Passwörter werden gestohlen, erraten oder in Phishing-Formularen eingegeben. Mehrfaktor-Authentifizierung sorgt dafür, dass ein gestohlenes Passwort allein nicht genügt. Sie ist deshalb die wirksamste Einzelmassnahme gegen die Übernahme von Benutzerkonten.
Die Verfahren
Codes per SMS sind besser als nichts, aber anfällig für SIM-Swapping und Phishing. Einmalcodes aus einer Authenticator-App sind sicherer. Push-Bestätigungen sind bequem, lassen sich aber durch wiederholte Anfragen erzwingen, wenn Nutzer genervt zustimmen; Zahlenabgleich in der App mindert dieses Risiko. Am stärksten sind phishing-resistente Verfahren: FIDO2-Sicherheitsschlüssel und Passkeys, die kryptografisch an die echte Website gebunden sind und auf einer gefälschten Seite nicht funktionieren.
Wo MFA zuerst gehört
Bei allen Administratorkonten, bei E-Mail und Microsoft 365 oder Google Workspace, bei Fernzugängen wie VPN, bei Buchhaltung und E-Banking sowie bei allen Cloud-Konsolen. Administratoren sollten phishing-resistente Verfahren nutzen. Ältere Anmeldeprotokolle, die MFA umgehen, müssen abgeschaltet werden, sonst bleibt eine Hintertür offen.
Typische Lücken
Ausnahmen für einzelne Personen, die nie zurückgenommen werden. Dienstkonten mit Passwort ohne zweiten Faktor. Wiederherstellungsprozesse, bei denen ein Anruf beim Support genügt, um MFA zurückzusetzen. Und Drittanwendungen, denen Nutzer per OAuth Zugriff gegeben haben, die MFA gar nicht mehr abfragen. Die Grundkonfiguration prüft unsere Checkliste zur Microsoft-365-Sicherheit.