Multi-Faktor-Authentifizierung (MFA): Mehr Sicherheit durch mehrere Faktoren

Warum Multi-Faktor-Authentifizierung gestohlene Passwörter wirkungslos macht

Dieser Beitrag zeigt Ihnen, welche Faktorkategorien bei der Multi-Faktor-Authentifizierung kombiniert werden. Zudem stellen wir gängige MFA-Verfahren vor und ordnen deren jeweiliges Sicherheitsniveau ein.

Was ist Multi-Faktor-Authentifizierung (MFA)?

Multi-Faktor-Authentifizierung (MFA) verlangt bei der Anmeldung mindestens zwei unabhängige Nachweise der Identität, üblicherweise aus unterschiedlichen Kategorien wie Wissen, Besitz und biometrischen Merkmalen. Selbst ein gestohlenes Passwort reicht bei aktivierter MFA allein nicht mehr für einen erfolgreichen Zugriff aus.

Die drei klassischen Faktorkategorien

MFA kombiniert typischerweise Faktoren aus den Kategorien Wissen, etwa ein Passwort, Besitz, etwa ein Smartphone oder ein Hardware-Token, sowie Inhärenz, also biometrische Merkmale wie Fingerabdruck oder Gesichtserkennung. Erst die Kombination mehrerer unabhängiger Faktoren erhöht die Sicherheit spürbar.

Gängige MFA-Verfahren im Vergleich

Zu den verbreiteten Verfahren zählen zeitbasierte Einmalpasswörter über Authenticator-Apps, Push-Benachrichtigungen an ein registriertes Smartphone, SMS-basierte Codes sowie Hardware-Sicherheitsschlüssel nach dem FIDO2-Standard. Diese Verfahren unterscheiden sich deutlich in ihrem Schutzniveau, insbesondere gegenüber Phishing-Angriffen.

Warum nicht jede MFA-Methode gleich sicher ist

SMS-basierte Codes gelten als vergleichsweise anfällig, etwa gegenüber SIM-Swapping-Angriffen, während FIDO2-basierte Hardware-Schlüssel als besonders phishing-resistent gelten, da sie kryptografisch fest an die jeweilige Domain gebunden sind. Unternehmen sollten deshalb bei der Auswahl eines MFA-Verfahrens das tatsächliche Bedrohungsszenario berücksichtigen, statt sich auf die bloße Existenz von MFA zu verlassen.

Für Anbieter von MFA-Lösungen ist die klare Differenzierung zwischen unterschiedlichen Sicherheitsniveaus verschiedener MFA-Verfahren ein zentrales Verkaufsargument, insbesondere gegenüber Kunden, die bislang lediglich auf weniger sichere SMS-Codes setzen.

MFA-Sicherheitsniveaus klar differenzieren – mit summ-it

MFA-Anbieter mit phishing-resistenten Verfahren wie FIDO2 sollten den Sicherheitsunterschied gegenüber schwächeren Methoden wie SMS-Codes klar herausstellen.

summ-it hilft dabei, diese technischen Nuancen verständlich und überzeugend gegenüber sicherheitsbewussten Einkäufern zu kommunizieren.

Kostenloses Erstgespräch vereinbaren

FAQ: Multi-Faktor-Authentifizierung (MFA)

Reicht ein zweiter Faktor immer für ausreichende Sicherheit aus?

Grundsätzlich erhöht bereits ein zweiter Faktor die Sicherheit erheblich, das tatsächliche Schutzniveau hängt jedoch stark vom gewählten Verfahren ab. Phishing-resistente Verfahren wie FIDO2 bieten deutlich höheren Schutz als etwa SMS-Codes.

Was ist SIM-Swapping und warum betrifft es MFA?

Beim SIM-Swapping überträgt ein Angreifer die Telefonnummer eines Opfers auf eine eigene SIM-Karte, meist durch Social Engineering beim Mobilfunkanbieter, und kann dadurch SMS-basierte MFA-Codes abfangen.

Warum gelten Authenticator-Apps als sicherer als SMS-Codes?

Authenticator-Apps generieren Codes lokal auf dem Gerät, ohne auf das potenziell angreifbare Mobilfunknetz angewiesen zu sein, wodurch Angriffe wie SIM-Swapping wirkungslos werden.

Was passiert, wenn ein zweiter Faktor verloren geht?

Für diesen Fall müssen Unternehmen klar definierte Wiederherstellungsprozesse bereitstellen, etwa alternative Backup-Codes oder registrierte Ersatzgeräte, um Nutzer nicht dauerhaft auszusperren.

Ist MFA gesetzlich vorgeschrieben?

In bestimmten Branchen und im Rahmen einzelner Compliance-Vorgaben wird MFA explizit gefordert oder empfohlen, unabhängig von konkreten gesetzlichen Vorgaben gilt MFA jedoch inzwischen allgemein als anerkannte Sicherheits-Best-Practice.

Kann MFA auch bei internen Systemzugängen sinnvoll sein?

Ja, insbesondere für administrative und privilegierte Zugänge wird MFA dringend empfohlen, da diese Konten im Falle einer Kompromittierung besonders weitreichenden Schaden verursachen könnten.

Autor: Jochen Maier

Jochen Maier, Geschäftsführer

Jochen Maier ist Gründer & Geschäftsführer von summ-it und einer der wenigen Agentur-Inhaber, der selbst jahrelang auf Kundenseite erfolgreich war. Als ehemaliger CMO eines internationalen Softwareunternehmens weiß er aus eigener Erfahrung, wie frustrierend es sein kann, wenn Agenturen große Versprechen machen, aber nicht liefern. Mit seinem ausgeprägten Informatik-Hintergrund versteht er die fachlichen und technischen Herausforderungen seiner Kunden aus dem IT- und Software-Umfeld.

Sein Motto: „Wir können nicht alles, aber was wir machen, machen wir richtig gut.“ Diese Klarheit ist ihm wichtiger als jeder Marketing-Sprech – denn am Ende zählt nur, was wirklich funktioniert.