MFA(MFA)
Angleški izraz: Multi-Factor Authentication
Anmeldemethode, die zusätzlich zum Passwort einen weiteren Identitätsnachweis erfordert – meistens eine Bestätigung in einer App auf dem Smartphone.
Kaj pomeni MFA?
MFA (Multi-Faktor-Authentifizierung) ist ein Authentifizierungsverfahren, bei dem der Benutzer seine Identität durch zwei oder mehr unabhängige Nachweise belegt. Klassischerweise sind dies: etwas, das man weiß (Passwort), etwas, das man hat (Smartphone, Sicherheitsschlüssel) und etwas, das man ist (Fingerabdruck, Gesicht).
Im geschäftlichen Einsatz überwiegt die Kombination aus Passwort und Bestätigung in einer Authentifizierungs-App (zum Beispiel Microsoft Authenticator, Google Authenticator). SMS-Nachrichten sind aufgrund des Risikos einer Rufnummernübernahme (SIM-Swapping) eine weniger sichere Wahl, aber immer noch besser als nur ein Passwort.
MFA und 2FA werden oft als Synonyme verwendet. Streng genommen ist 2FA eine Unterkategorie von MFA, bei der genau zwei Faktoren verwendet werden.
Zakaj je to pomembno za podjetja?
Die überwiegende Mehrheit erfolgreicher Einbrüche in Geschäftssysteme erfolgt über gestohlene oder erratene Passwörter. MFA unterbricht diesen Angriffspfad in der Praxis – selbst wenn der Angreifer das Passwort kennt, kann er die Anmeldung ohne den zweiten Faktor nicht abschließen.
Microsoft und andere Anbieter berichten, dass MFA über 99 % solcher Angriffe verhindert. Dies ist ein Verhältnis zwischen Aufwand und gewonnener Sicherheit, wie man es in der IT-Umgebung selten findet.
Kje se to pojavi v praksi?
Typische Anwendung: Die Anmeldung bei Microsoft 365 (Outlook, Teams, SharePoint) erfordert neben dem Passwort eine Bestätigung in der Microsoft Authenticator App. Bei der Anmeldung von einem bekannten Gerät im Büro wird MFA nicht ausgelöst, bei einer Anmeldung aus dem Ausland oder von einem neuen Gerät hingegen schon. Dies wird durch Conditional Access Regeln festgelegt.
Ein weiteres häufiges Beispiel: Eine VPN-Verbindung ins Unternehmen erfordert ein Passwort und einen TOTP-Code aus der App. Selbst wenn jemand den Laptop und das Passwort stiehlt, gelangt er ohne das Telefon des Mitarbeiters nicht ins interne Netzwerk.
Najpogostejše težave ali napake
Der häufigste Fehler ist eine teilweise Einführung – MFA ist vorhanden, aber nicht für alle Benutzer, nicht für alle Dienste und nicht für Administratorkonten. Administratorkonten ohne MFA sind das primäre Ziel von Angriffen.
Ein weiteres häufiges Problem: MFA über SMS für Administratorkonten. Angreifer umgehen ein solches MFA durch Rufnummernübernahme (SIM-Swapping). Für wichtige Konten sind Apps oder Hardware-Sicherheitsschlüssel (FIDO2) besser geeignet.
Dritter Fehler: Fehlende Planung für den Fall eines Telefonverlusts. Ohne eine geregelte Ersatzmethode (zum Beispiel Backup-Codes) kann ein verlorenes Telefon dazu führen, dass ein Benutzer tagelang nicht auf das System zugreifen kann.
Kako pri tem pomaga VitalIT
Bei VitalIT helfen wir Unternehmen dabei, MFA so einzurichten, dass es sicher ist und gleichzeitig die tägliche Arbeit nicht stört. In bestehenden Umgebungen prüfen wir zunächst, wo MFA bereits läuft und welche Konten noch gefährdet sind.
In der Praxis integrieren wir MFA in Microsoft 365, legen sinnvolle Conditional Access Regeln fest (zum Beispiel "kein MFA nur im Büro"), bereiten Anleitungen für Benutzer vor und sorgen für den Prozess bei Telefonverlust. Wir passen die Lösungen an die tatsächliche Umgebung und die Vereinbarung mit dem Kunden an.
Povezane storitve
Pogosta vprašanja
- Verlangsamt MFA die Arbeit der Mitarbeiter erheblich?
- In einer gut eingerichteten Umgebung nein. Mit entsprechenden Regeln (Conditional Access) wird MFA nur in Situationen mit höherem Risiko ausgelöst – bei der Anmeldung von einem unbekannten Gerät oder aus einem fremden Land. Die tägliche Anmeldung im Büro bleibt einfach.
- Ist SMS-MFA ausreichend?
- Für einen normalen Benutzer ist SMS wesentlich besser als nichts. Für Administrator- und geschäftskritische Konten empfehlen wir SMS nicht – Angreifer umgehen diese Methode durch Rufnummernübernahme. Es ist besser, eine App oder einen physischen Sicherheitsschlüssel zu verwenden.
- Was passiert, wenn ein Mitarbeiter sein Telefon verliert?
- Mit einem geregelten Verfahren (Backup-Codes, zweites Gerät oder Administrator) kann der Administrator die MFA-Einstellungen des Kontos zurücksetzen und der Benutzer kann sie auf einem neuen Gerät einrichten. Ohne ein solches Verfahren kann der Verlust eines Telefons mehrere Tage ohne Zugriff auf Arbeitsdienste bedeuten.
- Ist MFA bei allen Diensten zwingend erforderlich?
- Bei Microsoft 365, VPN, Serverzugriff und allen Administratorkonten: ja. Bei internen Diensten, die nicht aus dem Internet erreichbar sind, ist es sinnvoll, das Risiko abzuwägen – oft ist MFA auch dort nützlich, wenn auch nicht zwingend erforderlich.