loskan.io
@

Multi-Factor Authentication (MFA)

DefinitionZusätzlicher Login-Faktor (App/SMS/Token) neben Passwort.

Multi-Factor Authentication (MFA) ist ein Sicherheitsverfahren für Logins, bei dem neben dem Passwort mindestens ein weiterer Nachweis erforderlich ist – zum Beispiel ein Code aus einer Authenticator-App, eine SMS oder ein Hardware-Token. Dadurch wird der Zugriff auf Cloud- und SaaS-Konten deutlich besser geschützt, selbst wenn ein Passwort gestohlen oder erraten wurde.

Was bedeutet Multi-Factor Authentication (MFA)?

„Multi-Factor“ heißt: Mehrere unabhängige Faktoren müssen zusammenpassen. In der Praxis sind das meist zwei (2FA als Sonderfall von MFA). Die Faktoren kommen aus unterschiedlichen Kategorien:

  • Wissen: etwas, das man weiß (z. B. Passwort, PIN)
  • Besitz: etwas, das man hat (z. B. Smartphone-App, SMS, Hardware-Token)
  • Biometrie: etwas, das man ist (z. B. Fingerabdruck, Face ID)

Wichtig ist: MFA ist nicht „noch ein Passwort“, sondern eine zusätzliche Hürde, die Angreifer typischerweise nicht mitgestohlen bekommen.

Wie funktioniert MFA in Cloud & SaaS?

Bei typischen SaaS-Tools (Microsoft 365, Google Workspace, CRM, Buchhaltung, Projektmanagement) läuft MFA meist so ab:

  • 1) Login: Nutzer gibt Benutzername und Passwort ein.
  • 2) MFA-Abfrage: Das System fordert einen zweiten Faktor an.
  • 3) Bestätigung: Nutzer bestätigt z. B. per App-Code (TOTP), Push-Freigabe, SMS-Code oder Hardware-Key (FIDO2/WebAuthn).
  • 4) Zugriff: Erst nach erfolgreicher Prüfung wird der Zugang freigeschaltet.

Viele Anbieter erlauben zusätzlich „vertrauenswürdige Geräte“ oder „Remember me“-Optionen, damit nicht bei jedem Login erneut bestätigt werden muss. Für Admin-Konten sollte man das jedoch sehr restriktiv handhaben.

Warum ist MFA für KMU-Geschäftsführer relevant?

In Cloud & SaaS ist das Benutzerkonto oft der „Hauptschlüssel“ zu E-Mail, Dateien, Kundendaten und Rechnungen. Passwörter werden in der Realität häufig wiederverwendet oder fallen Phishing zum Opfer. MFA reduziert das Risiko von Kontoübernahmen massiv, weil ein Angreifer zusätzlich Zugriff auf das Smartphone/Token oder die Biometrie bräuchte.

Konkrete Business-Auswirkungen, die MFA verhindert oder abmildert:

  • CEO-Fraud & E-Mail-Kompromittierung: Angreifer lesen mit und veranlassen Zahlungen.
  • Ransomware-Einstieg über Cloud-Accounts: Zugriff auf Dateien/Backups wird missbraucht.
  • Datenschutzvorfälle: Unbefugter Zugriff auf personenbezogene Daten (Relevanz für Datenschutz (DSGVO/GDPR) & KI).
  • Ausfallzeiten: Gesperrte Konten, Incident Response, Betriebsunterbrechung.

Welche MFA-Methoden sind sinnvoll (und welche weniger)?

  • Sehr gut: Hardware-Sicherheitsschlüssel (FIDO2/WebAuthn). Hoher Schutz gegen Phishing.
  • Gut: Authenticator-Apps (zeitbasierte Codes/TOTP oder Push). Weit verbreitet und praktikabel.
  • Nur „okay“: SMS-Codes. Besser als gar nichts, aber anfälliger (z. B. SIM-Swapping, Abfangen).

