Multi-Faktor-Authentifizierung (MFA): Definition, Verfahren und Betrieb im Unternehmen

Multi-Faktor-Authentifizierung (MFA) ist ein Anmeldeverfahren, bei dem eine Person ihre Identität mit mindestens zwei Nachweisen aus unterschiedlichen Kategorien belegt: etwas, das sie weiß, etwas, das sie besitzt, oder etwas, das sie ist. Die Zwei-Faktor-Authentifizierung (2FA) ist der häufigste Sonderfall mit genau zwei Faktoren. Das BSI verwendet dafür den Begriff Zwei-Faktor-Authentisierung.

Der Schutz entsteht durch die Unabhängigkeit der Faktoren: Ein erbeutetes Kennwort genügt nicht mehr für die Anmeldung. Wie viel MFA tatsächlich abwehrt, hängt vom Verfahren ab. Einmalcodes per SMS oder App lassen sich über gefälschte Anmeldeseiten in Echtzeit abgreifen. FIDO2-Sicherheitsschlüssel und Passkeys sind dagegen an die echte Anmeldeseite gebunden und gelten als phishingresistent. In Unternehmen kommt eine organisatorische Ebene hinzu: Registrierung, Gerätewechsel und das Zurücksetzen von Faktoren sind Serviceprozesse, für die meist der Service Desk zuständig ist.

Das Wichtigste in Kürze

• Prinzip: Mindestens zwei Faktoren aus verschiedenen Kategorien. Kennwort plus Sicherheitsfrage ist zweimal Wissen und damit keine MFA.
• Verfahren: Von SMS über Authenticator-App bis Passkey. Phishingresistent sind nur kryptografische Verfahren, die an die echte Anmeldeseite gebunden sind, etwa FIDO2.
• Pflichten: Die NIS-2-Richtlinie und § 30 BSI-Gesetz nennen MFA ausdrücklich als Risikomanagementmaßnahme für betroffene Einrichtungen. Microsoft erzwingt MFA für Anmeldungen am Azure-Portal und an den Admin Centern.
• Betrieb: Die Schwachstelle liegt oft beim Zurücksetzen. Ein Reset per Anruf ohne belastbare Identitätsprüfung hebelt jede MFA aus.

Stand: November 2026 · Fachlich abgeglichen mit NIST SP 800-63B-4, BSI, Microsoft Learn und CISA (Quellen am Ende des Artikels)

So funktioniert MFA: Faktoren, Verfahren und Richtlinien

Eine Anmeldung mit MFA läuft in zwei Schritten ab. Zuerst nennt der Benutzer seine Kennung und meist ein Kennwort. Danach verlangt der Identitätsdienst einen weiteren Nachweis, etwa eine Bestätigung in der Authenticator-App. Erst wenn beide Prüfungen bestanden sind, stellt er ein Token für die Anwendung aus.

Die drei Faktorkategorien

• Wissen: Kennwort, PIN oder Passphrase. Das NIST nennt das „something you know“.
• Besitz: ein Smartphone mit Authenticator-App, ein FIDO2-Sicherheitsschlüssel oder eine Smartcard („something you have“).
• Inhärenz: ein körperliches Merkmal wie Fingerabdruck oder Gesicht („something you are“).

Entscheidend ist, dass die Faktoren unabhängig voneinander sind. Wer das Kennwort per Phishing erbeutet, hat damit noch keinen Zugriff auf den Sicherheitsschlüssel in der Hosentasche.

Ein Gerät, zwei Faktoren

Bei Passkeys und Windows Hello for Business stecken beide Faktoren in einem Schritt. Der private Schlüssel liegt auf dem Gerät (Besitz) und wird erst nach Eingabe einer PIN oder einer biometrischen Prüfung freigegeben. Die NIST-Richtlinie SP 800-63B bezeichnet solche Authentifikatoren als mehrfaktoriell, weil der Besitzfaktor durch Wissen oder ein Merkmal aktiviert wird. Deshalb ist eine passwortlose Anmeldung nicht automatisch schwächer, sondern oft stärker als Kennwort plus Code.

