Zwei-Faktor-Authentifizierung: Implementierung ohne Widerstand der Belegschaft
MFA stoppt die große Mehrheit der Angriffe mit gestohlenen Passwörtern. So führen Sie sie schnell und ohne Beschwerden ein.
Zwei-Faktor-Authentifizierung ist die Einzelmaßnahme mit dem besten Kosten-Nutzen-Verhältnis. Dennoch bleibt sie vielerorts aus Angst vor Mitarbeiterreaktionen ungenutzt. Diese Sorge ist in der Praxis unbegründet — sofern die Einführung gut vorbereitet ist.
TL;DR — Die wichtigsten Punkte
- Eine App mit Push-Bestätigung ist wesentlich sicherer als ein SMS-Code.
- Passkeys und Windows Hello eliminieren die meisten manuellen Anmeldungen.
- Ausnahmen sind die größte Gefahr — Angreifer suchen gezielt nach ihnen.
- Der Prozess für verlorene Telefone muss im Voraus vorbereitet sein.
Welche Methoden existieren
Die gängigsten Methoden sind App-Bestätigungen (mit Nummernvergleich), Einmalcodes aus einer App, Hardware-Token (FIDO2) und Passkeys. SMS ist immer noch besser als nichts, aber anfällig für SIM-Swapping und Abfangen.
Für Administratoren-Konten empfehlen wir Hardware-Token oder Passkeys, für normale Benutzer eine App mit Bestätigung. Gleichzeitig schränken wir über Conditional Access ein, wie oft eine Anmeldung erforderlich ist — auf bekannten und konformen Geräten ist dies selten der Fall.
Warum MFA unverzichtbar ist
Ein Passwort ist heute primär ein Benutzername, den Angreifer bereits kennen.
- Geleakte Passwortdatenbanken ermöglichen Angriffe durch das Testen bekannter Kombinationen.
- Phishing-Seiten erfassen Passwörter in Echtzeit.
- Ohne MFA bedeutet ein gestohlenes Konto sofortigen Zugriff auf E-Mails und Dokumente.
- Versicherungen und Kunden fordern MFA zunehmend vertraglich ein.
Vorgehensweise — Der empfohlene Prozess
- Konten inventarisieren: Benutzer, Administratoren, Dienstkonten, Externe.
- Methoden nach Gruppen wählen und kurze Anleitungen vorbereiten.
- MFA zuerst für Administratoren und die Geschäftsführung einführen.
- Anschließend auf Abteilungen mit einer zweiwöchigen Übergangsfrist ausweiten.
- Ausnahmen beseitigen; wo sie unvermeidbar sind, den Zugriff auf bekannte Geräte beschränken.
- Hilfsprozess bei Telefonverlust mit sicherer Identitätsprüfung einführen.
Vergleich der Methoden
| Methode | Sicherheit | Komfort | Empfehlung |
|---|---|---|---|
| SMS-Code | Niedrig | Mittel | Nur als Notlösung |
| App-Code | Mittel | Mittel | Akzeptabel |
| Nummernvergleich (Push) | Hoch | Hoch | Empfohlen für alle |
| Passkey / FIDO2 Key | Sehr hoch | Sehr hoch | Administratoren, Führungsebene |
Häufigste Fehler
Der häufigste Fehler sind dauerhafte Ausnahmen für die Führungsebene oder für ein "problematisches" System. Angreifer zielen genau auf diese Konten ab, da sie wissen, dass diese oft ausgenommen sind.
Ein weiterer Fehler ist das Fehlen eines Prozesses bei Telefonverlust. Wenn die IT den MFA nach einem Anruf ohne Identitätsprüfung zurücksetzt, ist die gesamte Maßnahme durch Social Engineering umgehbar.
Wie VitalIT unterstützt
VitalIT führt MFA und Conditional Access ein und bereitet Anleitungen sowie Support für die Mitarbeiter vor. Informieren Sie sich über unsere Cybersicherheit.
Verwandte Themen: Passkeys und Passwortverwaltung im Unternehmen.
Häufig gestellte Fragen (FAQ)
- Benötigen wir zusätzliche Lizenzen?
- Für Basis-MFA in der Regel nicht; Conditional Access erfordert Entra ID P1, das in Business Premium enthalten ist.
- Was ist mit Mitarbeitern ohne Smartphone?
- Wir nutzen Hardware-Token oder Dienstgeräte; für jeden Fall gibt es eine Lösung.
- Müssen Mitarbeiter ihr privates Telefon nutzen?
- Nicht zwingend. Die Alternative ist ein Hardware-Token, was auch rechtlich die sauberere Lösung ist.
- Wie oft wird eine Anmeldung angefordert?
- Auf einem bekannten und konformen Gerät typischerweise alle paar Wochen, auf einem neuen Gerät bei jeder Anmeldung.
- Stoppt MFA alle Angriffe?
- Nicht alle, aber sie eliminiert die große Mehrheit der Angriffe durch gestohlene Passwörter. Für den Rest sind Conditional Access und Überwachung erforderlich.