MFA für Unternehmen: Warum ein Passwort allein nicht mehr reicht

Benutzername und Passwort waren lange Zeit der Standard für den Zugriff auf E-Mail, Cloud-Dienste und Unternehmensanwendungen. Das Problem dabei: Ein Passwort kann gestohlen, erraten oder durch Phishing abgegriffen werden.

Genau deshalb reicht ein Passwort allein heute nicht mehr aus. Selbst ein gutes und komplexes Kennwort schützt ein Konto nicht zuverlässig, wenn es einem Angreifer bereits bekannt ist.

Die entscheidende Frage lautet daher nicht:

Ist unser Passwort kompliziert genug?

Sondern:

Was passiert, wenn das Passwort trotzdem in falsche Hände gerät?

Was bedeutet MFA eigentlich?

MFA steht für Multi-Faktor-Authentifizierung. Dabei wird für die Anmeldung nicht nur ein einzelner Nachweis verwendet, sondern mindestens ein weiterer Faktor.

Typischerweise kommen dabei unterschiedliche Arten von Faktoren zusammen.

Microsoft beschreibt MFA genau nach diesem Prinzip: Zusätzlich zum Kennwort wird eine weitere Form der Überprüfung verlangt, etwa eine Freigabe am Smartphone, ein Code oder ein Sicherheitsschlüssel. :contentReference[oaicite:1]{index=1}

Warum schützt MFA so wirksam?

Angenommen, ein Mitarbeiter fällt auf eine gut gemachte Phishing-Mail herein und gibt Benutzername und Kennwort auf einer gefälschten Anmeldeseite ein.

Ohne MFA besitzt der Angreifer möglicherweise bereits alles, was er für die Anmeldung benötigt.

Mit MFA reicht das Kennwort allein dagegen nicht aus. Zusätzlich müsste auch der zweite Faktor überwunden werden.

Microsoft nennt MFA deshalb als eine der wichtigsten Maßnahmen zum Schutz von Microsoft-365-Business-Umgebungen. :contentReference[oaicite:2]{index=2}

Bedeutet MFA, dass ich mich ständig doppelt anmelden muss?

Nein. Genau das ist ein häufiges Missverständnis.

MFA bedeutet nicht zwangsläufig, dass bei jeder einzelnen Aktion erneut eine zusätzliche Bestätigung erforderlich ist.

Moderne Systeme können verschiedene Faktoren berücksichtigen, beispielsweise das verwendete Gerät, den Standort, die Art der Anwendung oder die konkrete Aktion.

In Microsoft 365 Business können dafür beispielsweise Security Defaults oder bei weitergehenden Anforderungen Conditional Access eingesetzt werden. Microsoft 365 Business Premium enthält Microsoft Entra ID P1 und damit Conditional Access für feinere Richtlinien. :contentReference[oaicite:3]{index=3}

Welche MFA-Methoden gibt es?

Nicht jede MFA-Methode bietet dasselbe Sicherheitsniveau.

Microsoft weist inzwischen ausdrücklich darauf hin, dass traditionelle MFA-Methoden wie SMS, OTP-Codes und einfache Push-Bestätigungen durch moderne Angriffe teilweise umgangen werden können. Für besonders schützenswerte Konten empfiehlt Microsoft daher phishing-resistente Verfahren. :contentReference[oaicite:4]{index=4}

Ist SMS als zweiter Faktor ausreichend?

SMS ist besser als gar keine MFA. Trotzdem würde ich sie nicht als bevorzugte Methode für ein Unternehmen betrachten.

Moderne Authenticator-Apps oder phishing-resistente Verfahren bieten in der Regel einen besseren Schutz und lassen sich oft auch angenehmer in den Arbeitsalltag integrieren.

Warum Push-Bestätigungen allein auch nicht perfekt sind

Bei einer klassischen Push-MFA erscheint auf dem Smartphone eine Anfrage, die der Benutzer bestätigen oder ablehnen kann.

Das ist komfortabel, kann aber problematisch werden, wenn ein Angreifer immer wieder neue Anfragen auslöst und darauf hofft, dass ein Benutzer irgendwann genervt oder aus Versehen bestätigt.

Solche Angriffe werden häufig als MFA-Fatigue oder MFA-Bombing bezeichnet.

Microsoft verwendet deshalb bei Authenticator-Anfragen unter anderem Number Matching. Dabei muss der Benutzer eine am Anmeldebildschirm angezeigte Zahl in der App bestätigen. Das erschwert versehentliche Freigaben deutlich. :contentReference[oaicite:5]{index=5}

Administratoren brauchen besonderen Schutz

Nicht jedes Konto ist gleich kritisch.

