MFA im Unternehmen richtig einführen.

Warum reicht ein Passwort nicht mehr aus?

Passwörter werden erraten, aus Datenlecks wiederverwendet oder über gefälschte Anmeldeseiten abgegriffen. Mit Multi-Faktor-Authentifizierung (MFA) braucht ein Angreifer zusätzlich etwas, das nur die berechtigte Person besitzt oder ist: ein Smartphone, einen Sicherheitsschlüssel, eine Smartcard oder einen Fingerabdruck. Das BSI empfiehlt die Zwei-Faktor-Authentisierung überall dort, wo ein Dienst sie anbietet. Im IT-Grundschutz-Kompendium (Baustein ORP.4, Anforderung A21) sieht es bei erhöhtem Schutzbedarf eine sichere Mehr-Faktor-Authentisierung vor, etwa mit kryptografischen Zertifikaten, Chipkarten oder Token.

MFA ist allerdings nicht gleich MFA. Die Verfahren unterscheiden sich deutlich darin, ob sie einem gezielten Phishing-Angriff standhalten. Danach richtet sich, welches Verfahren Sie für welche Konten einsetzen.

Welche MFA-Methoden gibt es und wie sicher sind sie?

Das BSI hat gängige Verfahren verglichen und bewertet. Das Ergebnis: Codes per SMS, E-Mail oder TOTP-App schützen nicht vor Phishing in Echtzeit, weil ein Angreifer den Code über einen vorgeschalteten Proxy mitliest und sofort selbst verwendet. Fertige Phishing-Baukästen nach diesem Prinzip sind seit Jahren im Umlauf. Passkeys und FIDO2-Schlüssel sind dagegen resistent gegen übliche Phishing-Angriffe, weil die Anmeldung kryptografisch an die echte Webadresse gebunden ist. Die US-Behörde CISA zählt in ihrem Merkblatt zu phishingresistenter MFA zusätzlich zertifikatsbasierte Verfahren (PKI, etwa Smartcards) dazu.

In der Praxis heißt das: TOTP und Push mit Nummernabgleich sind ein großer Fortschritt gegenüber dem reinen Passwort und für viele Konten ausreichend. Für Konten, deren Übernahme das ganze Unternehmen gefährdet, würden wir von Anfang an phishingresistente Verfahren einplanen. FIDO2-Schlüssel kosten je nach Modell etwa 25 bis 100 Euro pro Stück (Richtwerte am Markt, netto, Stand November 2026, kein Angebot). Rechnen Sie mit zwei Schlüsseln pro Administrator, damit ein Ersatz bereitliegt.

In welcher Reihenfolge führen Sie MFA ein?

Nicht alle Konten auf einmal, sondern nach dem Schaden, den eine Übernahme anrichten würde. Bewährt hat sich diese Reihenfolge:

1. Administratoren und privilegierte Konten: Domänen- und Cloud-Administratoren, Firewall, Hypervisor, Backup-System. Hier gleich phishingresistent mit FIDO2 oder Smartcard, dazu getrennte Admin-Konten ohne E-Mail-Postfach.
2. Fernzugänge von außen: VPN, Remote-Desktop-Gateways, Citrix und Fernwartungszugänge von Dienstleistern. Aus dem Internet erreichbare Zugänge ohne MFA sind ein häufiger Einstieg für Ransomware.
3. E-Mail: Postfächer sind der Schlüssel zu Passwort-Resets, Rechnungsbetrug und internen Informationen. Schalten Sie Zugänge mit reiner Passwortanmeldung ab, etwa POP3, IMAP, SMTP AUTH oder ActiveSync mit Standardauthentifizierung, gerade auf eigenen Exchange-Servern. Sonst umgehen Angreifer die MFA einfach.
4. Cloud-Anwendungen: CRM, Buchhaltung, Dateiablage, Zusammenarbeit. Am besten per Single Sign-on an einen zentralen Identitätsdienst angebunden, damit MFA einmal sauber geregelt ist statt in jeder Anwendung einzeln.
5. Interne Anwendungen und Arbeitsplatzanmeldung: ERP, Dateiserver und die Anmeldung am Rechner, etwa mit Smartcard oder Windows Hello for Business. Das ist der aufwendigste Schritt und kommt deshalb zuletzt.

MFA ist ein Baustein von Zero Trust, bei dem jeder Zugriff anhand von Identität, Gerät und Kontext geprüft wird. Wer Fernzugänge ohnehin neu aufstellt, sollte dabei auch die Frage ZTNA oder VPN klären.

Was ist MFA-Fatigue und wie verhindern Sie sie?

Bei MFA-Fatigue, auch Push-Bombing genannt, kennt der Angreifer das Passwort bereits und löst immer wieder Push-Anfragen aus, oft nachts, bis die Person entnervt oder versehentlich bestätigt. Häufig meldet er sich zusätzlich per Anruf oder Messenger und gibt sich als IT-Support aus. Mit dieser Masche gelang 2022 unter anderem der Einbruch bei Uber. Was dagegen hilft:

• Nummernabgleich einschalten: Die Person tippt eine auf dem Anmeldebildschirm angezeigte Zahl in die App. Microsoft hat das für Push-Anfragen im Authenticator im Mai 2023 verpflichtend gemacht, die CISA empfiehlt es als Übergangslösung bis zur phishingresistenten MFA.
• Anwendung und ungefähren Standort in der Push-Nachricht anzeigen, damit fremde Anfragen auffallen.
• Nach mehreren abgelehnten Anfragen die Anmeldung sperren oder verzögern und die IT alarmieren.
• Eine Schaltfläche „Das war ich nicht“ anbieten, die einen Vorfall auslöst und das Passwort zurücksetzt. In der Schulung gehört dazu der Satz: Eine unerwartete Anfrage heißt, das Passwort ist bekannt.
• Per bedingtem Zugriff Anmeldungen nur von verwalteten Geräten oder aus erwarteten Ländern zulassen.

