MFA im Unternehmen: Warum und wie man es reibungslos einführt

MFA im Unternehmen (Multi-Faktor-Authentisierung) ist ein moderner Sicherheitsstandard, der von Benutzern verlangt, ihre Identität mit zwei oder mehr verschiedenen Faktoren zu bestätigen, bevor sie Zugriff auf ein Geschäftskonto oder Netzwerk erhalten. Meist handelt es sich um eine Kombination aus etwas, das der Benutzer weiß (Passwort), und etwas, das er besitzt (Mobilgerät oder Sicherheitsschlüssel). In einer Welt, in der Passwörter aufgrund von Phishing-Angriffen und Massen-Hacks zum schwächsten Glied geworden sind, stellt MFA eine kritische Schutzschicht dar, die laut Microsoft mehr als 99,9 % der Angriffe auf Benutzerkonten stoppt.

Wichtige Highlights für Unternehmen

• MFA im Unternehmen verhindert unbefugten Zugriff selbst im Falle eines Diebstahls oder der Offenlegung des Passworts eines Mitarbeiters.
• Die Einführung der Zwei-Faktor-Authentisierung ist obligatorisch, um die Anforderungen der NIS2-Richtlinie und der Datenschutz-Grundverordnung (DSGVO) zu erfüllen.
• Die beliebteste Lösung für KMU ist der Microsoft Authenticator aufgrund der Integration in die Microsoft 365-Umgebung.
• Die Einführung erfordert nicht zwangsläufig teure Hardware-Investitionen, da die meisten Mitarbeiter eigene oder geschäftliche Smartphones nutzen.
• Die Cybersicherheit wird mit MFA drastisch verbessert, bei minimalen Auswirkungen auf die tägliche Produktivität der Benutzer.

Warum ist MFA im Unternehmen heute eine Notwendigkeit und keine Option?

Die Statistiken sind unerbittlich: Unternehmen sind täglich das Ziel automatisierter Angriffe. Angreifer wählen nicht mehr nur große Konzerne aus; kleine und mittlere Unternehmen (KMU) sind aufgrund schwächeren Schutzes oft leichtere Beute. Das Hauptproblem ist, dass Passwörter leicht zu erraten, zu stehlen oder durch Social Engineering zu erlangen sind. Sobald ein Angreifer das Passwort eines Administrators oder Buchhalters erlangt hat, hat er freien Zugriff auf das gesamte Geschäftsnetzwerk.

Mit der Einführung der Zwei-Faktor-Authentisierung (2FA) verschwindet diese Gefahr fast vollständig. Selbst wenn ein Hacker Ihr Passwort kennt, hat er keinen Zugriff auf Ihr Telefon oder Ihren physischen Token, was die Anmeldung verhindert. Bei VitalIT stellen wir fest, dass Unternehmen ohne geregelte MFA häufiger Hilfe suchen, wenn es bereits zu spät ist – wenn der Ransomware-Schutz versagt hat und die Daten bereits verschlüsselt sind.

Lesen Sie mehr über den Schutz vor Erpressungsviren7 praktische Schritte, die neben MFA Ihr Unternehmen vor den schlimmsten Angriffen schützen.

Arten von MFA-Faktoren: Welcher ist der beste für Ihr Unternehmen?

Nicht alle MFA-Methoden sind gleich sicher. Bei der Auswahl einer geeigneten Methode für Ihre IT-Infrastruktur müssen wir zwischen Sicherheit und Benutzerfreundlichkeit abwägen. Unternehmen nutzen am häufigsten die folgenden Ansätze:

Für die meisten unserer Kunden in der Microsoft 365 Umgebung empfehlen wir die Nutzung der App Microsoft Authenticator. Diese ermöglicht das sogenannte 'Number Matching', bei dem der Benutzer auf dem Telefon eine Nummer eingeben muss, die er auf dem Computerbildschirm sieht. Dies verhindert 'MFA Fatigue'-Angriffe, bei denen Angreifer den Benutzer mit Benachrichtigungen überfluten, in der Hoffnung, dass jemand die Anmeldung versehentlich bestätigt.

Wie führt man MFA ein, ohne Widerstand bei den Mitarbeitern zu erzeugen?

Das größte Hindernis bei der Einführung von MFA im Unternehmen ist nicht technischer Natur, sondern der Widerstand der Mitarbeiter gegen Veränderungen. Menschen mögen keine zusätzlichen Schritte bei der Anmeldung. Daher ist es entscheidend, dass die Einführung schrittweise und mit der richtigen Kommunikation erfolgt.

1. Schulung: Erklären Sie den Mitarbeitern, warum wir das tun. Das Ziel ist nicht Kontrolle, sondern die Sicherheit ihrer Daten und der Unternehmensdaten.
2. Pilotgruppe: Beziehen Sie zuerst die IT-Abteilung und das Management ein. So entdecken Sie mögliche Probleme bei spezifischen Anwendungen.
3. Kulanzzeitraum (Grace Period): Legen Sie einen Zeitraum fest (z. B. 14 Tage), in dem sich die Mitarbeiter registrieren müssen, bevor MFA obligatorisch wird.
4. Nutzung vertrauenswürdiger Standorte: Konfigurieren Sie den bedingten Zugriff (Conditional Access) in Azure AD / Entra ID so, dass MFA nicht jedes Mal erforderlich ist, wenn sich ein Mitarbeiter im Büro im sicheren Netzwerk befindet.
5. Technischer Support: Stellen Sie sicher, dass Ihr IT-Support für Hilfe bei den Einstellungen auf den Mobiltelefonen zur Verfügung steht.

