Die meisten erfolgreichen Angriffe beginnen nicht mit raffinierter Technik, sondern mit einem gestohlenen Passwort. Es stammt aus einem Datenleck, wurde per Phishing abgegriffen oder einfach erraten. Multi-Faktor-Authentifizierung (MFA) macht genau diese Passwörter wertlos.
Wie MFA funktioniert
Bei der Anmeldung braucht es neben dem Passwort einen zweiten Nachweis:
- einen Code aus einer Authenticator-App auf dem Smartphone,
- eine Bestätigung per Push-Nachricht,
- oder einen Sicherheitsschlüssel (FIDO2), der per USB oder NFC angemeldet wird.
Ein Angreifer mit Ihrem Passwort kommt so trotzdem nicht weiter. Laut Microsoft verhindert MFA den weitaus grössten Teil automatisierter Kontoübernahmen.
Wo MFA Pflicht sein sollte
- E-Mail-Konten – wer Ihr Postfach übernimmt, kann Passwörter zurücksetzen und in Ihrem Namen Rechnungen verschicken.
- Fernzugriff auf das Firmennetz (VPN, Terminalserver).
- Administratorkonten für Server, Firewall und Cloud-Dienste.
- Buchhaltung und E-Banking.
Typische Stolpersteine – und wie man sie vermeidet
- «Das ist zu kompliziert.» Mit Push-Bestätigung dauert die Anmeldung wenige Sekunden. Eine kurze Schulung nimmt die Angst.
- Handy verloren. Vorab Wiederherstellungscodes sicher ablegen und einen zweiten Faktor hinterlegen.
- Ermüdungsangriffe. Angreifer schicken so lange Push-Anfragen, bis jemand genervt bestätigt. Abhilfe schaffen Nummernabgleich und klare Regeln: Nie eine Anmeldung bestätigen, die man nicht selbst ausgelöst hat.
Einführung in drei Schritten
- Alle Konten und Zugänge erfassen, die geschützt werden müssen.
- Mit den Administratoren und der Geschäftsleitung starten – dort ist das Risiko am grössten.
- Das ganze Team mit einer kurzen Anleitung umstellen und für Fragen erreichbar sein.
Fazit
MFA kostet wenig und bringt enorm viel. Wenn Sie nur eine Sicherheitsmassnahme in diesem Jahr umsetzen, dann diese. Wir helfen bei der Einrichtung – für Homeoffice-Zugänge, Mail und Server.
Häufige Fragen
Ist SMS als zweiter Faktor sicher genug?
SMS ist besser als nichts, aber anfällig für Umleitungen. Authenticator-Apps oder Sicherheitsschlüssel sind deutlich sicherer.
Brauchen alle Mitarbeitenden ein Firmenhandy?
Nein. Die Authenticator-App läuft auch auf privaten Smartphones. Alternativ gibt es Sicherheitsschlüssel für wenige Franken.
Was kostet die Einführung von MFA?
Bei Microsoft 365 und vielen anderen Diensten ist MFA bereits enthalten. Die Kosten liegen vor allem in der Einrichtung und Schulung.
