Was ist MFA? Multi-Faktor-Authentifizierung einfach erklärt

Definition

Multi-Faktor-Authentifizierung (MFA) ist ein Authentifizierungsverfahren, das für eine Anmeldung mindestens zwei verschiedene, unabhängige Faktoren verlangt. MFA ist keine Identitätsverwaltung und kein Single Sign-On, sondern eine zusätzliche Sicherheitsprüfung bei der Anmeldung.

Einleitung

Was ist MFA und warum reden gerade so viele darüber? Weil Passwörter allein heute zu leicht abzugreifen sind: Phishing, Datenleaks und Passwort-Wiederverwendung passieren ständig. MFA ergänzt die Anmeldung um einen zweiten (oder dritten) Nachweis und reduziert so das Risiko von unbefugtem Zugriff auf Microsoft 365 und andere sensible Systeme.

Warum MFA wichtig ist: Sicherheitsnutzen und Messbarkeit

MFA erhöht Sicherheit, indem sie das Single-Point-of-Failure „Passwort“ entschärft. Selbst wenn Anmeldedaten stimmen, scheitert der Zugriff ohne zweiten Faktor oder ohne vertrauenswürdigen Kontext. Das ist besonders relevant für Konten mit erhöhten Rechten und für externe Zugriffe.

Wirksamkeit wird im Betrieb messbar, zum Beispiel über: blockierte Risikoanmeldungen, Anzahl/Quote der MFA-gestützten Logins, reduzierte Kontoübernahmen und weniger sicherheitsrelevante Support-Fälle rund um kompromittierte Passwörter.

Authentifizierungsfaktoren: Wissen, Besitz, Inhärenz

MFA verwendet verschiedene Faktoren, die zu drei Typen gehören. Wichtig ist die Unabhängigkeit: zwei Nachweise aus derselben Kategorie zählen nicht als „verschiedene“ Faktoren.

• Wissen: Passwort, PIN (etwas, das man weiß).
• Besitz: Authenticator-App, Hardware-Token, FIDO2-Sicherheitsschlüssel (etwas, das man besitzt).
• Inhärenz: Fingerabdruck, Gesichtserkennung (Biometrie; etwas, das man ist).

Ein One-Time-Password (OTP) ist eine häufige Ausprägung im Besitz-Faktor-Kontext, etwa als zeitbasierter Code in einer Authenticator-App. SMS-Codes gelten in vielen Umgebungen als weniger robust und sollten bewusst bewertet werden.

So läuft MFA ab (Schritt für Schritt)

Der Prozess ist in der Praxis simpel, auch wenn die Implementierung dahinter sauber geplant sein muss:

• Schritt 1: Benutzer gibt Benutzername und Passwort ein (Wissen).
• Schritt 2: System fordert den zweiten Faktor an, z. B. App-Bestätigung, OTP oder Token (Besitz) oder Biometrie (Inhärenz).
• Schritt 3: Nach erfolgreicher Prüfung wird ein Zugriffstoken ausgestellt und der Zugriff erlaubt.

Je nach Richtlinie kann MFA für jede Anmeldung gelten oder nur in bestimmten Situationen (z. B. neuer Standort, neues Gerät, Admin-Aktion).

MFA vs. 2FA vs. Single Sign-On (SSO)

Zwei-Faktor-Authentifizierung (2FA) bedeutet genau zwei Faktoren. MFA ist der Oberbegriff und umfasst zwei oder drei Faktoren; in der Praxis wird oft „MFA“ gesagt, auch wenn technisch 2FA umgesetzt ist.

Single Sign-On (SSO) bedeutet: einmal anmelden, mehrere Systeme nutzen. SSO reduziert Reibung, ersetzt MFA aber nicht. Best Practice ist die Kombination: SSO für weniger Passwort-Eingaben, MFA für sicheren Zugriff auf die Identität.

