Passwörter scheitern nicht an ihrer Länge, sondern daran, dass sie übertragbar sind: Wer sie kennt, kann sie verwenden. Multi-Faktor-Authentifizierung durchbricht das, indem sie einen zweiten, andersartigen Nachweis verlangt. Sie ist damit die Maßnahme mit dem günstigsten Verhältnis von Aufwand zu Wirkung gegen die häufigsten Angriffswege: Phishing, wiederverwendete Zugangsdaten und automatisiertes Ausprobieren.
Die drei Kategorien
| Kategorie | Beispiele | Typische Schwäche |
|---|---|---|
| Wissen | Passwort, PIN, Wiederherstellungscode | wird weitergegeben, wiederverwendet, abgefragt |
| Besitz | Sicherheitsschlüssel, Chipkarte, Authenticator-App auf einem registrierten Gerät, Einmalcode | Verlust des Geräts, Übernahme der Mobilfunknummer |
| Inhärenz | Fingerabdruck, Gesichtserkennung | nicht änderbar, gerätegebunden, mitbestimmungsrelevant |
Wirksam wird das Verfahren erst durch die Kombination aus verschiedenen Kategorien. Passwort und Sicherheitsfrage sind zwei Wissensfaktoren und erhöhen das Schutzniveau kaum, weil beide über dieselbe gefälschte Anmeldeseite abgefragt werden können.
Nicht jede MFA schützt gleich gut
Verfahren unterscheiden sich vor allem darin, ob sie gegen die Weiterleitung durch einen zwischengeschalteten Angreifer widerstandsfähig sind. Einmalcodes, per App erzeugt oder per Nachricht zugestellt, kann ein Nutzer auf einer gefälschten Seite eingeben, und der Angreifer verwendet sie in Echtzeit weiter. Verfahren auf Basis der Standards FIDO2 und WebAuthn, zu denen auch Passkeys zählen, binden die Anmeldung kryptografisch an die aufgerufene Domain; eine gefälschte Seite erhält deshalb keine verwertbare Antwort.
Das heißt nicht, dass Einmalcodes wertlos wären: Sie verhindern die massenhafte Wiederverwendung erbeuteter Passwörter zuverlässig. Für Konten mit weitreichenden Rechten ist ein phishing-resistentes Verfahren jedoch der deutlich stärkere Schutz. Die Auswahl gehört in die Risikobetrachtung, nicht in eine pauschale Vorgabe.
MFA-Ermüdung
Ein verbreiteter Angriff zielt nicht auf die Technik, sondern auf die Person: Der Angreifer löst mit erbeuteten Zugangsdaten wiederholt Bestätigungsanfragen aus, bis eine davon bestätigt wird. Gegenmaßnahmen sind Verfahren mit Zahlenabgleich statt einfacher Bestätigung, eine Begrenzung der Anfragen, Anzeige von Standort und Anwendung sowie eine niedrigschwellige Meldemöglichkeit für unerwartete Anfragen.
Wo MFA zuerst greifen sollte
- Fernzugriffe von außen: VPN, Terminaldienste, Fernwartung durch Dienstleister
- Administrative Konten in allen Systemen
- E-Mail-Konten, der Wiederherstellungsweg für fast alle anderen Zugänge
- Cloud-Dienste mit Unternehmensdaten
- Anwendungen mit besonders schutzbedürftigen Daten
Regulatorische Einordnung
Eine allgemeine gesetzliche Pflicht zur Einführung von MFA in jedem Unternehmen besteht in Deutschland nicht. Für besonders wichtige und wichtige Einrichtungen ist der Maßnahmenkatalog des § 30 Absatz 2 BSIG dagegen Mindestumfang. Nummer 10, wortgleich mit Artikel 21 Absatz 2 Buchstabe j der Richtlinie (EU) 2022/2555, verlangt dort Lösungen zur Multi-Faktor-Authentifizierung oder zur kontinuierlichen Authentifizierung. Welches der beiden Verfahren zum Einsatz kommt, entscheidet die Einrichtung; auf starke Authentifizierung ganz zu verzichten, steht nicht zur Wahl. Art. 32 DSGVO verlangt ein risikoangemessenes Schutzniveau, ohne Verfahren vorzuschreiben. Bei Fernzugriffen auf personenbezogene Daten ist eine Begründung dafür, auf starke Authentifizierung zu verzichten, jedoch schwer zu führen.
Betriebliche Fragen vor der Einführung
- Wiederherstellung: Wie erhält jemand Zugang, der seinen zweiten Faktor verloren hat? Dieser Weg ist der wahrscheinlichste Angriffspunkt und muss selbst abgesichert sein.
- Ersatzverfahren: Zweiter registrierter Faktor je Nutzer statt Ausnahmeliste.
- Beschäftigte ohne Diensthandy: Hardware-Token oder Chipkarte einplanen, nicht die private Nutzung voraussetzen.
- Mitbestimmung und Datenschutz: Biometrische Verfahren und Standortanzeigen sind vorab abzustimmen.
- Dienstekonten: Sie lassen sich meist nicht per MFA schützen und brauchen andere Maßnahmen.