Bei der Mehr-Faktor-Authentifizierung (MFA) kommt zur Anmeldung mit Passwort ein zweiter Prüfschritt hinzu: eine Bestätigung in einer App, ein Einmalcode oder ein physischer Sicherheitsschlüssel. Selbst mit gestohlenem Passwort kommt ein Angreifer ohne zweiten Faktor nicht ins Konto.
Welche Verfahren sind am sichersten?
- SMS-Code: besser als nichts, aber anfällig etwa für SIM-Swapping.
- Authenticator-App mit Code: sicherer als SMS.
- App-Benachrichtigung mit Zahlenabgleich: komfortabel; der Zahlenabgleich verhindert „MFA-Fatigue“-Angriffe.
- Sicherheitsschlüssel und passwortlose Anmeldung (FIDO2 / Passkeys): am widerstandsfähigsten gegen Phishing, empfohlen für Admins und kritische Konten.
Welche Konten zuerst?
- Administratorkonten und Cloud-Verwaltungsportale,
- E-Mail und Kollaboration (Microsoft 365, Google Workspace),
- VPN und Fernzugriff,
- Buchhaltung, Banking und ERP,
- Verwaltung von Website, Domain und DNS.
Einführung Schritt für Schritt
- Bestandsaufnahme: Welche Systeme unterstützen MFA, wer nutzt was?
- Zentrale Identität: Anwendungen möglichst per Single Sign-on (SSO) an ein Identitätssystem anbinden und MFA zentral steuern.
- Pilotgruppe: Mit der IT und einigen Freiwilligen starten und die Anleitung verbessern.
- Ankündigung und Kurzanleitung: Warum und wie – auf einer Seite mit Screenshots.
- Schrittweise Pflicht: Erst Registrierungsphase, dann MFA verpflichtend.
- Wiederherstellung: Vorab festlegen, wie Nutzer mit verlorenem Telefon verifiziert werden.
Typische Fehler
- MFA nur für einen Teil der Nutzer aktivieren und Altprotokolle ohne MFA weiter erlauben.
- Admin-Konten ausnehmen.
- MFA bei gemeinsam genutzten Konten deaktivieren.
ujans führt MFA, Single Sign-on und Richtlinien für bedingten Zugriff im Rahmen des Identitäts- und Zugriffsmanagements ein – ohne die Nutzerfreundlichkeit zu opfern.