Für KMU ist eine praxistaugliche Empfehlung: Authenticator-App als Standard und Hardware-Key für Admins (z. B. IT-Admin, M365/Google-Admin, Finanz-Admin).

Was kostet MFA?

Oft ist MFA in SaaS-Plänen bereits enthalten (z. B. über die Identitätsverwaltung des Anbieters). Zusätzliche Kosten entstehen typischerweise durch:

  • Lizenz-/Security-Tiers (je nach Anbieter und Funktionen wie Conditional Access)
  • Einführung & Schulung (Aufwand für Rollout, Support, Recovery-Prozesse)
  • Hardware-Keys (einmalig pro Nutzer/Administrator)

Unterm Strich ist MFA meist eine der günstigsten Maßnahmen mit dem größten Sicherheitshebel – besonders in Cloud- und SaaS-Umgebungen.

  • 99,9%

    weniger Kontoübernahmen

    Multi-Factor Authentication blockiert den Großteil automatisierter Account-Übernahmen und senkt damit besonders für KMU das Risiko durch gestohlene Passwörter deutlich.

  • 61%

    Passwortangriffe dominieren

    Ein großer Teil von Sicherheitsvorfällen startet mit kompromittierten oder schwachen Zugangsdaten, weshalb MFA im B2B-Umfeld zu den wirksamsten Basismaßnahmen gehört.

  • 2,2x

    höhere Sicherheitsreife

    KMU mit MFA, zentralem Identity-Management und Rollenrechten erkennen und begrenzen Zugriffsrisiken im Schnitt deutlich schneller als Unternehmen nur mit Passwortschutz.

  • MFA für den sicheren Zugriff auf Cloud-Buchhaltung einführen

    Ein KMU kann den Zugang zu Buchhaltungs- und Banking-Tools zusätzlich mit Authenticator-App oder Hardware-Token absichern, damit gestohlene Passwörter nicht direkt zu finanziellen Schäden führen. Besonders bei externen Steuerberatern, Geschäftsführung und Mitarbeitenden mit Zahlungsfreigaben reduziert MFA das Risiko von Kontoübernahmen und unberechtigten Transaktionen deutlich.

  • Remote-Zugänge im Kundenservice mit MFA absichern

    Wenn Service-Mitarbeitende aus dem Homeoffice auf Ticketsystem, CRM oder VoIP-Plattform zugreifen, sorgt MFA für einen zusätzlichen Schutz sensibler Kundendaten. So kann ein mittelständisches Unternehmen verhindern, dass kompromittierte Passwörter allein ausreichen, um Support-Konten zu übernehmen oder Kundenvorgänge einzusehen.

  • Administrator-Konten in der Produktion besonders schützen

    Produktionsnahe IT-Systeme wie ERP, Lagerverwaltung oder Maschinen-Dashboards werden oft von wenigen Schlüsselpersonen administriert und sind daher ein attraktives Angriffsziel. Mit MFA für Admin- und Wartungskonten kann ein KMU unbefugte Änderungen an Beständen, Aufträgen oder Systemkonfigurationen wirksam erschweren.

Häufig gestellte Fragen

Was ist Multi-Factor Authentication (MFA)?

MFA ist ein Login-Schutz, bei dem neben dem Passwort mindestens ein weiterer Faktor nötig ist, z. B. ein App-Code, SMS-Code oder Hardware-Token. Damit bleibt ein Konto oft sicher, selbst wenn das Passwort kompromittiert wurde.

Wie funktioniert Multi-Factor Authentication (MFA) in der Praxis?

Nach Eingabe von Benutzername und Passwort fordert der Dienst eine zweite Bestätigung an, z. B. einen Code aus einer Authenticator-App oder eine Push-Freigabe. Erst wenn beide Prüfungen erfolgreich sind, wird der Zugriff erlaubt.

Warum ist MFA für Cloud- und SaaS-Konten so wichtig?

