Was bedeutet Multi-Faktor-Authentifizierung in der Praxis?

Multi-Faktor-Authentifizierung (MFA) bedeutet in der Praxis, dass sich Benutzer mit mindestens zwei voneinander unabhängigen Nachweisen identifizieren müssen, bevor sie Zugang zu einem System oder einer Anwendung erhalten. Damit wird sichergestellt, dass ein gestohlenes Passwort allein nicht ausreicht, um ein Konto zu kompromittieren. Die folgenden Abschnitte beantworten die wichtigsten Fragen rund um MFA, von der technischen Funktionsweise bis zur Einführung in Unternehmen.

Wie funktioniert Multi-Faktor-Authentifizierung technisch?

Multi-Faktor-Authentifizierung funktioniert, indem der Anmeldeprozess in mindestens zwei unabhängige Verifikationsschritte aufgeteilt wird. Jeder Schritt greift auf eine andere Kategorie von Nachweis zurück, sodass das Kompromittieren eines einzelnen Faktors nicht ausreicht, um Zugang zu erhalten. Dieser mehrschichtige Ansatz bildet die technische Grundlage moderner IT-Sicherheit.

Die drei klassischen Faktorkategorien sind:

• Wissen: Etwas, das der Benutzer kennt, zum Beispiel ein Passwort oder eine PIN.
• Besitz: Etwas, das der Benutzer physisch besitzt, zum Beispiel ein Smartphone, ein Hardware-Token oder eine Smartcard.
• Inhärenz: Etwas, das dem Benutzer eigen ist, zum Beispiel ein Fingerabdruck, die Gesichtserkennung oder ein Iris-Scan.

In der Praxis läuft eine MFA-Anmeldung typischerweise so ab: Der Benutzer gibt zunächst seinen Benutzernamen und sein Passwort ein. Anschließend fordert das System einen zweiten Nachweis an, etwa einen zeitlich begrenzten Einmalcode (Time-based One-Time Password, TOTP), der von einer Authenticator-App generiert wird. Erst wenn beide Faktoren erfolgreich verifiziert wurden, gewährt das System Zugang. Die Kommunikation zwischen Client und Server erfolgt dabei über verschlüsselte Protokolle, um die Übertragung der Nachweise abzusichern.

Welche MFA-Methoden gibt es und welche ist die sicherste?

Es gibt mehrere verbreitete MFA-Methoden, die sich in Sicherheitsniveau und Benutzerfreundlichkeit unterscheiden. Als technisch sicherste Option gelten derzeit Hardware-Sicherheitsschlüssel auf Basis des FIDO2- oder WebAuthn-Standards, da sie Phishing-Angriffe strukturell ausschließen. Die tatsächliche Sicherheit hängt jedoch immer auch von der konkreten Implementierung und dem Angriffsszenario ab.

Verbreitete MFA-Methoden im Überblick

• SMS-basierte Einmalcodes (OTP): Ein Code wird per SMS an das Mobiltelefon gesendet. Diese Methode ist weit verbreitet, gilt jedoch als weniger sicher, da SMS-Nachrichten durch SIM-Swapping oder SS7-Angriffe abgefangen werden können.
• Authenticator-Apps (TOTP): Apps wie Microsoft Authenticator oder Google Authenticator generieren alle 30 Sekunden einen neuen Code. Diese Methode ist deutlich sicherer als SMS, da kein Mobilfunknetz involviert ist.
• Push-Benachrichtigungen: Der Benutzer bestätigt die Anmeldung per Tippen auf eine Benachrichtigung in einer App. Komfortabel, aber anfällig für sogenannte MFA-Fatigue-Angriffe, bei denen Angreifer so lange Anfragen senden, bis der Benutzer versehentlich bestätigt.
• Hardware-Token und FIDO2-Schlüssel: Physische Geräte, die kryptografische Schlüssel speichern und keine Codes übertragen. Da die Authentifizierung an eine spezifische Domain gebunden ist, sind Phishing-Angriffe wirkungslos.
• Biometrische Verfahren: Fingerabdruck oder Gesichtserkennung, häufig als zweiter Faktor auf Mobilgeräten eingesetzt.

