Was ist eine Multi-Faktor-Authentifizierung? Wie MFA funktioniert und wo sie versagt

Die Multi-Faktor-Authentifizierung (MFA) ist ein Anmeldeverfahren, bei dem mindestens zwei verschiedene Arten von Nachweisen abgefragt werden, bevor der Zugriff gewährt wird: etwas, das Sie wissen, wie beispielsweise ein Passwort, sowie etwas, das Sie besitzen, wie beispielsweise Ihr Smartphone, oder etwas, das Sie ausmacht, wie beispielsweise Ihr Fingerabdruck. Ein gestohlenes Passwort allein reicht dann nicht mehr aus, um ein Konto zu übernehmen. Damit ist die MFA eine der wirksamsten Sicherheitsmaßnahmen, die ein Unternehmen aktivieren kann.

Doch MFA ist kein Schutzschild. Angreifer haben gelernt, Mitarbeiter mit Anmeldeanfragen zu bombardieren, bis jemand auf „Genehmigen“ tippt, Sitzungs-Cookies über gefälschte Anmeldeseiten zu stehlen und Helpdesks dazu zu bringen, eine Telefonnummer zurückzusetzen. Dieser Artikel erklärt, wie MFA funktioniert, welche Formen sicher sind und welche Schwachstellen aufweisen, wie Angreifer das System umgehen und welche Erwartungen die Aufsichtsbehörden in Großbritannien, der EU und den USA haben.

So funktioniert die Multi-Faktor-Authentifizierung

Jeder Anmeldefaktor gehört zu einer von drei Kategorien. MFA gilt nur dann als Multi-Faktor-Authentifizierung, wenn die Faktoren aus unterschiedlichen Kategorien stammen; zwei Passwörter gelten weiterhin als ein Faktor.

• Etwas, das Sie kennen. Ein Passwort, eine PIN oder die Antwort auf eine Sicherheitsfrage.
• Etwas, das Sie besitzen. Ein Smartphone mit einer Authentifizierungs-App, einen Hardware-Sicherheitsschlüssel oder eine Smartcard.
• Etwas, das Sie ausmacht. Ein Fingerabdruck, ein Gesichtsscan oder ein anderes biometrisches Merkmal, das in der Regel auf Ihrem eigenen Gerät überprüft wird.

Die Zwei-Faktor-Authentifizierung (2FA) ist im Grunde genommen nichts anderes als MFA mit genau zwei Faktoren, und in der Praxis werden die Begriffe synonym verwendet. Wichtiger als die Anzahl der Faktoren ist, wie widerstandsfähig jeder einzelne Faktor gegen Phishing und Manipulation ist.

Formen der MFA, von der schwächsten bis zur stärksten

1. SMS- und Sprachcodes. Besser als ein reines Passwort, aber anfällig für SIM-Swapping, bei dem ein Krimineller einen Mobilfunkanbieter dazu bringt, Ihre Nummer auf seine SIM-Karte zu übertragen.
2. E-Mail-Codes. Diese sind nur so sicher wie das E-Mail-Konto selbst, das häufig durch dasselbe Passwort geschützt ist, über das der Angreifer bereits verfügt.
3. Codes aus der Authentifizierungs-App. Ein sechsstelliger Code, der sich alle 30 Sekunden ändert. Deutlich sicherer als SMS, aber ein Mitarbeiter kann ihn dennoch auf einer gefälschten Anmeldeseite eingeben.
4. Push-Benachrichtigungen mit Nummernabgleich. Die App fordert Sie auf, die Anmeldung zu bestätigen und die auf dem Bildschirm angezeigte Nummer einzugeben. Dadurch werden blindes Bestätigen verhindert, obwohl ein entschlossener Angreifer dennoch versuchen könnte, jemanden dazu anzuleiten.
5. Passkeys und Sicherheitsschlüssel. Da sie auf dem FIDO2-Standard basieren, funktionieren sie nur auf der echten Website, sodass eine Phishing-Seite keine Daten abgreifen kann. Dies bezeichnen Sicherheitsbehörden als phishingresistente MFA.

Wie Angreifer die MFA umgehen

• MFA-Müdigkeit. Mit einem gestohlenen Passwort löst der Angreifer eine Anmeldeanfrage nach der anderen aus, oft nachts, bis der Mitarbeiter schließlich eine davon bestätigt, nur damit die Benachrichtigungen endlich aufhören.
• „Adversary-in-the-Middle“-Phishing. Eine gefälschte Anmeldeseite leitet alle Daten – einschließlich des MFA-Codes – in Echtzeit an die echte Website weiter und stiehlt das Sitzungs-Cookie, das dafür sorgt, dass das Opfer angemeldet bleibt. Unser Überblick über die verschiedenen Arten von Phishing-Angriffen zeigt, wie überzeugend diese Seiten mittlerweile geworden sind.
• SIM-Swapping. Der Angreifer übernimmt die Telefonnummer des Opfers und erhält die SMS-Codes.
• Social Engineering beim Helpdesk. Ein Anrufer gibt sich als Mitarbeiter aus, der „sein Handy verloren hat“, und bittet den IT-Helpdesk, ein neues Gerät zu registrieren. Das funktioniert überraschend oft, da Helpdesks darauf geschult sind, zu helfen.

