Technische Maßnahme
Multi-Faktor-Authentifizierung
Warum MFA die wichtigste Einzelmaßnahme ist
MFA-Methoden im Vergleich
Authenticator-App (TOTP)
Zeitbasierter Einmalcode (30 Sekunden gültig). Funktioniert offline. Apps: Microsoft Authenticator, Google Authenticator, Aegis.
Hardware-Token (FIDO2)
Physischer USB-Stick (z.B. YubiKey). Phishing-resistent, da an die Domain gebunden. Ideal für Hochrisiko-Accounts.
Push-Notification
App sendet Genehmigungsanfrage zum Smartphone. Komfortabel, aber anfällig für MFA-Fatigue-Angriffe (viele Anfragen senden).
SMS-Code
Code per SMS. Besser als kein MFA, aber SIM-Swapping und SS7-Angriffe können SMS abfangen. Nur als letzter Ausweg.
Schritt-für-Schritt: MFA einrichten
Microsoft 365 / Entra ID
- Anmelden als Global Administrator in admin.microsoft.com
- Sicherheit → Authentifizierungsrichtlinien → Mehrstufige Authentifizierung
- Conditional Access Policy erstellen: MFA für alle Benutzer bei allen Cloud-Apps
- Mitarbeiter beim nächsten Login aufgefordert, Microsoft Authenticator einzurichten
- Legacy-Authentifizierung blockieren (verhindert Umgehung über ältere Protokolle)
Google Workspace
- Admin-Konsole öffnen: admin.google.com
- Sicherheit → Authentifizierung → Bestätigung in zwei Schritten
- Erzwingen für alle Nutzer aktivieren
- Empfohlen: Google Authenticator oder Hardware-Token als Methode
- Backup-Codes für jeden Nutzer herunterladen und sicher aufbewahren
Andere Dienste (allgemein)
- Konto-Einstellungen öffnen → Sicherheit oder Zwei-Faktor-Authentifizierung
- Authenticator-App als Methode wählen (nicht SMS)
- QR-Code mit der App scannen (Microsoft Authenticator oder Aegis)
- Einmalcode eingeben, um die Einrichtung zu bestätigen
- Backup-Codes sicher speichern (Passwortmanager oder ausgedruckt im Tresor)
Häufige Fehler vermeiden
MFA-Fatigue-Angriffe
Angreifer senden wiederholt Push-Benachrichtigungen, bis ein Nutzer aus Versehen bestätigt. Lösung: Number Matching aktivieren (Nutzer muss eine Zahl eingeben, die im Login-Formular angezeigt wird) oder auf TOTP/FIDO2 wechseln.
Backup-Codes vergessen/verloren
Ohne Backup-Codes ist ein Account nach Geräteverlust nicht mehr zugänglich. Backup-Codes müssen sicher gespeichert werden – im Passwortmanager oder als Ausdruck in einem physischen Tresor. Niemals als Screenshot auf dem Gerät.
MFA nur für einen Teil der Accounts
Angreifer nutzen den schwächsten Link. MFA muss für alle Accounts gelten, besonders für privilegierte Konten (Admin, Buchhaltung, Geschäftsführung). Ausnahmen schaffen Lücken.
Legacy-Authentifizierung nicht blockiert
Ältere E-Mail-Protokolle (IMAP, POP3, SMTP ohne Auth) unterstützen kein MFA. Angreifer können diese Protokolle nutzen, um MFA zu umgehen. Legacy-Auth muss in Microsoft 365 und Google Workspace explizit blockiert werden.
Empfohlene Prioritäten für die Einführung
Privilegierte Konten
Administratoren, IT-Konten, Geschäftsführung. Sofortiger Schutz der wichtigsten Zugänge.
Alle Mitarbeiter
Rollout auf alle Unternehmenszugänge. Schulungsunterlagen bereitstellen.
Drittanbieter-Dienste
SaaS-Tools, Cloud-Dienste, Buchhaltungssoftware – alle geschäftlichen Konten absichern.