Kurzdefinition: Multi-Faktor-Authentifizierung (MFA) verlangt für die Anmeldung mindestens zwei unabhängige Faktoren aus den Kategorien Wissen (Passwort), Besitz (Gerät, Token) und Inhärenz (Biometrie). Sie ist eine der wirksamsten und günstigsten Einzelmaßnahmen gegen den Missbrauch gestohlener Zugangsdaten.
Was ist MFA?
Ein Anmeldeverfahren mit mehreren unabhängigen Nachweisen. Selbst wer das Passwort kennt, kommt ohne den zweiten Faktor (etwa das Smartphone) nicht hinein.
Warum ist MFA so wirksam?
Weil Passwörter massenhaft gestohlen und wiederverwendet werden. MFA entwertet gestohlene Passwörter, weil der zweite Faktor fehlt.
Welche Faktoren gibt es?
Wissen (Passwort, PIN), Besitz (Authenticator-App, Hardware-Token) und Inhärenz (Fingerabdruck, Gesicht). Ein zweiter Faktor muss aus einer anderen Kategorie stammen.
Ist jede MFA gleich sicher?
Nein. Phishing-resistente Verfahren (etwa FIDO2/Hardware-Token) sind sicherer als SMS-Codes, die abgefangen oder umgeleitet werden können.
Wo sollte MFA zuerst greifen?
Bei kritischen Zugängen: administrative Konten, Fernzugriffe, E-Mail und Zugänge zu sensiblen Daten. Dort ist der Schaden bei Missbrauch am größten.
Häufige Fehlannahmen
- „Ein starkes Passwort reicht.“ Nein. Auch starke Passwörter werden gestohlen.
- „MFA per SMS ist sicher genug.“ Nur begrenzt. SMS-Codes sind angreifbar.
- „MFA nur für Admins.“ Zu wenig. Auch normale Zugänge werden angegriffen.
- „MFA ist zu umständlich.“ Moderne Verfahren sind schnell und nutzerfreundlich.
- „MFA schützt vor allem.“ Nein. Sie ist wichtig, aber nur ein Teil eines Gesamtkonzepts; phishing-resistente Verfahren sind besonders stark.
Was die Geschäftsleitung tun sollte
- Breit einführen. MFA für kritische und möglichst alle Zugänge aktivieren.
- Stark wählen. Phishing-resistente Verfahren bevorzugen.
- Admins zuerst. Privilegierte Konten priorisieren.
- Ausnahmen prüfen. Umgehungen minimieren.
Für die Geschäftsleitung
MFA ist eine der wirksamsten und günstigsten Sicherheitsmaßnahmen: Sie entwertet gestohlene Passwörter. Wer MFA breit und mit phishing-resistenten Verfahren einführt — zuerst bei Admins und Fernzugriffen —, schließt eine der häufigsten Einbruchstüren.
Quellen
Allgemein anerkannte Grundlagen der Informationssicherheit (u. a. BSI-Grundschutz, ENISA-Leitlinien, ISO/IEC-27000-Reihe). Dieser Eintrag erklärt einen technisch-organisatorischen Begriff und zitiert keine amtliche Einzelnorm.