Was diese Techniken gemeinsam haben, ist, dass sie die Technologie nicht aushebeln. Sie bringen eine Person dazu, den Angreifer durchzulassen. Deshalb gehören MFA und Sensibilisierung untrennbar zusammen.

MFA-Müdigkeit: Wenn ein Mitarbeiter den Angreifer freigibt

Die sogenannte „MFA-Fatigue“, auch als „Push-Bombing“ bezeichnet, erlangte 2022 große Bekanntheit, als sich ein Angreifer auf diese Weise Zugang zum Netzwerk von Uber verschaffte. Nach einer Flut von Push-Anfragen kontaktierte der Angreifer den Mitarbeiter über WhatsApp, gab sich als IT-Support aus und versicherte ihm, dass die Benachrichtigungen aufhören würden, sobald er eine davon genehmige. Der Mitarbeiter gab seine Zustimmung, und der Angreifer hatte Zugang zum System.

Die Abwehrmaßnahmen sind teils technischer, teils menschlicher Natur. Die Nummernabgleichung und die Begrenzung wiederholter Anfragen erschweren den Angriff. Ebenso wichtig ist eine einfache Regel, die jeder Mitarbeiter auswendig kennt: Genehmige niemals eine Anmeldung, die du nicht selbst initiiert hast, und melde unerwartete MFA-Anfragen sofort, denn sie bedeuten, dass jemand bereits dein Passwort hat.

Was die Aufsichtsbehörden erwarten: MFA im Vereinigten Königreich, in der EU und in den USA

• Vereinigtes Königreich. „Cyber Essentials“ schreibt die Multi-Faktor-Authentifizierung (MFA) für Cloud-Dienste vor, sofern diese verfügbar ist, und das NCSC empfiehlt sie für alle wichtigen Konten.
• Europäische Union. In der NIS2-Richtlinie wird die Multi-Faktor-Authentifizierung ausdrücklich als eine der Sicherheitsmaßnahmen aufgeführt, die wesentliche und wichtige Einrichtungen berücksichtigen müssen, und die DSGVO verlangt angemessene technische Maßnahmen zum Schutz personenbezogener Daten. In Deutschland übernimmt § 30 BSIG diese Maßnahme, und das BSI empfiehlt die Zwei-Faktor-Authentisierung, wo immer sie möglich ist.
• Vereinigte Staaten. Die CISA fordert Unternehmen nachdrücklich auf, auf eine phishing-resistente Multi-Faktor-Authentifizierung (MFA) umzustellen, und die „Safeguards Rule“ der FTC schreibt für viele Finanzunternehmen, die mit Kundendaten umgehen, die MFA vor.

Die Entwicklung verläuft überall gleich: MFA wird zum Standard, und die Aufsichtsbehörden fragen zunehmend nicht nur, ob sie aktiviert ist, sondern auch, ob sie gegen Phishing gewappnet ist und ob die Mitarbeiter wissen, wie man sie sicher nutzt.

So führen Sie MFA in fünf Schritten ein

1. Beginnen Sie mit den Konten, die am wichtigsten sind: E-Mail, Fernzugriff, Administratorkonten, Finanzsysteme und alles, was über das Internet erreichbar ist.
2. Wählen Sie die sicherste Methode, die die Nutzer auch tatsächlich anwenden werden. Authentifizierungs-Apps mit Zahlenabgleich als Standard, Passkeys oder Sicherheitsschlüssel für Administratoren und Mitarbeiter in risikoreichen Funktionen.
3. Verschärfen Sie die Sicherheitsvorkehrungen für den Helpdesk. Legen Sie fest, wie sich jemand vor dem Zurücksetzen oder der Neuregistrierung eines Geräts ausweisen muss, und halten Sie sich strikt daran – auch im Falle des Geschäftsführers.
4. Erläutern Sie die Gründe und die Regeln. Mitarbeiter, die sich mit MFA-Müdigkeit und gefälschten Anmeldeseiten auskennen, erkennen einen Angriff, sobald sie ihm begegnen.
5. Behalten Sie den Überblick und führen Sie regelmäßig Schulungen durch. Achten Sie auf wiederholt fehlgeschlagene oder abgelehnte MFA-Anfragen und sorgen Sie durch kurze, wiederkehrende Schulungen dafür, dass die Regeln stets präsent bleiben.