Gängige Verfahren

• SMS oder Sprachanruf: Ein Code geht an die hinterlegte Rufnummer. Microsoft empfiehlt, diese Methoden für MFA nicht mehr zu verwenden, NIST stuft die Nutzung des Telefonnetzes als eingeschränkt ein.
• Einmalcode aus einer App (TOTP): Die App erzeugt zeitbasierte Codes, die nur kurz gültig sind.
• Push-Benachrichtigung: Der Benutzer bestätigt die Anmeldung in der App. In Microsoft Authenticator muss er dabei eine Zahl eingeben, die auf dem Anmeldebildschirm angezeigt wird (Nummernabgleich).
• FIDO2-Sicherheitsschlüssel und Passkeys: Kryptografische Schlüsselpaare, die an die Domain der Anmeldeseite gebunden sind.
• Zertifikat auf Smartcard: In Unternehmen mit eigener PKI verbreitet, etwa für Administratoren.

Wann MFA abgefragt wird

Wann ein zweiter Faktor nötig ist, legen Richtlinien fest. In Microsoft Entra ID gibt es dafür zwei Wege. Die Sicherheitsstandards sind ohne Zusatzlizenz verfügbar: Alle Benutzer müssen sich für MFA registrieren, Administratoren müssen MFA immer durchführen, ältere Authentifizierungsprotokolle werden blockiert. Der bedingte Zugriff (ab Entra ID P1) erlaubt differenzierte Regeln nach Benutzergruppe, Anwendung, Gerätestatus oder Standort, mit Entra ID P2 auch nach Anmelderisiko. Was früher als „adaptive MFA“ vermarktet wurde, ist heute meist genau das: eine Richtlinie, die den zweiten Faktor nur bei erhöhtem Risiko verlangt.

MFA-Verfahren im Vergleich: Wie gut schützen sie vor Phishing?

Die wichtigste Frage bei der Auswahl lautet: Kann ein Angreifer den zweiten Faktor über eine gefälschte Anmeldeseite an den echten Dienst weiterreichen? Solche Adversary-in-the-Middle-Angriffe sind heute mit fertigen Phishing-Baukästen möglich. Das BSI kommt in seinem Vergleich der 2FA-Verfahren zu dem Ergebnis, dass E-Mail- und SMS-Codes sowie TOTP nicht vor Phishing in Echtzeit schützen. Passkeys sind dagegen resistent gegen übliche Phishing-Angriffe.

Microsoft bildet diese Abstufung in Entra ID als „Authentifizierungsstärken“ ab. Die integrierte Stärke für phishingresistente MFA lässt nur Windows Hello for Business oder Plattformanmeldeinformationen, FIDO2-Sicherheitsschlüssel und die mehrstufige zertifikatbasierte Authentifizierung zu.

MFA, 2FA, SSO und passwortlose Anmeldung

2FA ist MFA mit genau zwei Faktoren. Single Sign-on bündelt die Anmeldung beim Identitätsdienst, damit Benutzer nicht für jede Anwendung erneut Zugangsdaten eingeben. MFA und SSO ergänzen sich: Eine starke Anmeldung mit mehreren Faktoren gilt danach für alle angebundenen Anwendungen. Mehr dazu im Glossarartikel Single Sign-on.

Passwortlos heißt nicht einfaktoriell. Ein Passkey ersetzt das Kennwort durch einen Schlüssel, der mit PIN oder Biometrie freigegeben wird. Die übergeordneten Grundlagen, also was Authentifizierung von Identifikation und Autorisierung unterscheidet, erklärt der Artikel Authentifizierung.

MFA als Serviceprozess: von der Registrierung bis zum Austritt

Die technische Einrichtung von MFA ist ein Projekt. Der Betrieb dagegen ist Tagesgeschäft: Mitarbeitende wechseln ihr Smartphone, verlieren Sicherheitsschlüssel oder melden unerwartete Anmeldeanfragen. Ohne festgelegte Abläufe entscheidet jeder Agent im Service Desk selbst, wie er die Identität prüft. Genau dort setzen Angreifer an.

