aktiv ist, endet der Versuch an der Bestätigung in der App, die die Kollegin nicht freigibt. Sie meldet die unerwartete Anfrage, das Passwort wird geändert, und die Anmeldeprotokolle zeigen keinen erfolgreichen Zugriff. Ohne MFA hätte das Passwort genügt.
Einen vollständigen Schutz bietet MFA trotzdem nicht. Ausgefeilte Phishing-Seiten können Codes in Echtzeit an den echten Dienst weiterreichen. Auf welche Anforderungen Versicherer beim Anmeldeschutz achten, beschreibt unser Ratgeber Cyberversicherung: Anforderungen.
Wie ProNet unterstützt
Wir richten MFA für die Konten in Microsoft 365 ein, begleiten Ihre Mitarbeitenden bei der Einrichtung und legen mit Ihnen fest, was bei einem verlorenen Handy passiert. Je nach Lizenz ergänzen wir Regeln für den bedingten Zugriff. Mehr dazu lesen Sie bei der Microsoft-365-Verwaltung. Wie wir Fernzugänge mit zweitem Faktor absichern, steht auf der Seite Firewall für Unternehmen; den Gesamtrahmen zeigt IT-Sicherheit für Unternehmen.