Multi-Faktor-Authentifizierung: So richten Sie MFA unternehmensweit ein

Multi-Faktor-Authentifizierung, kurz MFA, ist die wirksamste Einzelmaßnahme gegen kompromittierte Konten. Laut Microsoft werden 99,9 Prozent aller automatisierten Angriffe auf Konten durch MFA gestoppt. Trotzdem setzen viele Unternehmen sie noch immer nicht ein.

Was ist MFA und wie funktioniert es?

MFA kombiniert mindestens zwei unabhängige Faktoren zur Anmeldung: etwas, das Sie wissen (Passwort), etwas, das Sie besitzen (Smartphone mit Authenticator-App) und optional etwas, das Sie sind (Fingerabdruck). Selbst wenn ein Angreifer das Passwort kennt, kann er sich ohne den zweiten Faktor nicht einloggen.

Welche MFA-Methoden gibt es?

Authenticator-Apps wie Microsoft Authenticator oder Google Authenticator generieren zeitbasierte Einmalcodes (TOTP). Push-Benachrichtigungen erlauben die Bestätigung per Smartphone-Tap. Hardware-Token wie YubiKey sind die sicherste Variante. SMS-Codes sind die schwächste Methode und sollten nur als Fallback genutzt werden.

MFA für Microsoft 365 aktivieren

In Microsoft 365 lässt sich MFA über das Azure Active Directory-Admin-Center aktivieren. Moderne Conditional Access Policies ermöglichen eine differenzierte Steuerung: MFA kann für bestimmte Apps, Standorte oder Risikostufen erzwungen werden. Für KMU reicht oft die einfachere Option der Sicherheitsstandards, die MFA für alle Konten aktiviert.

Rollout-Strategie für Ihr Team

Informieren Sie die Mitarbeitenden rechtzeitig, bieten Sie eine kurze Einführungsschulung an und setzen Sie einen klaren Aktivierungstermin. Richten Sie einen Helpdesk-Kanal für Rückfragen ein. Starten Sie mit der IT-Abteilung und Führungskräften als Pilotgruppe. Planen Sie einen Übergangszeitraum von zwei bis vier Wochen.

Reihenfolge, die sich bewährt hat

• Zuerst alle Administratorkonten.
• Danach E-Mail und Microsoft 365 bzw. Google Workspace für alle.
• Fernzugänge wie VPN und Fernwartung.
• Buchhaltung, Banking und Lieferantenportale.
• Zum Schluss weitere Cloud-Dienste und Webanwendungen.

Was tun, wenn das Handy weg ist?

Planen Sie den Ernstfall vorab: Jede Person sollte mindestens zwei Anmeldemethoden hinterlegen, etwa die Authenticator-App und einen Hardware-Schlüssel oder Wiederherstellungscodes. Administratoren brauchen einen dokumentierten Weg, um einen Zugang nach eindeutiger Identitätsprüfung zurückzusetzen. Für Notfälle empfiehlt sich ein besonders geschütztes Notfall-Administratorkonto, das sicher verwahrt wird.

Ein typisches Szenario

Ein häufiges Beispiel: Eine Mitarbeiterin gibt ihr Microsoft-365-Passwort auf einer gefälschten Anmeldeseite ein. Ohne Multi-Faktor-Anmeldung hätten die Angreifer sofort Zugriff auf ihr Postfach und könnten in ihrem Namen gefälschte Rechnungen an Kunden schicken. Mit MFA scheitert der Versuch: Die Angreifer kennen zwar das Passwort, haben aber nicht das Smartphone der Mitarbeiterin. Die verdächtige Anmeldung fällt zudem im Protokoll auf, und das Passwort wird sofort geändert.

So erklären Sie MFA Ihrem Team

• Warum: Ein gestohlenes Passwort allein reicht dann nicht mehr.
• Wie: Einmal die App einrichten, danach meist nur eine kurze Bestätigung.
• Wann: Bei neuen Geräten, ungewöhnlichen Orten oder nach festgelegter Zeit.
• Was tun bei unerwarteter Anfrage: niemals bestätigen, sondern sofort melden.
• Wer hilft: feste Ansprechperson für Fragen und Gerätewechsel.

Aufwand realistisch einschätzen

Technisch ist MFA schnell aktiviert. Den meisten Aufwand machen die Einrichtung bei allen Mitarbeitenden und Sonderfälle wie gemeinsam genutzte Konten oder ältere Anwendungen, die MFA nicht unterstützen. Mit einer kurzen Anleitung und einem gemeinsamen Termin ist ein kleines Team in der Regel an einem Tag umgestellt.

Welche Methode ist die richtige?

• Authenticator-App mit Zahlenabgleich: guter Standard für die meisten Konten.
• Passkeys und FIDO2-Sicherheitsschlüssel: besonders sicher, weil sie gegen Phishing schützen.
• SMS-Codes: besser als nichts, aber nur als Notlösung, da SMS abgefangen werden können.
• Notfallcodes: sicher verwahren, um bei Verlust des Geräts wieder Zugriff zu erhalten.

Für Administratoren und besonders schützenswerte Konten empfehlen sich Passkeys oder Sicherheitsschlüssel. Für alle anderen ist die Authenticator-App ein guter Kompromiss aus Sicherheit und Bequemlichkeit. Wichtig ist, dass Anfragen nie ungeprüft bestätigt werden: Wer eine Anmeldeanfrage erhält, die er nicht selbst ausgelöst hat, lehnt sie ab und meldet den Vorfall.

Kurz zusammengefasst

• MFA stoppt die meisten Angriffe mit gestohlenen Passwörtern.
• Administratoren und E-Mail zuerst absichern.
• App-Bestätigung oder Passkeys statt SMS bevorzugen.
• Notfallwege für verlorene Geräte vorab regeln.

Fazit

MFA ist kein optionales Extra, sondern eine Grundvoraussetzung für sichere IT-Systeme. Die Einrichtung dauert wenige Stunden, der Schutzeffekt ist jedoch enorm und sofort wirksam.