Fünf Standardfälle für den Servicekatalog

1. Erstregistrierung beim Eintritt: In Entra ID lässt sich dafür ein befristeter Zugriffspass (Temporary Access Pass, TAP) ausstellen. Er ist zeitlich begrenzt, für eine oder mehrere Anmeldungen nutzbar und dient dazu, die eigentlichen Methoden wie einen Passkey zu registrieren.
2. Gerätewechsel: Die neue Authenticator-App wird registriert, die alte Methode entfernt. Ein Self-Service-Ablauf entlastet den Service Desk, wenn das alte Gerät noch verfügbar ist.
3. Verlust oder Diebstahl: Methode sperren, aktive Sitzungen beenden, Ersatz ausgeben. Bei Verdacht auf Missbrauch wird daraus ein Sicherheitsvorfall.
4. Zurücksetzen aller Faktoren: Nur nach einer dokumentierten Identitätsprüfung, etwa Rückruf an die im Personalsystem hinterlegte Nummer oder Bestätigung durch die Führungskraft.
5. Austritt: Registrierte Methoden entfernen, Hardware-Schlüssel zurücknehmen und den Vorgang im Ticket belegen.

Warum der Reset der kritische Punkt ist

Die US-Behörde CISA beschreibt in ihrer Warnung zur Gruppe Scattered Spider, wie Angreifer sich am Telefon als Mitarbeitende ausgeben. Sie bringen IT-Helpdesks dazu, Kennwörter zurückzusetzen und MFA auf ein Gerät der Angreifer zu übertragen. Auch das BSI hält es für grundsätzlich kritisch, wenn ein einstufiges Verfahren die Zwei-Faktor-Authentisierung bei der Wiederherstellung ersetzt.

Beispiel: MFA-Reset als Service Request

Angenommen, ein Maschinenbauunternehmen mit 1.400 Mitarbeitenden an vier Standorten führt Passkeys ein. Bisher rufen Mitarbeitende nach einem Handywechsel die Hotline an, und der Agent setzt die Methode nach kurzer Rückfrage zurück.

Künftig gibt es dafür einen Service Request „MFA-Methode zurücksetzen“. Das Formular verlangt die Auswahl des Prüfverfahrens, bei Administratorkonten zusätzlich die Freigabe einer zweiten Person. Erst danach stellt das Identity-Team einen befristeten Zugriffspass aus. Unerwartete MFA-Anfragen erfassen Mitarbeitende als eigene Störungskategorie im Incident Management, damit die Informationssicherheit sie zeitnah bewertet. Anleitungen für Standardfälle stehen in der Knowledge Base.

Kennzahlen für den Betrieb

• Anteil der Konten mit registrierter phishingresistenter Methode, getrennt nach Administratoren und übrigen Benutzern
• Anzahl der MFA-Resets pro Monat und Anteil mit dokumentierter Identitätsprüfung
• Anzahl offener Ausnahmen von MFA-Richtlinien mit Ablaufdatum

Service Requests ansehen

Risiken, Best Practices und Pflichten

Wie Angreifer MFA umgehen

• MFA-Fatigue (Push-Bombing): Angreifer mit gültigem Kennwort lösen so lange Push-Anfragen aus, bis jemand bestätigt. CISA nennt dieses Vorgehen ausdrücklich bei Scattered Spider. Der Nummernabgleich erschwert es.
• Phishing in Echtzeit: Eine Proxy-Seite reicht Kennwort und Code an den echten Dienst weiter und übernimmt die Sitzung.
• SIM-Tausch: Der Angreifer lässt die Rufnummer auf eine eigene SIM-Karte übertragen und empfängt SMS-Codes.
• Social Engineering am Service Desk: siehe Abschnitt zum Reset.
• Ältere Protokolle: Clients mit Basisauthentifizierung können keine MFA. Microsoft empfiehlt, solche Anmeldungen zu blockieren.

Best Practices

1. Privilegierte Konten zuerst: Der IT-Grundschutz-Baustein ORP.4 des BSI empfiehlt MFA für Kennungen mit weitreichenden Berechtigungen. Für Administratoren sollte es eine phishingresistente Methode sein.
2. Notfallkonten nicht vergessen: Seit Microsoft MFA für die Verwaltungsportale erzwingt, gilt das auch für Notfallzugriffskonten. Microsoft empfiehlt dafür Passkeys (FIDO2) oder die zertifikatbasierte Authentifizierung.
3. SMS und Sprachanruf auslaufen lassen: Nur noch als befristete Ausnahme mit Begründung.
4. Wiederherstellung absichern: Reset nur mit dokumentierter Identitätsprüfung, für privilegierte Konten mit zweiter Person.
5. Ausnahmen befristen: Jede Ausnahme von einer MFA-Richtlinie braucht einen Verantwortlichen und ein Ablaufdatum.
6. Richtlinien kontrolliert ändern: Neue oder geänderte Regeln zuerst mit einer Pilotgruppe testen und als Änderung über das Change Management freigeben. Eine fehlerhafte Richtlinie kann alle Benutzer aussperren.

