Zwei-Faktor-Anmeldung (MFA) einfach erklärt

Ein Passwort ist wie ein Schlüssel, den jemand nachmachen kann, ohne dass Sie es merken. Die Zwei-Faktor-Anmeldung verlangt deshalb einen zweiten Nachweis. Das Bundesamt für Cybersicherheit (BACS) empfiehlt sie überall, wo es möglich ist, etwa für Mail, E-Banking und Cloud-Dienste wie Microsoft 365.

Was MFA ist

MFA steht für Multi-Faktor-Authentifizierung. Bei der Anmeldung braucht es mindestens zwei Nachweise, und laut dem deutschen Bundesamt für Sicherheit in der Informationstechnik (BSI) müssen sie aus verschiedenen Kategorien stammen: etwas, das Sie wissen, etwa ein Passwort oder eine PIN, etwas, das Sie besitzen, etwa Ihr Handy oder einen Sicherheitsschlüssel, oder etwas, das Sie sind, etwa Ihr Fingerabdruck. Zwei Passwörter hintereinander sind deshalb keine MFA.

Warum ein Passwort allein nicht reicht

Passwörter gehen auf vielen Wegen verloren: über eine gefälschte Anmeldeseite in einer Phishing-Mail, über ein Datenleck bei einem anderen Dienst mit demselben Passwort oder weil es schlicht erraten wird. Wer das Passwort kennt, kann sich ohne zweiten Faktor von überall her anmelden.

Mit MFA reicht das gestohlene Passwort allein nicht mehr. Nach Angaben von Microsoft wehren MFA und das Abschalten alter Anmeldeverfahren zusammen mehr als 99 Prozent der gängigen Angriffe auf Benutzerkonten ab. Alte Anmeldeverfahren, wie sie etwa ältere Mailprogramme nutzen, unterstützen keinen zweiten Faktor, und Angreifer können MFA darüber umgehen.

Welche Methoden es gibt

Authenticator-App. Auf dem Handy läuft eine App, zum Beispiel Microsoft Authenticator. Bei der Anmeldung erscheint eine Anfrage in der App, die Sie mit einer Zahl vom Anmeldebildschirm bestätigen. Alternativ zeigt die App einen Code an, der sich laufend ändert. Bei neuen Microsoft-365-Umgebungen schaltet Microsoft eine Grundeinstellung ein, die sogenannten Sicherheitsstandards. Dort ist die Authenticator-App die vorgesehene Methode, daneben sind Code-Apps anderer Hersteller erlaubt.

Passkeys. Ein Passkey ersetzt das Passwort durch einen digitalen Schlüssel, der auf Ihrem Gerät gespeichert ist und mit Fingerabdruck, Gesichtserkennung oder PIN entsperrt wird. Er funktioniert nur bei dem Dienst, für den er erstellt wurde. Eine gefälschte Anmeldeseite kann deshalb nichts damit anfangen. Microsoft und das BSI zählen Passkeys zu den Verfahren, die gegen Phishing resistent sind, und das BSI empfiehlt ihre Nutzung. Für Microsoft 365 lässt sich ein Passkey auch in der Authenticator-App speichern. In dieselbe Gruppe gehören Sicherheitsschlüssel, die wie ein kleiner USB-Stick aussehen, und Windows Hello for Business, also die Anmeldung an Windows mit Gesicht, Fingerabdruck oder PIN.

SMS und Anruf. Ein Code per SMS ist besser als gar kein zweiter Faktor, aber SMS und Anruf sind die schwächsten Varianten. Laut BSI schützt ein SMS-Code nicht vor Phishing in Echtzeit, bei dem eine gefälschte Seite den Code sofort an den Angreifer weiterreicht. Dazu kommt das sogenannte SIM-Swapping, vor dem das BACS warnt: Betrüger lassen in Ihrem Namen eine neue SIM-Karte ausstellen und erhalten so Ihre Codes. Microsoft empfiehlt, für MFA keine SMS und keine Anrufe mehr zu verwenden.

Auch Codes aus einer App und Bestätigungen per Push lassen sich mit einer gut gemachten Phishing-Seite abfangen, wie Microsoft festhält. Gegenüber dem Passwort allein sind sie trotzdem ein grosser Gewinn.

MFA-Müdigkeit und Push-Bombing

Angreifer, die ein Passwort bereits kennen, versuchen manchmal, den zweiten Faktor zu zermürben. Sie starten eine Anmeldung nach der anderen, und das Handy meldet eine Anfrage nach der anderen. Irgendwann, so die Hoffnung, tippt jemand genervt oder aus Versehen auf Bestätigen. Man spricht von MFA-Müdigkeit oder Push-Bombing.

Dagegen hilft der Nummernabgleich: Eine Anfrage in der Authenticator-App lässt sich nur mit der Zahl bestätigen, die auf dem Anmeldebildschirm steht. Diese Zahl sieht nur, wer die Anmeldung selbst gestartet hat. Microsoft hat den Nummernabgleich für alle Push-Anfragen der Authenticator-App eingeschaltet, und Benutzer können ihn nicht abschalten.

Die wichtigste Regel für Ihr Team bleibt trotzdem einfach: Eine Anfrage, die Sie nicht selbst ausgelöst haben, wird nie bestätigt, sondern sofort der IT gemeldet. Meist bedeutet sie nämlich, dass jemand Ihr Passwort kennt, und dieses Passwort muss dann geändert werden.

Checkliste für Ihre Firma

• Ist MFA für alle Konten eingeschaltet und nicht nur für die Geschäftsleitung?
• Sind Administratorkonten besonders geschützt, idealerweise mit Passkey oder Sicherheitsschlüssel?
• Sind alte Anmeldeverfahren ohne zweiten Faktor abgeschaltet?
• Nutzt Ihr Team die Authenticator-App oder Passkeys statt SMS?
• Sind auch Fernzugriff, VPN und andere wichtige Dienste mit MFA geschützt?
• Weiss jede Person, dass sie unerwartete Anfragen nie bestätigt und sofort meldet?
• Gibt es einen geregelten Ablauf, wenn jemand sein Handy verliert oder wechselt?

Wo Ihre Firma bei MFA und weiteren Grundlagen steht, können Sie mit unserem Online-Selbsttest, dem IT-Check, selbst einschätzen.

Bei OSAL One Workplace richten wir die Anmeldung über einen zweiten Faktor schon beim Onboarding ein, zusammen mit Conditional Access. Das sind Regeln in Microsoft 365, die festlegen, unter welchen Bedingungen eine Anmeldung erlaubt ist, etwa nur mit zweitem Faktor oder nur von verwalteten Geräten. Danach halten wir diese Einstellungen laufend aktuell. Damit Ihr Team gefälschte Anmeldeseiten erkennt, erhält es zudem jeden Monat eine Phishing-Simulation mit Kurztraining.