Technische Aspekte: Von Microsoft 365 bis zu VPN-Verbindungen

MFA im Unternehmen darf nicht auf E-Mails beschränkt sein. Für vollständige Sicherheit muss es überall integriert werden, wo ein externer Zugriff möglich ist. Wenn Ihre Mitarbeiter von zu Hause aus arbeiten, muss das VPN zwingend mit einem zusätzlichen Faktor geschützt sein. Viele Unternehmen nutzen bereits fortschrittliche Firewalls wie pfSense / Netgate, die die Integration von MFA für Fernzugriffe ermöglichen.

Vergessen Sie auch nicht den Zugriff auf die Serverinfrastruktur. Wenn Sie noch ein lokales Active Directory verwenden, ziehen Sie eine hybride Verbindung mit Entra ID in Betracht, die moderne Sicherheitsfunktionen auch in Ihre lokale Umgebung bringt. Dabei ist es wichtig, dass der gesamte Übergang dokumentiert wird, da eine ordentliche IT-Dokumentation die Wartungskosten in der Zukunft senkt.

Fortgeschrittenes Konzept: Von MFA zu Sicherheitsschlüsseln (Passkeys)

Obwohl MFA im Unternehmen derzeit der Goldstandard ist, bewegt sich die Branche bereits in Richtung einer 'passwortlosen' Zukunft. Die Passkeys-Technologie macht Passwörter komplett überflüssig, da sie Biometrie oder Hardware zur Authentifizierung nutzt. Mehr dazu lesen Sie in unserem Artikel über Passkeys im Unternehmen.

MFA und Gesetzgebung (DSGVO sowie NIS2)

Es stellt sich oft die Frage, ob MFA gesetzlich vorgeschrieben ist. Obwohl die DSGVO den Begriff 'Zwei-Faktor-Authentisierung' nicht explizit erwähnt, verlangt sie die Umsetzung angemessener technischer und organisatorischer Maßnahmen zur Gewährleistung der Datensicherheit. Im Falle eines Einbruchs und Diebstahls personenbezogener Daten wird geprüft, ob das Unternehmen alles in seiner Macht Stehende getan hat, um dies zu verhindern. Das Fehlen von MFA wird heutzutage als Fahrlässigkeit eingestuft.

Noch strenger ist die neue NIS2-Richtlinie, die ein breiteres Spektrum an Unternehmen in Schlüsselsektoren betrifft. Diese Richtlinie fordert direkt die Nutzung von Multi-Faktor-Authentisierung als Teil der grundlegenden Cyber-Hygiene. Wenn Ihr Unternehmen mit größeren Partnern in der EU zusammenarbeitet, werden diese bald Nachweise über Sicherheitsstandards von Ihnen verlangen, einschließlich MFA.

Häufig gestellte Fragen zu MFA in Unternehmen (FAQ)

Können Mitarbeiter die Nutzung des privaten Telefons für MFA ablehnen?

Rechtlich gesehen kann ein Unternehmen einen Mitarbeiter nicht zwingen, ein privates Gerät zu nutzen. In solchen Fällen muss das Unternehmen ein Diensthandy oder kostengünstigere Hardware-Token (z. B. YubiKey) zur Verfügung stellen.

Was passiert, wenn ein Mitarbeiter das Telefon mit eingerichtetem MFA verliert?

Der IT-Administrator kann MFA für diesen Benutzer vorübergehend deaktivieren oder einen Einmal-Zugangscode erstellen und dann so schnell wie möglich die Authentifizierung auf einem neuen Gerät einrichten.

Ist Microsoft Authenticator kostenlos?

Ja, die App ist kostenlos, aber die Nutzung einiger erweiterter Funktionen (wie Conditional Access) erfordert eine entsprechende Microsoft 365-Lizenz (z. B. Business Premium).

Muss ich MFA bei jedem Öffnen von Outlook bestätigen?

Nein. Normalerweise wird ein vertrauenswürdiges Gerät eingerichtet, bei dem die Anmeldung nur alle paar Wochen oder im Falle eines Zugriffs von einem nicht vertrauenswürdigen Standort aus aktualisiert wird.

Verlangsamt MFA die Arbeitsprozesse?

Die Einführung von MFA verlängert den ersten Anmeldevorgang um etwa 5 Sekunden, was im Vergleich zur gewonnenen Sicherheit vernachlässigbar ist.

Ist ein SMS-Code sicher genug für ein Unternehmen?

SMS ist besser als nichts, aber nicht empfohlen, da Angreifer Nachrichten abfangen oder Betrug durch Rufnummernmitnahme begehen können.

Fazit: MFA ist die beste Investition in die Sicherheit

Die Einführung von MFA im Unternehmen ist wahrscheinlich der günstigste und effektivste Schritt, den Sie zur Verbesserung Ihrer Cyber-Resilienz unternehmen können. Während einige Sicherheitslösungen komplex und teuer sind, ist die Zwei-Faktor-Authentisierung zu einem Standard geworden, der von der meisten modernen Software unterstützt wird. Warten Sie nicht auf den nächsten Phishing-Versuch – schützen Sie Ihr Team noch heute.