Kurz erklärt
Multi-Faktor-Authentifizierung bedeutet, dass ein Login nicht durch einen einzigen Nachweis abgesichert wird, sondern durch mindestens zwei voneinander unabhängige Faktoren aus drei möglichen Kategorien: etwas, das man weiß (Passwort, PIN), etwas, das man besitzt (Smartphone, Hardware-Token, Sicherheitsschlüssel) und etwas, das man ist (Fingerabdruck, Gesichtserkennung). Selbst wenn Angreifende ein Passwort erbeuten, fehlt ihnen damit der zweite Faktor – und der Zugang bleibt verschlossen.
Entscheidend ist dabei: Nicht jede MFA-Methode bietet denselben Schutz. SMS-Codes und einfache Push-Benachrichtigungen lassen sich heute vergleichsweise leicht umgehen, etwa durch sogenanntes „MFA Prompt Bombing” oder durch Phishing-Seiten, die Einmalcodes in Echtzeit abgreifen. Phishing-resistente Verfahren wie FIDO2-Sicherheitsschlüssel oder Passkeys gelten dagegen als deutlich robuster, weil sie kryptografisch an die jeweilige Website gebunden sind und sich nicht einfach abfangen lassen.
Der teure Irrtum: MFA als einheitliche Checkbox behandeln
Der häufigste Fehler, den Unternehmen machen, ist nicht das Fehlen von MFA – viele Organisationen haben inzwischen irgendeine Form von Zwei-Faktor-Absicherung eingeführt. Der Fehler liegt darin, alle Konten und Anwendungsfälle mit derselben, meist der bequemsten Methode abzusichern. Eine SMS-TAN für das Buchhaltungssystem ist etwas völlig anderes als eine SMS-TAN für den privaten Streaming-Dienst.
Typische Schwachstellen, die sich in der Praxis immer wieder zeigen:
Erstens werden privilegierte Konten – Administratorinnen und Administratoren, Geschäftsführung, IT-Verantwortliche – oft genauso behandelt wie normale Nutzerkonten, obwohl gerade sie das lohnendste Ziel für Angreifende darstellen. Zweitens fehlt eine Differenzierung nach Risiko: Der Fernzugriff auf ein ERP-System mit Kundendaten erfordert ein anderes Schutzniveau als der Login in ein internes Wiki. Drittens wird MFA häufig nur für die Kernsysteme eingeführt, während Cloud-Dienste, Partnerportale oder Legacy-Anwendungen außen vor bleiben – und genau dort setzen Angreifende an, weil der Umweg über ein schwächer geschütztes System oft zum selben Ziel führt.
Hinzu kommt ein organisatorisches Problem: MFA wird oft als reines IT-Projekt verstanden und nicht als das, was es tatsächlich ist – eine Frage der Unternehmensführung mit rechtlicher Tragweite.
Was im Ernstfall wirklich zählt
Kommt es zu einem Sicherheitsvorfall, entscheidet sich innerhalb der ersten Stunden, ob aus einem technischen Zwischenfall eine existenzielle Krise wird. Drei Dimensionen sind dabei maßgeblich.
Technisch zählt, wie schnell ein kompromittierter Zugang isoliert werden kann und ob die Authentifizierungsarchitektur eine laterale Ausbreitung überhaupt zulässt. Ein Angreifer, der sich mit einem gestohlenen Passwort, aber ohne zweiten Faktor, an der Tür die Zähne ausbeißt, verursacht keinen Schaden. Ein Angreifer, der einmal im Netzwerk ist, weil ein einzelnes Konto ungeschützt blieb, kann sich oft frei bewegen.
Organisatorisch zählt, ob im Vorfeld dokumentiert wurde, welche Systeme welches Schutzniveau benötigen und wer wofür verantwortlich ist. Diese Dokumentation ist im Ernstfall nicht nur intern wichtig, sondern gegenüber Aufsichtsbehörden, Versicherungen und Kundschaft der Nachweis, dass angemessene Sorgfalt vorlag.
Rechtlich zählt inzwischen sehr konkret, ob die eingesetzte Authentifizierung dem aktuellen Stand der Technik entspricht. Mit der NIS2-Richtlinie ist diese Frage für einen erheblichen Teil der europäischen Wirtschaft keine freiwillige Best Practice mehr, sondern eine gesetzliche Pflicht – mit persönlicher Haftung der Geschäftsleitung, wenn sie verletzt wird.
Die Mindestanforderungen, die heute gelten
Mit der NIS2-Richtlinie hat sich die regulatorische Ausgangslage in den vergangenen Monaten deutlich verschärft. Artikel 21 Absatz 2 Buchstabe j verpflichtet betroffene Unternehmen zur Verwendung von Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierungslösungen, „wo angemessen”. Diese Formulierung wird von Aufsichtsbehörden und nationalen Umsetzungen nicht als Ausnahme, sondern als risikobasierter Maßstab verstanden: Bei privilegierten Zugängen, Fernzugriffen und kritischen Anwendungen ist MFA praktisch obligatorisch.