Cloud-Konten sind häufig der Zugang zu E-Mail, Dateien, CRM und Finanzdaten. MFA senkt das Risiko von Phishing- und Passwortangriffen deutlich und reduziert damit Schäden durch Kontoübernahmen und Datenabfluss.

Welche MFA-Methode ist am sichersten: App, SMS oder Hardware-Token?

Am sichersten sind Hardware-Sicherheitsschlüssel (FIDO2/WebAuthn), weil sie besonders gut gegen Phishing schützen. Authenticator-Apps sind ebenfalls stark und meist der beste Kompromiss; SMS gilt als weniger robust, aber besser als kein MFA.

Was kostet MFA für ein Unternehmen?

In vielen SaaS-Produkten ist MFA bereits im Standardpaket enthalten; zusätzliche Kosten entstehen eher durch höhere Security-Lizenzen, Rollout-Aufwand und ggf. Hardware-Keys. Insgesamt ist MFA meist sehr kosteneffizient im Verhältnis zum Sicherheitsgewinn.

Kann Multi-Factor Authentication (MFA) gehackt oder umgangen werden?

Ja, MFA ist kein absoluter Schutz, erhöht die Sicherheit aber deutlich. Besonders phishing-resistente Methoden wie Hardware-Token oder Passkeys sind viel schwerer anzugreifen als SMS-Codes und schützen Cloud- und SaaS-Konten wesentlich besser vor unbefugtem Zugriff.

Müssen alle Mitarbeiter Multi-Factor Authentication (MFA) nutzen?

Im Idealfall ja, denn MFA schützt nicht nur Admin-Konten, sondern jeden Zugang zu sensiblen Daten und Tools. Gerade bei E-Mail, CRM, Projektmanagement und Cloud-Diensten sollte MFA für das gesamte Team verpflichtend eingerichtet werden.

Wir haben schon viele Tools im Einsatz – wie führst du MFA ein, ohne noch mehr Chaos zu schaffen?

Genau dafür analysiere ich zuerst deine bestehende Tool-Landschaft und prüfe, wo MFA bereits möglich ist, wo Lücken bestehen und wie sich ein einheitlicher Sicherheitsstandard umsetzen lässt. Statt Insellösungen bekommst du eine klare, praktikable Struktur, die zu deinem Unternehmen passt.

Ist die Einführung von MFA für ein kleines Unternehmen nicht zu aufwendig?

Nein, wenn man es sauber priorisiert und strukturiert umsetzt. Ich helfe dir dabei, die wichtigsten Konten zuerst abzusichern, passende MFA-Methoden auszuwählen und dein Team so einzuführen, dass Sicherheit steigt, ohne den Arbeitsalltag unnötig zu verkomplizieren.

Was ist, wenn mein Team technisch nicht besonders fit ist?

Dann ist eine gute Einführung umso wichtiger. Ich richte MFA nicht nur technisch ein, sondern erkläre deinem Team verständlich, wie Authenticator-App, Backup-Codes oder Hardware-Token funktionieren, damit die Lösung im Alltag wirklich genutzt wird.

Kannst du MFA auch im Rahmen einer größeren System- oder Tool-Optimierung mitdenken?

Ja, MFA sollte nie isoliert betrachtet werden, sondern als Teil deiner gesamten Tech- und Sicherheitsstruktur. Im Tech-Gutachten oder in der Tech-Partnerschaft prüfe ich Prozesse, Zugänge und Risiken ganzheitlich und zeige dir, wie Sicherheit, Effizienz und Tool-Nutzung zusammenpassen.

Unterstützt du auch bei der konkreten Umsetzung von MFA in unseren Systemen?

Ja, ich begleite nicht nur die Strategie, sondern auch die praktische Umsetzung. Ob bei bestehenden SaaS-Tools oder im Rahmen einer OrbitOS-Einführung: Ich sorge dafür, dass Zugänge, Rollen, MFA und Schulung so eingerichtet sind, dass dein System sicher und direkt nutzbar ist.

Verwandte Begriffe