Ausnahmen und Wiederherstellung: Wo MFA oft scheitert

Die meisten Lücken entstehen nicht beim Verfahren, sondern drumherum. Typische Stolpersteine:

• Dienstkonten: Konten für Schnittstellen, Scanner oder Backups können meist keine MFA nutzen. Sie bekommen lange zufällige Passwörter oder besser Zertifikate, dürfen sich nur von festgelegten Systemen anmelden und keine interaktiven Sitzungen öffnen.
• Notfallkonten: Zwei Notfall-Administratorkonten, abgesichert mit FIDO2-Schlüsseln, die im Tresor liegen. Von Richtlinien für bedingten Zugriff nehmen Sie diese Konten aus, damit eine fehlerhafte Richtlinie Sie nicht aussperrt. Jede Anmeldung damit löst einen Alarm aus.
• Gemeinsam genutzte Geräte: Terminals in Produktion und Lager oder Kassen. Hier helfen Sicherheitsschlüssel oder Smartcards statt privater Smartphones.
• Mitarbeitende ohne Diensthandy: Private Geräte nicht erzwingen, sondern einen Hardware-Schlüssel anbieten. Das entschärft auch Fragen mit Betriebsrat und Datenschutz.
• Wiederherstellung: Das BSI weist darauf hin, dass einstufige Wiederherstellungsverfahren den Schutz durch den zweiten Faktor erheblich schwächen, weil Angreifer gezielt diesen Weg nehmen. Ein Anruf beim Helpdesk darf nicht reichen, um MFA zurückzusetzen. Legen Sie eine Identitätsprüfung fest, etwa Rückruf über die hinterlegte Nummer und Bestätigung durch die Führungskraft, und protokollieren Sie jeden Reset.

Jede Ausnahme gehört in eine Liste mit Begründung, Verantwortlichem und Ablaufdatum. Ausnahmen ohne Ablaufdatum werden erfahrungsgemäß dauerhaft.

Ist MFA für Unternehmen Pflicht?

Für Einrichtungen, die unter NIS2 fallen, ja. Seit Inkrafttreten des NIS-2-Umsetzungsgesetzes am 6. Dezember 2025 nennt § 30 Abs. 2 Nr. 10 BSIG die „Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung“ ausdrücklich unter den Maßnahmen, die das Risikomanagement mindestens umfassen muss. Wie weit Sie gehen, richtet sich nach Verhältnismäßigkeit und Risiko, und die Umsetzung ist zu dokumentieren. Für Anbieter digitaler Dienste wie Cloud, Rechenzentren oder Managed Services regelt die Durchführungsverordnung (EU) 2024/2690 die Authentifizierung zusätzlich im Detail. Welche weiteren Pflichten dazugehören, lesen Sie im Beitrag zu den NIS2-Risikomanagementmaßnahmen.

Für alle anderen Unternehmen gibt es keine allgemeine gesetzliche MFA-Pflicht. Art. 32 DSGVO verlangt aber Schutzmaßnahmen unter Berücksichtigung des Stands der Technik, und viele Cyberversicherer fragen MFA für E-Mail, Fernzugänge und Administratoren vor Vertragsabschluss ab. Wer dort falsche Angaben macht, riskiert im Schadensfall Streit um die Leistung. Dieser Artikel ersetzt keine Rechtsberatung.

Wie läuft eine MFA-Einführung praktisch ab?

1. Alle Anmeldewege erfassen, auch alte Protokolle, Dienstkonten und Zugänge von Dienstleistern. Die Anmeldeprotokolle des Identitätsdienstes zeigen, was tatsächlich genutzt wird.
2. Verfahren je Gruppe festlegen: Administratoren FIDO2, Belegschaft Push mit Nummernabgleich oder Passkeys, Sonderfälle Hardware-Schlüssel.
3. Mit der IT und einer Fachabteilung zwei bis vier Wochen pilotieren und dabei Fragen und Supportaufwand festhalten.
4. Registrierung mit Frist: Anleitung, kurze Schulung, feste Sprechstunde. Erst registrieren lassen, dann erzwingen.
5. MFA per Richtlinie schrittweise je Gruppe erzwingen, alte Protokolle abschalten, Ausnahmen dokumentieren.
6. Abgelehnte Anfragen, ungewöhnliche Anmeldungen und Resets auswerten, Ausnahmen quartalsweise prüfen.

Beispiel mit typischen Werten: In einem Unternehmen mit 150 Beschäftigten und einem zentralen Identitätsdienst dauert die Einführung für Administratoren, Fernzugänge und E-Mail meist vier bis acht Wochen. Die meiste Zeit geht in Kommunikation, Sonderfälle und alte Anwendungen, kaum in die Technik.

Wie Unite2Link Sie bei der MFA-Einführung unterstützt

Unser Team prüft Ihre Anmeldewege, legt Verfahren und Reihenfolge fest und richtet MFA für Administratoren, Fernzugänge, E-Mail und Cloud-Anwendungen ein, bei Ihnen vor Ort und online. Für WatchGuard, das mit AuthPoint eine eigene MFA-Lösung anbietet, ist unser Team zertifiziert. In Schulungen bereiten wir Mitarbeitende auf MFA-Fatigue und Social Engineering vor, mit einem Penetrationstest prüfen wir anschließend, ob Lücken geblieben sind. Die Einführung von MFA rechnen wir nach Aufwand ab, Techniker ab 80 Euro, Ingenieur ab 120 Euro pro Stunde, netto. Einen Penetrationstest kalkulieren wir separat nach Umfang. Mehr dazu unter Cybersicherheit.