MFA

MFA (Multi-Faktor-Authentifizierung) ist ein Sicherheitsverfahren, bei dem du deine Identität durch mindestens zwei unterschiedliche Faktoren nachweisen musst, bevor du Zugriff auf ein System, eine Anwendung oder ein Konto erhältst. Anstatt dich nur mit Benutzername und Passwort anzumelden, bestätigt ein zweiter (oder dritter) Faktor, dass du wirklich derjenige bist, der du vorgibst zu sein.

Das Grundprinzip ist einfach: Selbst wenn ein Angreifer dein Passwort stiehlt, etwa durch Phishing oder ein Datenleck, kann er sich ohne den zweiten Faktor nicht anmelden. Laut Microsoft kann MFA bis zu 99,9 Prozent aller identitätsbasierten Angriffe verhindern. Deshalb ist MFA heute in Unternehmen nicht nur eine Empfehlung, sondern oft eine Pflicht. Besonders durch Vorschriften wie die NIS2-Richtlinie der EU.

Die drei Faktorkategorien

MFA kombiniert Faktoren aus unterschiedlichen Kategorien, um die Sicherheit zu erhöhen. Die drei Hauptkategorien sind:

Wichtig: Für echte MFA müssen die Faktoren aus verschiedenen Kategorien stammen. Zwei Passwörter (beide aus der Kategorie Wissen) wären keine echte Multi-Faktor-Authentifizierung, da beide auf die gleiche Weise kompromittiert werden könnten.

Gängige MFA-Methoden

TOTP (Time-based One-Time Password)

TOTP ist die am weitesten verbreitete Methode für App-basierte Authentifizierung. Eine Authenticator-App wie Google Authenticator oder Microsoft Authenticator generiert alle 30 Sekunden einen neuen sechsstelligen Code basierend auf einem geheimen Schlüssel und der aktuellen Uhrzeit. Der Server berechnet den gleichen Code und vergleicht ihn mit deiner Eingabe.

Der Vorteil: TOTP funktioniert offline und benötigt keine Internetverbindung auf dem Smartphone. Die Codes sind nur kurze Zeit gültig, was die Sicherheit erhöht.

Push-Benachrichtigungen

Bei dieser Methode erhältst du eine Benachrichtigung auf deinem Smartphone, wenn jemand versucht, sich in dein Konto einzuloggen. Du siehst Details wie Standort und Gerät des Anmeldeversuchs und kannst diesen bestätigen oder ablehnen. Moderne Implementierungen wie Microsoft Authenticator verwenden zusätzlich einen Nummernabgleich: Du musst eine auf dem Anmeldebildschirm angezeigte Zahl in der App eingeben, was Phishing erschwert.

SMS-Codes

SMS-basierte Einmalcodes waren lange der Standard, gelten heute aber als unsicher. Das Problem: SMS-Nachrichten können durch SIM-Swapping abgefangen werden. Dabei überzeugt ein Angreifer den Mobilfunkanbieter, die Telefonnummer des Opfers auf eine neue SIM-Karte zu übertragen. Behörden wie die CISA (US-Cybersicherheitsbehörde) raten daher von SMS-basierter MFA ab. Trotzdem ist SMS-MFA immer noch besser als gar keine MFA.

Hardware-Token und FIDO2

Hardware-Sicherheitsschlüssel wie der YubiKey gelten als sicherste MFA-Methode. Sie basieren auf dem FIDO2-Standard, der asymmetrische Kryptografie verwendet: Für jede Website wird ein eindeutiges Schlüsselpaar erzeugt. Der private Schlüssel verlässt niemals das Gerät und wird nie auf einem Server gespeichert.

Der große Vorteil: FIDO2 ist phishing-resistent. Der Hardware-Token prüft automatisch, ob er mit der echten Domain kommuniziert. Eine gefälschte Phishing-Website kann den Token nicht austricksen, selbst wenn sie optisch identisch aussieht.

2FA vs. MFA

Die Begriffe werden oft verwechselt: 2FA (Zwei-Faktor-Authentifizierung) bedeutet genau zwei Faktoren. MFA ist der Oberbegriff für zwei oder mehr Faktoren. Jede 2FA ist also MFA, aber nicht jede MFA ist 2FA. Ein System mit drei Faktoren wäre MFA, aber nicht 2FA.

Passkeys - die Zukunft der Authentifizierung

Passkeys sind eine Weiterentwicklung von FIDO2 und sollen Passwörter langfristig ersetzen. Ein Passkey ist ein kryptografischer Schlüssel, der auf deinem Gerät gespeichert wird. Zur Authentifizierung entsperrst du ihn mit Biometrie (Fingerabdruck, Face ID) oder einer PIN.

Es gibt zwei Varianten: Synced Passkeys werden über Cloud-Dienste (iCloud, Google) zwischen deinen Geräten synchronisiert. Device-bound Passkeys bleiben auf einem einzelnen Gerät und bieten höchste Sicherheit. Große Anbieter wie Apple, Google und Microsoft unterstützen Passkeys bereits.

MFA in der Praxis

Als Fachinformatiker für Systemintegration wirst du MFA regelmäßig konfigurieren und verwalten. Typische Aufgaben sind die Einrichtung von MFA in Microsoft Entra ID (früher Azure AD), das Deployment von Hardware-Token an Mitarbeiter und das Troubleshooting bei gesperrten Konten.

Auch Fachinformatiker für Anwendungsentwicklung benötigen MFA-Wissen: Moderne Webanwendungen müssen OAuth 2.0 und OpenID Connect unterstützen, um sich in bestehende Identitätssysteme zu integrieren. Bibliotheken wie Passport.js (Node.js) oder Spring Security (Java) vereinfachen die Implementierung.

Best Practices für Unternehmen

• Risikobasierter Ansatz: Externe Zugänge (VPN, Cloud-Apps) und privilegierte Konten (Admins) haben höchste Priorität
• Phasenweise Einführung: Zuerst externe Zugänge schützen, dann kritische interne Systeme, zuletzt alle Mitarbeiter
• Phishing-resistente Methoden bevorzugen: Hardware-Token und Passkeys vor TOTP, TOTP vor SMS
• Backup-Codes bereitstellen: Für den Fall, dass Mitarbeiter ihr MFA-Gerät verlieren
• Mitarbeiterschulung: Benutzer müssen verstehen, warum MFA wichtig ist und wie sie Phishing erkennen

Quellen und weiterführende Links

• Microsoft Learn: Funktionsweise von MFA - Offizielle Microsoft-Dokumentation
• BSI: Zwei-Faktor-Authentisierung - BSI-Empfehlungen für Verbraucher
• FIDO Alliance: Passkeys - Offizielle Passkey-Dokumentation
• RFC 6238: TOTP - TOTP-Spezifikation der IETF
• WebAuthn-Spezifikation (W3C) - Offizieller WebAuthn-Standard