Warum Multi-Faktor-Authentifizierung heute Pflicht ist

Passwörter allein reichen nicht mehr. Das ist keine Meinung, sondern eine Tatsache, die sich aus tausenden von dokumentierten Sicherheitsvorfällen ableitet. Selbst komplexe Passwörter können durch Phishing, Datenlecks oder Brute-Force-Angriffe kompromittiert werden – ohne dass der betroffene Nutzer es sofort bemerkt.

Was ist Multi-Faktor-Authentifizierung?

Multi-Faktor-Authentifizierung (MFA) bedeutet, dass für die Anmeldung an einem Konto mindestens zwei unabhängige Faktoren benötigt werden. Der erste Faktor ist typischerweise das Passwort (etwas, das man weiß). Der zweite Faktor ist etwas, das man besitzt – zum Beispiel ein Smartphone mit einer Authenticator-App – oder etwas, das man ist, also ein biometrisches Merkmal wie ein Fingerabdruck.

Selbst wenn ein Angreifer das Passwort kennt, kommt er ohne den zweiten Faktor nicht ins System. Das macht MFA zu einer der effektivsten Schutzmaßnahmen überhaupt.

Wie häufig sind Angriffe auf Konten ohne MFA?

Laut Microsoft werden über 99 Prozent aller kompromittierten Konten durch MFA geschützt gewesen – hätten die Nutzer MFA aktiviert gehabt. Diese Zahl zeigt eindeutig: Der Aufwand, MFA einzurichten, ist verschwindend gering im Vergleich zum Schutz, den es bietet.

Besonders gefährdet sind:

• E-Mail-Konten (besonders Microsoft 365 und Google Workspace)
• VPN-Zugänge und Remote-Desktop-Verbindungen
• Cloud-Dienste und Unternehmensanwendungen
• Administrative Konten jeglicher Art

Welche MFA-Methoden gibt es?

Nicht alle MFA-Varianten sind gleich sicher. Hier eine Übersicht:

• Authenticator-Apps (z. B. Microsoft Authenticator, Google Authenticator): Empfehlenswert. Generieren zeitbasierte Einmalcodes (TOTP), die alle 30 Sekunden wechseln.
• Push-Benachrichtigungen: Komfortabel, aber anfällig für sogenannte MFA-Fatigue-Angriffe, bei denen Angreifer so lange Anfragen senden, bis der Nutzer aus Versehen bestätigt.
• Hardware-Token (z. B. YubiKey): Sehr sicher, besonders geeignet für privilegierte Konten und Administratoren.
• SMS-Codes: Besser als gar kein zweiter Faktor, aber anfällig für SIM-Swapping. Sollte wenn möglich durch stärkere Methoden ersetzt werden.

MFA in Microsoft 365 aktivieren

In Microsoft 365 lässt sich MFA für alle Nutzer über die Sicherheitseinstellungen im Admin Center erzwingen. Mit sogenannten Conditional-Access-Richtlinien (in Microsoft Entra ID, früher Azure AD) lässt sich noch feiner steuern, wann und wie MFA erforderlich ist – zum Beispiel nur bei Anmeldungen von außerhalb des Firmennetzwerks oder für bestimmte Anwendungen.

Wichtig: MFA-Richtlinien sollten erzwungen werden, nicht nur optional angeboten sein. Erfahrungsgemäß nutzen Mitarbeiter freiwillige Sicherheitsfunktionen seltener als gedacht.

Was bedeutet das für Ihren Unternehmensalltag?

Die Einführung von MFA verändert den Arbeitsalltag kaum. Bei der Ersteinrichtung wird die Authenticator-App einmal mit dem Konto verknüpft. Danach reicht bei der täglichen Arbeit oft ein einfacher Klick zur Bestätigung auf dem Smartphone.

Viele Nutzer berichten, dass sie den Mehraufwand nach wenigen Tagen kaum noch wahrnehmen. Der Unterschied im Schutz ist dagegen erheblich.

Unser Fazit

MFA gehört heute zur Basishygiene jedes Unternehmens – egal wie groß oder klein. Die Technologie ist ausgereift, einfach zu bedienen und in den meisten Diensten ohne Mehrkosten enthalten. Wer MFA noch nicht eingeführt hat, setzt sein Unternehmen einem unnötigen Risiko aus.

Bei SW-Systeme gehört die MFA-Einrichtung zum Standard jeder Microsoft-365-Betreuung. Sprechen Sie uns an, wenn Sie wissen möchten, ob Ihre aktuellen Konten ausreichend gesichert sind.