Wie funktioniert MFA?
MFA kombiniert Faktoren aus unterschiedlichen Kategorien: Wissen, Besitz und biometrische Merkmale. Zwei Passwörter gelten nicht als zwei Faktoren, weil beide derselben Kategorie angehören. Ein zusätzlicher Faktor verhindert nicht jede Kontoübernahme, erhöht aber den Aufwand gegenüber einer Anmeldung nur mit Passwort.
Welche Verfahren gibt es?
SMS-Codes und Einmalcodes aus Apps sind verbreitet, können jedoch durch Phishing oder andere Angriffe abgefangen werden. Push-Bestätigungen benötigen Schutz gegen unbemerkte oder wiederholte Anfragen. Passkeys und Hardware-Sicherheitsschlüssel können phishing-resistente Anmeldungen ermöglichen, wenn Dienst und Implementierung dies unterstützen.
Die geeignete Methode hängt von Kontorisiko, Wiederherstellungsprozess und Benutzerumgebung ab. Besonders privilegierte und geschäftskritische Konten sollten zuerst geschützt werden.
Was gehört zum Betrieb?
MFA muss für neue Konten standardmäßig gelten und regelmäßig auf Ausnahmen geprüft werden. Ersatz- und Wiederherstellungsverfahren dürfen nicht schwächer sein als die normale Anmeldung. Alarme bei neuen Faktoren oder ungewöhnlichen Anmeldungen ergänzen den Schutz.
Warum Passwörter allein nicht genügen und wie stärkere Verfahren eingeführt werden können, erläutern die Beiträge zum Identitätsschutz und zu Passkeys und FIDO2.
Zuletzt aktualisiert: 22. August 2026