Was ist Multi-Faktor-Authentifizierung?

Multi-Faktor-Authentifizierung, kurz MFA, verlangt mindestens zwei unabhängige Faktoren: etwas, das eine Person weiß, besitzt oder ist. Passwort und PIN sind weiterhin nur Wissensfaktoren. Ein Passwort zusammen mit einem Hardware-Sicherheitsschlüssel verbindet zwei Kategorien und ist damit echte MFA.

Zwei-Faktor-Authentifizierung ist der häufige Fall mit genau zwei Faktoren. MFA ist der Oberbegriff. Sie reduziert Angriffe mit gestohlenen Passwörtern deutlich, dennoch bleiben Implementierung und Auswahl der Faktoren wichtig.

Welche Authentifizierungsfaktoren gibt es?

Zwei Nachweise aus derselben Kategorie ergeben keine echte MFA. Passwort und Sicherheitsfrage sind beispielsweise beide Wissensfaktoren. Biometrische Merkmale dienen auf modernen Geräten häufig dazu, einen lokal gespeicherten kryptografischen Schlüssel freizugeben; der Dienst erhält dabei nicht zwangsläufig den Fingerabdruck selbst.

Wie schützt MFA vor Angriffen?

Bei Credential Stuffing oder einem geleakten Passwort besitzt ein Angreifer nur einen Teil der benötigten Nachweise. Das senkt die Erfolgsquote massenhaft automatisierter Anmeldeversuche erheblich. MFA schützt jedoch nicht jede Aktion nach der Anmeldung. Schadsoftware auf einem bereits angemeldeten Gerät, gestohlene Sitzungscookies oder eine manipulierte Kontowiederherstellung können den zweiten Faktor umgehen. Deshalb gehört MFA zu einer mehrschichtigen Absicherung und ist kein Ersatz für sichere Anwendungen.

Welche MFA-Verfahren sind sinnvoll?

• Passkeys und FIDO2-Schlüssel:
  Sie binden die Anmeldung kryptografisch an den echten Dienst und sind dadurch gegen gewöhnliches Phishing resistent.
• Authenticator-App:
  Zeitbasierte Codes sind weit verbreitet, können aber über eine Echtzeit-Phishing-Seite weitergeleitet werden.
• Push-Freigabe:
  Sie sollte Number Matching, Kontextinformationen und Schutz gegen wiederholte Bestätigungsanfragen bieten.
• SMS-Code:
  Er ist besser als nur ein Passwort, bleibt aber anfällig für SIM Swapping und Risiken im Mobilfunknetz.

Die passende Methode hängt vom Risiko ab. Für administrative Konten, Quellcode, Cloud-Konsolen und besonders sensible Daten sind phishing-resistente Verfahren vorzuziehen. Für weniger kritische Zugänge kann eine Authenticator-App ein pragmatischer Zwischenschritt sein. Ein schwächeres Verfahren sollte nicht unbemerkt als alternativer Login bestehen bleiben.

Wie lässt sich MFA umgehen?

Angreifer können Benutzer mit zahlreichen Push-Anfragen zur unbedachten Freigabe bewegen, Codes in Echtzeit abfangen oder bestehende Sitzungen stehlen. Hinzu kommen Fehler in der Anwendung: einzelne Login-Wege ohne MFA, unzureichend geprüfte API-Endpunkte oder eine Möglichkeit, den zweiten Schritt direkt zu überspringen. Ein Penetrationstest sollte daher nicht nur den sichtbaren Standard-Login, sondern auch Wiederherstellung, Faktorwechsel, alternative Protokolle und Sitzungsverwaltung betrachten.

Was ist bei Einführung und Wiederherstellung wichtig?

1. Zuerst privilegierte und besonders gefährdete Konten absichern.
2. Mehr als einen Faktor registrieren, ohne dauerhaft eine schwache Ausweichmethode zu schaffen.
3. Neue Faktoren, Zurücksetzungen und auffällige Anmeldungen protokollieren und melden.
4. Notfallkonten streng begrenzen, überwachen und regelmäßig testen.
5. Akzeptanz und Fehlerraten beobachten, damit Benutzer MFA nicht durch unsichere Umwege umgehen.

Die Kontowiederherstellung muss mindestens so stark wie der normale Login sein. Backup-Codes, Support-Prozesse und Faktorwechsel sind typische Umgehungswege und brauchen Protokollierung, Verifikation und Benachrichtigung. Andernfalls schützt ein starker Hardware-Schlüssel nur bis zum ersten Anruf beim unzureichend vorbereiteten Support.