Empfehlung nach Einsatzszenario

Für hochsensible Systeme, etwa privilegierte Administratorkonten oder kritische Infrastrukturen, empfiehlt sich der Einsatz von FIDO2-Hardware-Schlüsseln. Für den breiten Unternehmenseinsatz bieten Authenticator-Apps ein gutes Gleichgewicht zwischen Sicherheit und Benutzerfreundlichkeit. SMS-basierte Methoden sollten, wenn möglich, durch sicherere Alternativen ersetzt werden. Die tatsächliche Leistung und Sicherheit kann je nach Konfiguration und Bedrohungsumgebung variieren.

Was ist der Unterschied zwischen MFA und 2FA?

Zwei-Faktor-Authentifizierung (2FA) ist ein Spezialfall der Multi-Faktor-Authentifizierung: Bei 2FA werden genau zwei Faktoren verwendet, während MFA zwei oder mehr Faktoren umfassen kann. Jede 2FA ist also eine Form von MFA, aber nicht jede MFA-Lösung ist auf zwei Faktoren beschränkt.

In der Praxis werden die Begriffe häufig synonym verwendet, was zu Verwirrung führen kann. Der wesentliche Unterschied liegt in der Anzahl der Verifikationsschritte. Systeme mit besonders hohem Schutzbedarf, etwa in Rechenzentren oder bei der Verarbeitung sensibler Daten, können drei oder mehr Faktoren kombinieren, um das Sicherheitsniveau weiter zu erhöhen. Für die meisten Unternehmensanwendungen ist 2FA ein solider Ausgangspunkt, der den Passwortschutz erheblich verstärkt.

Wie wird MFA in Unternehmen eingeführt?

Die Einführung von Multi-Faktor-Authentifizierung in Unternehmen erfordert eine strukturierte Planung, die technische Integration, Benutzeraufklärung und eine schrittweise Ausrollung umfasst. Ein unkoordinierter Rollout führt häufig zu Akzeptanzproblemen und erhöhtem Supportaufwand.

Ein bewährter Einführungsprozess umfasst folgende Schritte:

1. Bestandsaufnahme: Identifikation aller Systeme, Anwendungen und Benutzergruppen, die durch MFA geschützt werden sollen.
2. Risikobasierte Priorisierung: Kritische Systeme wie Remote-Zugänge, E-Mail-Plattformen und privilegierte Konten werden zuerst abgesichert.
3. Auswahl der MFA-Methode: Entscheidung für eine oder mehrere Methoden, die zur vorhandenen IT-Infrastruktur und den Anforderungen der Benutzer passen.
4. Pilotphase: Ausrollung zunächst in einer kleinen Benutzergruppe, um technische Probleme und Nutzungshürden frühzeitig zu identifizieren.
5. Schulung und Kommunikation: Benutzer werden vorab informiert und erhalten klare Anleitungen. Akzeptanz ist ein entscheidender Erfolgsfaktor.
6. Breiter Rollout und Monitoring: Schrittweise Ausweitung auf alle Benutzer, begleitet von einem aktiven Monitoring der Anmeldeereignisse.

Wichtig ist außerdem, Ausnahme- und Notfallprozesse zu definieren, etwa für den Fall, dass ein Benutzer seinen zweiten Faktor verliert. Ohne solche Prozesse entsteht ein operatives Risiko. Die Integration von MFA in bestehende Identity- und Access-Management-Systeme (IAM) vereinfacht die zentrale Verwaltung erheblich.

Kann Multi-Faktor-Authentifizierung umgangen werden?

Ja, Multi-Faktor-Authentifizierung kann unter bestimmten Umständen umgangen werden, ist jedoch deutlich schwerer zu kompromittieren als eine reine Passwort-Authentifizierung. Kein Sicherheitsmechanismus bietet absoluten Schutz, und MFA ist kein Ersatz für eine umfassende IT-Sicherheitsstrategie.

Bekannte Angriffsvektoren gegen MFA sind:

• Phishing in Echtzeit (Adversary-in-the-Middle): Angreifer leiten Anmeldeversuche über eine gefälschte Webseite um und übermitteln sowohl Passwort als auch OTP-Code sofort an das echte System. FIDO2-Schlüssel sind gegen diese Methode resistent, da sie die Authentifizierung an die legitime Domain binden.
• MFA-Fatigue-Angriffe: Wiederholte Push-Benachrichtigungen sollen Benutzer dazu bringen, eine Anfrage versehentlich zu bestätigen. Technische Gegenmaßnahmen wie Number Matching oder zusätzliche Kontextprüfungen reduzieren dieses Risiko.
• SIM-Swapping: Bei SMS-basierter Authentifizierung können Angreifer die Telefonnummer eines Opfers auf eine eigene SIM-Karte übertragen lassen. Dies unterstreicht, warum SMS-OTP als schwächste MFA-Methode gilt.
• Social Engineering: Benutzer werden manipuliert, einen Code direkt an den Angreifer weiterzugeben.

