MFA: Multi-Faktor-Authentifizierung einfach erklärt

MFA steht für Multi-Faktor-Authentifizierung. Dabei müssen Benutzer ihre Identität mit mindestens zwei unterschiedlichen Arten von Nachweisen bestätigen, bevor sie auf ein Konto, eine Anwendung oder ein IT-System zugreifen können.

MFA erhöht die Sicherheit deutlich, weil ein gestohlenes Passwort allein meist nicht mehr für eine erfolgreiche Anmeldung ausreicht. Sie schützt unter anderem E-Mail-Konten, Cloud-Dienste, VPN-Zugänge und administrative Benutzerkonten.

Wie funktioniert MFA?

Bei einer klassischen Anmeldung genügt ein Benutzername zusammen mit einem Passwort. Wird dieses Passwort durch Phishing, Malware oder ein Datenleck gestohlen, kann ein Angreifer das Konto möglicherweise übernehmen.

Bei aktivierter MFA wird ein zusätzlicher Nachweis verlangt. Das kann beispielsweise eine Bestätigung in einer Authenticator-App oder ein physischer Sicherheitsschlüssel sein.

Eine Anmeldung kann dann folgendermaßen ablaufen:

1. Der Benutzer gibt seinen Benutzernamen und sein Passwort ein.
2. Das System fordert einen zweiten Faktor an.
3. Der Benutzer bestätigt die Anmeldung über ein registriertes Gerät oder einen Sicherheitsschlüssel.
4. Das System prüft beide Faktoren und erlaubt oder verweigert den Zugriff.

Welche Authentifizierungsfaktoren gibt es?

Authentifizierungsverfahren werden üblicherweise in drei Kategorien eingeteilt.

Wissensfaktor: Etwas, das man weiß

Dazu gehören:

• Passwort
• PIN
• Sicherheitsantwort

Zwei Wissensmerkmale ergeben jedoch noch keine echte MFA. Eine Kombination aus Passwort und zusätzlicher PIN verwendet weiterhin nur denselben Faktor.

Besitzfaktor: Etwas, das man besitzt

Beispiele sind:

• Smartphone mit Authenticator-App
• Hardware-Token
• Smartcard
• Sicherheitsschlüssel
• registriertes Gerät

Ein Angreifer benötigt damit zusätzlich zum Passwort Zugriff auf den jeweiligen Besitzfaktor.

Biometrischer Faktor: Etwas, das man ist

Dazu gehören beispielsweise:

• Fingerabdruck
• Gesichtserkennung
• Iris-Erkennung

Biometrische Daten werden häufig verwendet, um ein lokales Gerät oder einen darauf gespeicherten kryptografischen Schlüssel freizugeben. Der Fingerabdruck selbst wird dabei normalerweise nicht an den Onlinedienst übertragen.

Was ist der Unterschied zwischen MFA und 2FA?

2FA steht für Zwei-Faktor-Authentifizierung. Dabei werden genau zwei unterschiedliche Faktoren verwendet.

MFA ist der weiter gefasste Begriff und kann zwei oder mehr Faktoren umfassen.

In der Praxis werden beide Bezeichnungen häufig gleichbedeutend genutzt, wenn eine Anmeldung mit Passwort und einem zusätzlichen Faktor abgesichert wird.

Welche MFA-Verfahren gibt es?

Authenticator-App

Eine Authenticator-App erzeugt zeitlich begrenzte Einmalcodes oder ermöglicht die Bestätigung einer Anmeldeanfrage.

Push-Bestätigungen sind komfortabel, können aber durch sogenannte MFA-Fatigue-Angriffe missbraucht werden. Dabei senden Angreifer wiederholt Anfragen, bis ein Benutzer versehentlich zustimmt.

Nummernabgleich und zusätzliche Kontextinformationen können dieses Risiko reduzieren.

SMS-Code

Ein Einmalcode wird per SMS an eine registrierte Mobilfunknummer gesendet.