Rechtlicher Rahmen in Deutschland

Die NIS-2-Richtlinie (EU) 2022/2555 nennt in Art. 21 Abs. 2 Buchst. j die „Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung“ als Mindestinhalt des Risikomanagements. In Deutschland übernimmt § 30 Abs. 2 Nr. 10 BSI-Gesetz diese Anforderung für besonders wichtige und wichtige Einrichtungen. Welche Systeme und Konten im Einzelfall erfasst sind, ergibt sich aus der eigenen Risikoanalyse.

Häufige Fragen zur Multi-Faktor-Authentifizierung

Was ist der Unterschied zwischen MFA und 2FA?

2FA ist ein Sonderfall von MFA mit genau zwei Faktoren, etwa Kennwort und Code aus einer App. MFA umfasst alle Verfahren mit zwei oder mehr Faktoren aus unterschiedlichen Kategorien. In der Praxis werden beide Begriffe oft gleichbedeutend verwendet.

Ist SMS als zweiter Faktor noch sicher genug?

SMS ist besser als nur ein Kennwort, schützt aber weder vor Phishing in Echtzeit noch vor SIM-Tausch. Microsoft empfiehlt, SMS und Sprachanrufe für MFA nicht mehr zu verwenden. Im Unternehmen sollte SMS nur noch eine befristete Ausnahme sein.

Was bedeutet phishingresistente MFA?

Phishingresistent sind Verfahren, bei denen der Nachweis kryptografisch an die echte Anmeldeseite gebunden ist. Eine gefälschte Seite kann ihn deshalb nicht weiterverwenden. Dazu zählen FIDO2-Sicherheitsschlüssel, Passkeys, Windows Hello for Business und Smartcards mit Zertifikat.

Ist MFA nach NIS2 Pflicht?

Für Einrichtungen im Anwendungsbereich nennt die NIS-2-Richtlinie MFA oder kontinuierliche Authentifizierung als Mindestinhalt des Risikomanagements. In Deutschland setzt § 30 Abs. 2 Nr. 10 BSI-Gesetz das für besonders wichtige und wichtige Einrichtungen um. Wo genau MFA nötig ist, ergibt sich aus der Risikoanalyse.

Wie setzt der Service Desk MFA sicher zurück?

Mit einem festen Ablauf: Identität über einen unabhängigen Kanal prüfen, etwa per Rückruf an eine hinterlegte Nummer, bei Administratorkonten eine zweite Person freigeben lassen und dann einen befristeten Zugriffspass für die Neuregistrierung ausstellen. Jeder Schritt wird im Ticket dokumentiert.

Unterstützt ky2help® die Multi-Faktor-Authentifizierung?

ky2help® bietet im Standard Single Sign-on über Azure AD, heute Microsoft Entra ID. Bei dieser Anmeldung prüft Entra ID die Faktoren nach den Richtlinien, die Sie dort festlegen. Zusätzlich lassen sich Prozesse wie MFA-Reset, Gerätewechsel und Ausnahmen als Workflow mit automatischer Historisierung abbilden.

Quellen und weiterführende Artikel

Quellen

• NIST: SP 800-63B-4 – Authentication and Authenticator Management
• BSI: Wie sicher und einfach sind Verfahren der Zwei-Faktor-Authentisierung?
• BSI: IT-Grundschutz-Baustein ORP.4 Identitäts- und Berechtigungsmanagement (Edition 2023)
• Bundesrecht: § 30 BSI-Gesetz – Risikomanagementmaßnahmen
• EUR-Lex: Richtlinie (EU) 2022/2555 (NIS-2)
• Microsoft Learn: Authentifizierungsstärken für bedingten Zugriff
• Microsoft Learn: Obligatorische Multi-Faktor-Authentifizierung für Azure und Admin Center
• Microsoft Learn: Befristeter Zugriffspass (Temporary Access Pass)
• CISA: Advisory AA23-320A Scattered Spider

Weiterlesen im Glossar und in der Wissenswelt

• Single Sign-on (SSO) und Authentifizierung
• Active Directory
• Incident und Helpdesk
• ISO 27001
• Automatisierung von Routineaufgaben im ITSM