Das Risiko dieser Angriffe lässt sich durch die Wahl robusterer MFA-Methoden, regelmäßige Sicherheitsschulungen und technische Kontrollmechanismen erheblich reduzieren.

Für welche Systeme und Anwendungen ist MFA besonders wichtig?

Multi-Faktor-Authentifizierung ist besonders wichtig für alle Systeme, bei denen ein unbefugter Zugang schwerwiegende Folgen haben kann, etwa Datenverlust, Betriebsunterbrechungen oder Compliance-Verstöße. Priorität haben Remote-Zugänge, privilegierte Konten und cloudbasierte Dienste.

Konkret sollten folgende Systeme und Anwendungen mit MFA abgesichert werden:

• VPN und Remote-Desktop-Zugänge: Der Fernzugang ist einer der häufigsten Einfallstore für Angreifer. MFA schützt hier auch dann, wenn Zugangsdaten kompromittiert wurden.
• Cloud-Dienste und SaaS-Plattformen: Dienste wie Microsoft 365, Google Workspace oder andere Unternehmensanwendungen sind ohne MFA besonders anfällig, da sie über das öffentliche Internet erreichbar sind.
• Privilegierte Administratorkonten: Konten mit weitreichenden Berechtigungen sind bevorzugte Angriffsziele. Hier empfiehlt sich die sicherste verfügbare MFA-Methode.
• E-Mail-Systeme: Kompromittierte E-Mail-Konten ermöglichen Angreifern oft, weitere Konten zu übernehmen oder sensible Informationen abzugreifen.
• Finanz- und ERP-Systeme: Anwendungen, die Finanzdaten oder Geschäftsprozesse steuern, erfordern besondere Absicherung.
• Gesundheits- und Behördensysteme: Hier gelten oft gesetzliche Anforderungen, die eine starke Authentifizierung vorschreiben.

Grundsätzlich gilt: Jede Anwendung, die über das Internet erreichbar ist oder sensible Daten verarbeitet, sollte durch MFA geschützt werden. Die tatsächliche Konfiguration und Priorisierung sollte sich an einer individuellen Risikoanalyse orientieren.

Wie die Concat AG bei der Einführung von MFA unterstützt

Die Einführung von Multi-Faktor-Authentifizierung ist technisch und organisatorisch anspruchsvoll. Wir bei der Concat AG begleiten Unternehmen dabei von der Analyse bis zum laufenden Betrieb. Unser Leistungsangebot im Bereich IT-Sicherheit und Authentifizierung umfasst:

• Analyse der bestehenden IT-Umgebung und Identifikation von Sicherheitslücken im Bereich Zugriffsschutz
• Beratung zur Auswahl geeigneter MFA-Methoden und -Lösungen, herstellerneutral und auf Ihre Anforderungen abgestimmt
• Integration von MFA in bestehende Identity- und Access-Management-Systeme sowie in Cloud- und On-Premises-Umgebungen
• Pilotierung und unternehmensweiter Rollout mit begleitender Benutzerkommunikation und Schulung
• Laufender Betrieb und Monitoring über unseren 24×7-Servicedesk nach ITIL- und ISO-9001-Standards
• Unterstützung bei der Erfüllung regulatorischer Anforderungen, etwa im Gesundheitswesen oder im öffentlichen Sektor

Unsere Rechenzentren in Deutschland sind nach ISO 9001 und ISO 27001 zertifiziert, und wir verstehen Datenschutz als integralen Bestandteil jeder Lösung. Wenn Sie Ihre Unternehmens-IT durch eine durchdachte MFA-Strategie absichern möchten, sprechen Sie uns an. Kontaktieren Sie uns für eine unverbindliche Erstberatung, und wir erarbeiten gemeinsam mit Ihnen ein Konzept, das zu Ihrer Infrastruktur und Ihren Sicherheitsanforderungen passt.