Adaptive MFA und passwortlose Authentifizierung

Adaptive MFA (risikobasierte oder kontextbasierte MFA) verlangt zusätzliche Prüfungen nur dann, wenn das Risiko steigt: ungewöhnliche Anmeldung, neue Geräte, atypische Zeiten oder fehlende Compliance-Signale. Der Nutzen ist weniger Friktion für normale Arbeit, aber höhere Hürden für Angreifer.

Passwortlose Authentifizierung reduziert das Problemfeld „Passwörter“ grundsätzlich. Typische Ansätze sind Passkeys oder FIDO2 in Kombination mit Gerätebindung und Biometrie. Ergebnis: weniger Phishing-Erfolg, weniger Passwort-Reset-Aufwand und oft eine spürbar bessere Nutzererfahrung.

Typische Anwendungsfälle und Branchenbeispiele

MFA ist überall sinnvoll, wo Identitäten Zugriff auf Daten, Geld oder kritische Prozesse geben. Besonders häufig:

• Remote-Zugriffe und Cloud-Anwendungen (z. B. Microsoft 365, VPN-Alternativen, Portale).
• Admin-Konten und privilegierte Aufgaben (z. B. Rollenaktivierung via PIM).
• Sensible Bereiche wie Gesundheitswesen: Medizinische Fachangestellte arbeiten mit Patienten- und medizinischen Daten, die besonders schützenswert sind.

Mini-Story: Ein Unternehmen rollt MFA aus und merkt schnell, dass nicht die zweite Bestätigung das Problem ist, sondern alte Ausnahmen und gemeinsam genutzte Konten. Nach der Bereinigung sinkt das Risiko spürbar, und Support-Anfragen zu kompromittierten Passwörtern gehen zurück.

Best Practices und häufige Herausforderungen bei der Implementierung

Die häufigsten Stolpersteine sind organisatorisch: fehlende Regeln, zu viele Ausnahmen, unklare Kommunikation, kein Notfallprozess. Eine pragmatische Umsetzung setzt Prioritäten und startet mit hohem Risiko.

• Best Practice: zuerst Admins und externe Zugriffe absichern, dann schrittweise die Breite.
• Best Practice: klare Prozesse für Geräteverlust, Break-Glass-Konten und Rollback.
• Herausforderung: Legacy-Apps und Servicekonten; hierfür braucht es gezielte Ausnahmen oder Modernisierung.

Zu Kosten und Budget: MFA lohnt sich, wenn man den Aufwand für Passwort-Resets, Incident-Behandlung und Ausfallzeiten ehrlich gegenrechnet. Der größte Hebel entsteht, wenn Richtlinien laufend gepflegt und tatsächlich überwacht werden.

Glossar (kurz)

Authentifizierung: Nachweis, dass eine Person wirklich die behauptete Identität hat. Faktor: unabhängige Kategorie eines Nachweises (Wissen, Besitz, Inhärenz). Token: technischer Beleg für erfolgte Anmeldung (nicht gleich Hardware-Token). Phishing: Täuschung, um Anmeldedaten oder Bestätigungen abzugreifen.

Wann externe Unterstützung sinnvoll wird

Externe Unterstützung wird sinnvoll, wenn MFA nicht nur „aktiviert“, sondern als Teil von Entra-ID-Richtlinien für verschiedene Benutzergruppen, Anwendungen und Risiken betrieben werden soll. Typische Trigger sind knappe IT-Kapazität, viele Ausnahmen, komplexe Admin-Landschaften oder der Wunsch nach sauberer Dokumentation und nachvollziehbaren Entscheidungen.

Wenn Microsoft 365 bereits läuft, aber Security nebenbei passiert, bleibt MFA oft inkonsistent: einzelne Apps ohne Schutz, schlecht dokumentierte Ausnahmen und keine kontinuierliche Nachsteuerung. Genau dort entsteht vermeidbares Risiko und unnötiger Betriebsaufwand.