Mehrfaktor-Anmeldung bedeutet, dass zur Anmeldung neben dem Passwort ein zweiter Nachweis gehört: etwas, das man besitzt, wie ein Telefon oder ein Sicherheitsschlüssel, oder etwas, das man ist, wie ein Fingerabdruck. Das BSI beschreibt in seiner Übersicht die verbreiteten Verfahren und ihre unterschiedliche Sicherheit. Gemeinsam ist allen: Ein gestohlenes Passwort allein reicht nicht mehr.
§ 30 Abs. 2 Nr. 10 BSIG verlangt von Einrichtungen unter NIS2 die Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung. Der IT-Grundschutz-Baustein ORP.4 verlangt Mehr-Faktor-Schutz für Benutzerkennungen mit weitreichenden Berechtigungen (ORP.4.A10) und bei erhöhtem Schutzbedarf für alle (ORP.4.A21).
Verfahren im Vergleich
Nicht jeder zweite Faktor ist gleich viel wert. Die Spalte rechts sagt, wogegen das Verfahren nicht hilft.
| Verfahren | Wie es funktioniert | Geeignet für | Hilft nicht gegen |
|---|---|---|---|
| SMS-Code | Code per Kurznachricht | nur als Übergang oder Ausnahme | umgeleitete Rufnummern, Phishing-Seiten, die den Code abfragen |
| Code aus einer App | zeitbasierter Code im Authenticator | Dienste ohne Push-Verfahren | Phishing-Seiten, die den Code durchreichen |
| Push mit Nummernabgleich | Bestätigung auf dem Telefon, Zahl vom Bildschirm eintippen | alle Mitarbeitenden | Phishing-Seiten als Vermittler (Adversary in the Middle) |
| Passkey oder Sicherheitsschlüssel (FIDO2) | kryptografische Anmeldung, an die echte Adresse gebunden | Administratoren, Geschäftsführung, Buchhaltung | verlorenes Gerät ohne zweiten Schlüssel – deshalb immer zwei |
Die Reihenfolge der Einführung
Bewährt hat sich, von den gefährdetsten Konten zu den übrigen zu gehen – und erst einzuschalten, wenn alle registriert sind.
- Bestand aufnehmenWelche Konten gibt es, welche Dienste melden sich an, welche Geräte und Programme nutzen veraltete Anmeldeverfahren – Multifunktionsgeräte, alte Mailprogramme, Skripte, Dienstkonten.
- Administratoren zuerstGetrennte Administratorkonten mit Passkey oder Sicherheitsschlüssel, dazu zwei Notfallkonten mit eigenem Verfahren.
- Registrierung mit dem TeamEine kurze Einheit, in der jeder sein Verfahren einrichtet – mit einem zweiten Verfahren als Rückfall. Wer kein Diensttelefon hat, bekommt einen Sicherheitsschlüssel.
- Einschalten, Ausnahmen dokumentierenMehrfaktor-Pflicht für alle, veraltete Anmeldeverfahren blockieren. Jede Ausnahme mit Grund, Verantwortlichem und Prüfdatum.
- Den Notfall regelnWas passiert, wenn das Telefon weg ist: wer einen befristeten Zugangspass ausstellt, wie die Identität geprüft wird, wer das alte Verfahren entfernt.
Woran Einführungen scheitern
- Geräte und Programme, die nur Passwort könnenScanner, die ins Postfach senden, alte Mailprogramme, Skripte. Sie brauchen einen anderen Weg – einen eigenen Versanddienst, ein Dienstkonto mit eingeschränkten Rechten oder eine Aktualisierung.
- Nur ein Verfahren je PersonWer nur das Telefon registriert hat, steht beim Handywechsel vor der Tür. Ein zweites Verfahren gehört von Anfang an dazu.
- Push ohne NummernabgleichEin einfaches „Genehmigen?“ wird irgendwann aus Gewohnheit bestätigt. Bei Microsoft ist der Nummernabgleich inzwischen für alle Authenticator-Pushbenachrichtigungen aktiviert; bei anderen Anbietern lohnt der Blick in die Einstellungen.
- Ausnahmen ohne AblaufdatumDie Ausnahme für den Geschäftsführer im Urlaub, die nie zurückgenommen wurde. Jede Ausnahme bekommt ein Prüfdatum.
Dazu gehört
- PasskeysDas Verfahren, an dem Phishing-Seiten scheitern.Ansehen →
- Rollen und AdministratorkontenWarum Administratoren zuerst drankommen – und warum es zwei Notfallkonten braucht.Ansehen →
- Zugang & IdentitätDer Überblick über alle Stellen, an denen Zugänge brechen.Ansehen →
- MFA-Check (Werkzeug)Welche Ihrer Zugänge heute noch an einem Passwort hängen – mit Reihenfolge.Ansehen →
- Bedingter Zugriff in Entra IDWo seltener nachgefragt wird – und wo strenger.Ansehen →
- Störung: Anmeldeanfrage ohne eigene AnmeldungWas eine fremde Anfrage bedeutet – und die drei Handgriffe danach.Ansehen →
- Störung: Authenticator auf neuem HandyHandywechsel und verlorenes Telefon ohne Stillstand.Ansehen →
- Leistung: CybersecurityMehrfaktor-Anmeldung eingeführt, Ausnahmen dokumentiert, Notfallweg geregelt.Ansehen →
Häufige Fragen
- Müssen wir allen Mitarbeitenden ein Diensttelefon geben?
- Nein. Wer kein Diensttelefon hat und das private nicht nutzen möchte, bekommt einen Sicherheitsschlüssel. Der funktioniert ohne Akku und ohne App und ist gegen Phishing-Seiten sogar besser geschützt.
- Was ist mit SMS-Codes?
- Sie sind besser als nur ein Passwort, aber das schwächste der verbreiteten Verfahren. Wir nutzen sie nur als Übergang oder als Rückfall, wenn nichts anderes geht.
- Wie lange dauert die Einführung?
- Das hängt vor allem davon ab, wie viele Geräte und Programme noch mit veralteten Anmeldeverfahren arbeiten. Die Registrierung selbst dauert je Person wenige Minuten; die Arbeit steckt in der Bestandsaufnahme und den Ausnahmen.
- Fragt das System dann bei jeder Anmeldung?
- Nicht zwingend. Mit bedingtem Zugriff lässt sich festlegen, dass auf verwalteten Firmengeräten seltener gefragt wird als auf fremden Geräten – das erhöht die Akzeptanz, ohne den Schutz aufzugeben.
Quellen und Nachweise
- § 30 BSIG – Risikomanagementmaßnahmen (Absatz 2 Nr. 10: Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung) · Bundesministerium der Justiz (gesetze-im-internet.de)amtlich
- BSI: Zwei-Faktor-Authentisierung – Verfahren und ihre Sicherheit · Bundesamt für Sicherheit in der Informationstechnikamtlich
- BSI IT-Grundschutz-Baustein ORP.4 Identitäts- und Berechtigungsmanagement (Edition 2023), Anforderungen ORP.4.A10 und ORP.4.A21 · Bundesamt für Sicherheit in der Informationstechnikamtlich
- Microsoft Learn: Nummernabgleich bei Benachrichtigungen der Multi-Faktor-Authentifizierung · Microsoft
- Microsoft Learn: Sicherheitsstandards in Microsoft Entra ID · Microsoft