Der Tipp: Trainieren Sie die menschliche Seite von MFA mit Guardey

Guardey sorgt dafür, dass die Mitarbeiter wissen, wie sie sich verhalten müssen, wenn die MFA auf die Probe gestellt wird. Jede Woche erhalten sie eine etwa dreiminütige Aufgabe – auf ihrem Laptop oder in der mobilen App für iOS und Android – zu Themen wie unerwarteten Anmeldeanfragen, gefälschten Anmeldeseiten, Helpdesk-Betrug und Passwort-Hygiene. Gamification mit Bestenlisten und Serien hält die Mitarbeiter bei der Stange, Phishing-Simulationen testen, ob sie eine gefälschte Anmeldeseite erkennen, und auditfähige Berichte zeigen Ihren Fortschritt in Bezug auf NIS2 und ISO 27001. Mehr als 500 Organisationen, darunter das Europäische Parlament, nutzen Guardey bereits. Erfahren Sie, wie unser Sicherheitsbewusstseinstraining funktioniert.

Arbeiten Sie mit einem IT-Partner zusammen? Fragen Sie nach mehr als nur der Aktivierung der MFA

Bei vielen Unternehmen werden die Microsoft 365-Konten, Geräte und Sicherheitsmaßnahmen von einem Managed Service Provider (MSP) verwaltet – einem IT-Unternehmen, das gegen eine monatliche Gebühr die IT anderer Unternehmen betreibt. Für die meisten MSPs ist die Einführung von MFA Routinearbeit. Doch die Angriffe, die die MFA umgehen, zielen auf die Nutzer ab, nicht auf die Konfiguration. Wenn ein MSP Ihre IT verwaltet, fragen Sie nach, wie er Sie vor MFA-Müdigkeit und gefälschten Anmeldeseiten schützt. Für MSPs ist Schulung der logische zweite Teil eines MFA-Dienstes.

Eine Möglichkeit für MSPs, Guardey anzubieten, ist über e92plus, einen Distributor für Cybersicherheit, dessen Portfolio auch Identitäts-, Zugriffs- und Passwortmanagement umfasst. Die hauseigenen Techniker unterstützen Partner von der Demo bis zur Implementierung, sodass Authentifizierung und Sensibilisierung als ein einziger Service verkauft und bereitgestellt werden können.

Häufig gestellte Fragen zur Multi-Faktor-Authentifizierung

Ist MFA dasselbe wie 2FA?

Fast. Bei der Zwei-Faktor-Authentifizierung kommen genau zwei Faktoren zum Einsatz, während bei der Multi-Faktor-Authentifizierung zwei oder mehr Faktoren verwendet werden können. Im alltäglichen Sprachgebrauch bedeuten die Begriffe dasselbe: einen zweiten Identitätsnachweis zusätzlich zum Passwort.

Kann MFA gehackt werden?

MFA selbst wird selten geknackt, kann jedoch umgangen werden. Die gängigsten Methoden sind MFA-Ermüdung, gefälschte Anmeldeseiten, die Sitzungs-Cookies stehlen, SIM-Swapping und das Täuschen eines Helpdesks. Phishing-resistente Methoden wie Passkeys in Kombination mit geschulten Mitarbeitern verhindern die meisten dieser Angriffe.

Was ist MFA-Müdigkeit?

Bei der „MFA-Fatigue“ handelt es sich um einen Angriff, bei dem ein Krimineller, der bereits das Passwort einer Person besitzt, wiederholt Anmeldeanfragen sendet, bis das Opfer aus Ärger oder Verwirrung eine davon genehmigt. Die Regel, um dies zu verhindern, ist einfach: Genehmigen Sie niemals eine Anfrage, die Sie nicht selbst ausgelöst haben, und melden Sie den Vorfall.

Was ist eine Phishing-resistente MFA?

Eine phishing-resistente MFA nutzt Passkeys oder Hardware-Sicherheitsschlüssel auf Basis des FIDO2-Standards. Die Anmeldung ist kryptografisch an die echte Website gebunden, sodass eine gefälschte Seite keine verwertbaren Daten erfassen kann. Sicherheitsbehörden wie die CISA und das NCSC empfehlen diese Methode insbesondere für Administratoren.

MFA ist nach wie vor eine der besten Investitionen in die Sicherheit, die ein Unternehmen tätigen kann. Sie funktioniert jedoch am besten, wenn die Personen, die auf „Genehmigen“ klicken, wissen, wann sie dies nicht tun sollten.