In Deutschland konkretisiert das neu gefasste BSI-Gesetz diese Pflicht für besonders wichtige und wichtige Einrichtungen ausdrücklich, einschließlich gesicherter Kommunikationswege. In Österreich zieht das NISG 2026 mit vergleichbaren Vorgaben nach. Betroffen sind damit branchenübergreifend mehrere Zehntausend Unternehmen in der DACH-Region – von Energieversorgern über Gesundheitsdienstleister bis zu vielen Zulieferbetrieben, die über Lieferkettenanforderungen indirekt einbezogen werden. Bei Verstößen drohen Bußgelder bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
Wichtig für die praktische Umsetzung: Reine Passwortstärke reicht als alleinige Maßnahme nicht mehr aus, und nicht jede MFA-Methode wird von Aufsichtsbehörden und Standards wie BSI-Grundschutz oder ISO 27002 gleich bewertet. SMS-basierte Verfahren gelten als schwächste noch akzeptierte Variante, während App- oder hardwarebasierte, phishing-resistente Lösungen dem heutigen Stand der Technik entsprechen. Für Unternehmen bedeutet das: Die Wahl der Methode ist keine reine Komfortfrage mehr, sondern Teil der Compliance-Bewertung.
Welche Methode zu welchem Risiko passt
Statt einer einzigen Lösung für das ganze Unternehmen lohnt sich ein gestuftes Modell, das die Stärke der Authentifizierung an die Sensitivität des jeweiligen Zugangs koppelt.
Für Standardzugänge mit geringem Risiko – etwa interne Kommunikationstools ohne sensible Daten – kann eine App-basierte Authentifizierung mit zeitbasierten Einmalcodes ein vernünftiger Ausgangspunkt sein. Für Zugänge mit mittlerem Risiko, etwa Fachanwendungen mit personenbezogenen Daten oder Finanzinformationen, sollten Unternehmen auf Push-basierte Verfahren mit zusätzlicher Kontextprüfung setzen, die verdächtige Anmeldeversuche erkennen, statt jede Anfrage blind zu bestätigen. Für Hochrisikozugänge – Administratorenrechte, Fernzugriff auf kritische Systeme, alles, was mit rechtsgültigen elektronischen Signaturen oder digitalen Identitäten zusammenhängt – führt an phishing-resistenten Verfahren wie FIDO2-Sicherheitsschlüsseln oder Passkeys kein Weg vorbei.
Diese Abstufung ist kein Selbstzweck. Sie verhindert, dass Sicherheitsmaßnahmen an der Stelle am stärksten sind, wo sie am wenigsten gebraucht werden, während die eigentlich kritischen Zugänge unterversorgt bleiben.
Wo qualifizierte Vertrauensdiensteanbieter ansetzen
Genau an dieser Stelle wird deutlich, warum Authentifizierung und digitale Identität nicht getrennt betrachtet werden sollten. Ein Unternehmen, das ohnehin elektronische Signaturen einsetzt oder mit qualifizierten Vertrauensdiensten arbeitet, verfügt bereits über Identitätsprüfungsmechanismen, die sich für eine risikoadäquate Authentifizierung nutzen lassen – von der einmaligen, rechtsgültigen Identifizierung von Mitarbeitenden bis zur Anbindung an bestehende Signaturprozesse.
Qualifizierte Vertrauensdiensteanbieter bringen dabei zwei Dinge mit, die reine IT-Sicherheitslösungen oft nicht leisten: regulatorische Tiefe, die über die technische Implementierung hinausgeht und eIDAS-konforme Nachweisbarkeit sicherstellt, sowie Erfahrung aus Branchen, in denen Identitätssicherheit schon lange keine Kür, sondern Grundvoraussetzung ist. Wer die Einführung von MFA mit einer generellen Stärkung der digitalen Identitätsinfrastruktur verbindet – etwa durch qualifizierte elektronische Signaturen oder Identitätsprüfungen, die auch vor Aufsichtsbehörden Bestand haben – löst nicht nur ein akutes Sicherheitsproblem, sondern schafft eine Grundlage, die mit kommenden Anforderungen wie der EUDI Wallet kompatibel ist.
Der nächste Schritt
Multi-Faktor-Authentifizierung ist heute keine Frage des Ob mehr, sondern des Wie: welche Methode für welches Risiko, wie die Umsetzung rechtswirksam dokumentiert wird und wie sie sich in eine umfassendere Identitätsstrategie einfügt. Unternehmen, die diese Fragen jetzt beantworten, sind nicht nur gegenüber Aufsichtsbehörden auf der sicheren Seite, sondern schützen sich vor den tatsächlichen wirtschaftlichen Folgen eines Sicherheitsvorfalls.
Wenn Sie herausfinden möchten, wie sich Authentifizierung, digitale Identität und elektronische Signaturen in Ihrem Unternehmen sinnvoll zusammenführen lassen, sprechen Sie mit unseren Expertinnen und Experten für digitale Vertrauensdienste. Gemeinsam lässt sich in einem unverbindlichen Gespräch schnell klären, wo Ihr Unternehmen heute steht – und welche Schritte sich am meisten lohnen.