SMS-MFA ist meist sicherer als eine Anmeldung nur mit Passwort, gilt aber als schwächer als moderne kryptografische Verfahren. Risiken entstehen beispielsweise durch SIM-Swapping, manipulierte Mobilfunkkonten oder Phishing.

Hardware-Token und Sicherheitsschlüssel

Physische Sicherheitsschlüssel verwenden kryptografische Verfahren und müssen bei der Anmeldung vorhanden sein.

Moderne FIDO2-Sicherheitsschlüssel bieten einen besonders starken Schutz gegen Phishing, da der Schlüssel die jeweilige Webseite beziehungsweise Anwendung technisch prüft.

Passkeys

Passkeys ermöglichen eine passwortlose oder MFA-ähnlich abgesicherte Anmeldung mit kryptografischen Schlüsseln.

Der private Schlüssel verbleibt auf dem Gerät oder in einem geschützten Schlüsselbund. Die Freigabe erfolgt beispielsweise über Fingerabdruck, Gesichtserkennung oder Geräte-PIN.

Passkeys sind deutlich widerstandsfähiger gegen klassische Phishing-Angriffe als Passwörter und Einmalcodes.

Zertifikate und Smartcards

Unternehmen können digitale Zertifikate oder Smartcards einsetzen, um Benutzer und Geräte zu authentifizieren.

Solche Verfahren kommen häufig bei besonders geschützten Arbeitsplätzen, administrativen Zugängen und Unternehmens-VPNs zum Einsatz.

Schützt MFA vollständig vor Kontenübernahmen?

Nein. MFA reduziert das Risiko erheblich, verhindert aber nicht jeden Angriff.

Mögliche Angriffsmethoden sind:

• Phishing von Passwort und Einmalcode
• manipulierte MFA-Bestätigungen
• Diebstahl von Sitzungstoken
• kompromittierte Endgeräte
• Social Engineering gegenüber Supportmitarbeitern
• unsichere Verfahren zur Kontowiederherstellung
• falsch konfigurierte Ausnahmen
• gestohlene oder gemeinsam verwendete Geräte

MFA sollte deshalb mit weiteren Maßnahmen wie sicheren Endgeräten, Conditional Access, Überwachung und minimalen Berechtigungen kombiniert werden.

Wo sollte MFA eingesetzt werden?

Besonders wichtig ist MFA für:

• E-Mail- und Microsoft-365-Konten
• Cloud-Plattformen
• administrative Konten
• VPN- und Remote-Zugänge
• Passwortmanager
• Banking- und Finanzanwendungen
• Personal- und Kundensysteme
• Entwicklungs- und Verwaltungsplattformen

Privilegierte Konten sollten möglichst mit phishing-resistenten Verfahren wie FIDO2-Sicherheitsschlüsseln oder Passkeys geschützt werden.

Was sollten Unternehmen bei der Einführung beachten?

Eine erfolgreiche MFA-Einführung erfordert mehr als die technische Aktivierung.

Wichtige Punkte sind:

• geeignete Verfahren nach Schutzbedarf auswählen
• unsichere Altprotokolle deaktivieren
• administrative Konten besonders absichern
• Ersatz- und Wiederherstellungsverfahren festlegen
• Notfallkonten getrennt schützen und überwachen
• MFA-Ausnahmen regelmäßig überprüfen
• Benutzer über betrügerische Anmeldeanfragen informieren
• Anmeldeprotokolle zentral auswerten
• phishing-resistente Methoden bevorzugen

Auch der Verlust oder Wechsel eines Smartphones muss durch einen kontrollierten Wiederherstellungsprozess abgedeckt sein.

Fazit

Multi-Faktor-Authentifizierung schützt Benutzerkonten durch mindestens zwei unterschiedliche Authentifizierungsfaktoren. Ein gestohlenes Passwort allein reicht dadurch normalerweise nicht mehr aus, um sich erfolgreich anzumelden.

Besonders wirksam sind moderne, phishing-resistente Verfahren wie Passkeys und FIDO2-Sicherheitsschlüssel. MFA ist jedoch kein vollständiger Schutz und sollte immer Teil eines mehrschichtigen Sicherheitskonzepts sein.