Ein normales Benutzerkonto kann bereits wertvoll sein. Ein Administratorkonto hat jedoch oft Zugriff auf wesentlich mehr Bereiche der Umgebung.

Wird ein solches Konto kompromittiert, kann der Schaden entsprechend größer sein.

Microsoft hebt Administrator-Konten deshalb ausdrücklich als besonders schützenswert hervor. :contentReference[oaicite:6]{index=6}

MFA sollte für alle Benutzer gelten

Ein häufiger Fehler besteht darin, MFA nur bei einzelnen Benutzern zu aktivieren.

Gerade Konten, die auf den ersten Blick wenig wichtig erscheinen, können für Angreifer interessant sein. Ein kompromittiertes Postfach kann beispielsweise für interne Phishing-Mails, gefälschte Rechnungen oder weitere Angriffe verwendet werden.

Deshalb sollte MFA nicht nur für Geschäftsführung oder IT gelten, sondern als grundlegender Schutz für alle Benutzerkonten betrachtet werden.

Und was ist mit gemeinsam genutzten Konten?

Gemeinsame Benutzerkonten sind generell problematisch.

Wenn mehrere Mitarbeiter denselben Benutzernamen und dasselbe Passwort verwenden, wird auch MFA schwierig: Wem gehört der zweite Faktor? Wer darf eine Anmeldung bestätigen? Und wie lässt sich später nachvollziehen, wer tatsächlich angemeldet war?

Für gemeinsame Aufgaben sind deshalb andere Konzepte sinnvoller, etwa freigegebene Postfächer oder klar definierte Berechtigungen für individuelle Benutzerkonten.

Typische Fehler bei der Einführung von MFA

• MFA wird nur für einige wenige Benutzer aktiviert
• Administratorkonten werden genauso behandelt wie normale Benutzerkonten
• Es wird ausschließlich auf SMS gesetzt
• Benutzer wissen nicht, wie sie mit unerwarteten MFA-Anfragen umgehen sollen
• Gemeinsam genutzte Konten erschweren eine saubere Authentifizierung
• Es gibt keinen Plan für verlorene oder ausgetauschte Smartphones
• Alte oder unsichere Anmeldeverfahren werden nicht berücksichtigt

Was tun bei einer unerwarteten MFA-Anfrage?

Eine sehr einfache Regel sollte jeder Mitarbeiter kennen:

Eine unerwartete Anmeldebestätigung kann ein Hinweis darauf sein, dass jemand bereits Benutzername und Passwort kennt und versucht, den zweiten Faktor zu überwinden.

In diesem Fall sollte die Anfrage abgelehnt und das Ereignis an den IT-Ansprechpartner gemeldet werden.

Reicht MFA alleine für IT-Sicherheit aus?

Nein.

MFA ist eine sehr wichtige Maßnahme, aber eben nur ein Teil eines Sicherheitskonzepts.

Zusätzlich gehören beispielsweise aktuelle Systeme, Endpoint-Schutz, sinnvolle Benutzerrechte, Backup, sichere Geräte und laufende Überprüfung der Umgebung dazu.

MFA schützt in erster Linie die Anmeldung. Es ersetzt keine anderen Sicherheitsmaßnahmen.

Meine Empfehlung für kleine und mittlere Unternehmen

MFA sollte heute nicht mehr als optionale Zusatzfunktion betrachtet werden.

Für Microsoft 365 Business ist sie ohnehin ein zentraler Bestandteil der grundlegenden Kontosicherheit. Microsoft stellt Security Defaults für Business-Umgebungen bereit und aktiviert darüber standardmäßig wichtige Schutzmechanismen wie MFA. :contentReference[oaicite:7]{index=7}

Entscheidend ist aber auch hier die richtige Umsetzung.

• MFA für alle Benutzer aktivieren
• Administratorkonten besonders schützen
• Geeignete Authentifizierungsmethoden auswählen
• Benutzer über unerwartete MFA-Anfragen informieren
• Wiederherstellungs- und Notfallwege sauber planen

Fazit: Ein Passwort sollte nicht die letzte Schutzlinie sein

Passwörter werden auch weiterhin eine Rolle spielen. Trotzdem sollte der Zugriff auf wichtige Unternehmensdienste nicht ausschließlich davon abhängen, dass ein Kennwort geheim bleibt.

Genau dafür ist Multi-Faktor-Authentifizierung gedacht.

Sie ergänzt die Anmeldung um eine weitere Schutzschicht und verhindert damit viele Angriffe, bei denen ein gestohlenes Passwort sonst bereits ausreichen würde.