MFA (Multi-Faktor-Authentifizierung): Wirksamer Schutz von Zugängen

Multi-Faktor-Authentifizierung verlangt beim Anmelden mindestens zwei unabhängige Nachweise. Damit reicht ein erbeutetes Passwort allein nicht mehr aus, um sich anzumelden. Gemessen an Aufwand und Wirkung gehört MFA zu den lohnendsten Sicherheitsmaßnahmen überhaupt, ist aber kein vollständiger Schutz.

Faktoren und Verfahren

Faktoren werden nach Kategorien unterschieden: Wissen (Passwort, PIN), Besitz (Smartphone, Hardwareschlüssel, Chipkarte) und Inhärenz (Fingerabdruck, Gesichtsmerkmale). Von Mehr-Faktor-Authentifizierung spricht man nur, wenn Nachweise aus verschiedenen Kategorien kombiniert werden. Zwei Passwörter sind keine MFA.

Die verbreiteten Verfahren unterscheiden sich deutlich in ihrer Widerstandsfähigkeit:

• SMS und Sprachanruf: einfach einzuführen, aber angreifbar über SIM-Tausch und Weiterleitungen; als Mindestmaßnahme besser als nichts.
• Zeitbasierte Einmalkennwörter aus einer Authenticator-App: deutlich besser als SMS, weiterhin durch Weitergabe des Codes an eine gefälschte Anmeldeseite angreifbar.
• Push-Bestätigung in einer App: bequem, anfällig für Ermüdungsangriffe durch wiederholte Anfragen; mit Nummernabgleich deutlich robuster.
• FIDO2 beziehungsweise WebAuthn mit Hardwareschlüssel oder Passkey: kryptografisch an die Domäne der Anmeldeseite gebunden und damit gegen Phishing weitgehend resistent.
• Zertifikatsbasierte Anmeldung mit Chipkarte: in Umgebungen mit vorhandener Zertifikatsinfrastruktur eine tragfähige Option.

Wo es die Anwendungen zulassen, sind FIDO2-basierte Verfahren die technisch beste Wahl. Für die verbleibenden Systeme sind Authenticator-Apps der übliche Kompromiss.

Warum die Einführung im Mittelstand vorrangig ist

Der überwiegende Teil erfolgreicher Angriffe auf Cloud-Konten beginnt mit gültigen Zugangsdaten aus Phishing, Datenlecks oder wiederverwendeten Passwörtern. Solange ein Passwort allein genügt, ist ein Zugang aus dem Internet praktisch ungeschützt, sobald es abfließt. Besonders kritisch sind Postfächer: Ein übernommenes Konto wird typischerweise zur Weiterverbreitung im Kundenkreis und zur Manipulation von Rechnungsdaten genutzt.

Priorität haben deshalb alle aus dem Internet erreichbaren Zugänge:

• Microsoft-365-, Google- oder vergleichbare Konten samt Postfachzugriff
• VPN- und Fernzugriffsportale einschließlich Terminalserver-Anmeldungen
• Fernwartungswerkzeuge, auch wenn sie nur gelegentlich genutzt werden
• Verwaltungsoberflächen von Cloud-Diensten, Domainverwaltung und Webhosting
• Zugänge zu Buchhaltungs- und Banking-Anwendungen
• Sämtliche administrativen Konten, auch die von Dienstleistern mit Zugriff auf Ihre Systeme

Grenzen und Umgehungswege

MFA ist wirksam, aber nicht unüberwindbar. Verbreitet sind Phishing-Seiten, die als Vermittler zwischen Benutzer und echtem Dienst arbeiten und dabei nicht nur Passwort und Einmalcode, sondern die ausgestellte Sitzung übernehmen. Gegen diese Angriffsform helfen zeitbasierte Codes nicht, wohl aber an die Domäne gebundene Verfahren wie FIDO2. Weitere Umgehungswege sind Ermüdungsangriffe durch massenhafte Push-Anfragen, Angriffe auf den Wiederherstellungsprozess bei verlorenem Gerät sowie Altprotokolle, die keine MFA unterstützen und deshalb weiterhin einfache Anmeldungen zulassen.

Ergänzend sinnvoll sind daher die Deaktivierung veralteter Authentifizierungsprotokolle, begrenzte Sitzungsdauern für risikoreiche Zugriffe, Bedingungen für Anmeldungen aus ungewöhnlichen Kontexten und die Protokollierung von Anmeldeereignissen.

Einführung und typische Fehler

Führen Sie MFA stufenweise ein, beginnend mit administrativen Konten und externen Zugängen. Legen Sie vorab fest, wie Beschäftigte ohne Diensthandy einen zweiten Faktor erhalten, etwa über Hardwareschlüssel. Klären Sie den Ablauf bei Geräteverlust: Der Wiederherstellungsweg muss zuverlässig funktionieren, darf aber nicht zur Hintertür werden, über die ein Anrufer mit wenigen bekannten Angaben eine Zurücksetzung erreicht.

Typische Fehler sind die freiwillige Aktivierung ohne Verbindlichkeit, wodurch ein Teil der Konten ungeschützt bleibt; vergessene Dienst- und Servicekonten mit weitreichenden Rechten; Ausnahmen für einzelne Führungskräfte, die genau die attraktivsten Ziele darstellen; sowie das Fortbestehen alter Protokolle, die MFA schlicht umgehen. Ebenso problematisch ist es, MFA als abgeschlossene Maßnahme zu betrachten und die eingesetzten Verfahren nie zu überprüfen. Wenn Sie die Einführung planen, lohnt eine vorherige Bestandsaufnahme aller Zugänge, damit keine Systeme übersehen werden.

• MFA verlangt Nachweise aus unterschiedlichen Kategorien; zwei Passwörter genügen nicht.
• FIDO2 und Passkeys sind gegen Phishing-Proxys weitgehend resistent, Einmalcodes nicht.
• Administrative Konten und aus dem Internet erreichbare Zugänge haben Vorrang.
• Altprotokolle und Wiederherstellungswege sind die häufigsten Umgehungslücken.
• Der Ablauf bei Geräteverlust muss vor der Einführung geregelt sein.