Kurz gesagt
MFA ergänzt das Passwort um mindestens einen weiteren Faktor. Für kleine Unternehmen ist der größte Sicherheitsgewinn meist bei E-Mail, Microsoft- oder Google-Konten, Cloud-Diensten, Fernzugriffen, Admin-Konten und Passwortmanagern zu erreichen. Bevorzugt sollten Passkeys oder Sicherheitsschlüssel verwendet werden; App-Codes sind weiterhin brauchbar, SMS sollte eher nur als Übergangs- oder Wiederherstellungslösung dienen.
Grundprinzip
Was bedeutet MFA überhaupt?
MFA steht für Multi-Faktor-Authentifizierung. Statt sich nur mit einem Passwort anzumelden, muss eine Person zusätzlich einen zweiten unabhängigen Nachweis erbringen. Das kann zum Beispiel ein Gerät, ein Sicherheitsschlüssel oder eine biometrische Bestätigung sein.
Der Vorteil: Selbst wenn ein Passwort durch Phishing, Datenlecks oder Wiederverwendung bekannt wird, reicht es allein nicht mehr für eine Anmeldung aus.
Prioritäten
Welche Konten sollten zuerst abgesichert werden?
Nicht jedes Konto ist gleich kritisch. Bei der Einführung lohnt es sich, zuerst die Zugänge zu schützen, über die ein Angreifer viele weitere Systeme erreichen oder Passwörter zurücksetzen könnte.
E-Mail-Konten
Sie sind häufig der Schlüssel für Passwort-Resets und vertrauliche Kommunikation.
Admin-Konten
Konten mit erweiterten Rechten sollten immer besonders stark geschützt werden.
Cloud- und SaaS-Dienste
Microsoft 365, Google Workspace, Buchhaltung, CRM und ähnliche Systeme gehören weit nach oben.
VPN & Fernzugriff
Externe Zugänge ins interne Netz sollten nie nur von einem Passwort abhängen.
Passwortmanager
Weil dort viele Zugangsdaten zusammenlaufen, ist zusätzlicher Schutz besonders wichtig.
Backups & Hosting
Auch Backup-Systeme und Serverzugänge brauchen MFA, damit Angreifer sie nicht gleich mit übernehmen.
Verfahren im Vergleich
Welche MFA-Methode ist sinnvoll?
Nicht jede Methode bietet denselben Schutz. Besonders wichtig ist, ob eine Anmeldung gegen Phishing geschützt ist oder ob ein Angreifer einen Code einfach auf einer gefälschten Seite abfragen kann.
Passkeys und FIDO2-Sicherheitsschlüssel
Passkeys und FIDO2-Schlüssel gelten heute als sehr starke Lösungen, weil sie an die echte Website beziehungsweise den echten Dienst gebunden sind. Ein gestohlener Code lässt sich hier nicht einfach auf einer Phishing-Seite weiterverwenden.
Authenticator-App
Zeitbasierte Einmalcodes aus Apps sind deutlich besser als nur ein Passwort. Gegen klassische Phishing-Angriffe helfen sie jedoch weniger gut als Passkeys oder FIDO2, weil Nutzer einen Code auf einer gefälschten Seite eingeben können.
Push-Bestätigung
Push-Bestätigungen sind bequem. Gute Systeme zeigen zusätzliche Informationen wie eine Nummer oder den Anmeldeort an. Reines „Bestätigen/Ablehnen“ kann dagegen durch sogenanntes MFA-Fatigue ausgenutzt werden, wenn Angreifer viele Anfragen hintereinander senden.
SMS
SMS ist besser als gar kein zweiter Faktor, sollte für besonders wichtige Konten aber nicht die erste Wahl sein. Gründe sind unter anderem SIM-Swapping, Weiterleitungen und die vergleichsweise schwache Bindung an den eigentlichen Dienst.
Praxisempfehlung
Für kritische Zugänge möglichst phishing-resistente Verfahren einsetzen.
Wo der Dienst es unterstützt, sind Passkeys oder FIDO2-Sicherheitsschlüssel die bevorzugte Wahl. Authenticator-Apps sind weiterhin eine gute Alternative. SMS eignet sich eher als Übergang oder zusätzlicher Wiederherstellungsweg.
Einführung
So lässt sich MFA sauber im Unternehmen einführen
Eine gute Einführung besteht nicht daraus, MFA an einem Freitagabend für alle Konten gleichzeitig einzuschalten. Besser ist ein kontrollierter Ablauf mit Pilotgruppe, klaren Regeln und getesteten Wiederherstellungswegen.
- Konten erfassen: Welche Dienste, Admin-Zugänge und Cloud-Systeme gibt es?
- Priorisieren: E-Mail, Identitätsprovider, Admin-Konten, VPN und Backups zuerst.
- Methode festlegen: Wo möglich Passkeys/FIDO2, sonst Authenticator-App.
- Pilot durchführen: Einführung zunächst mit wenigen Nutzern testen.
- Recovery prüfen: Ersatzgerät, Backup-Code und Admin-Wiederherstellung dokumentieren.
- Rollout: Schrittweise auf alle Mitarbeiter und Systeme ausrollen.
- Kontrolle: Regelmäßig prüfen, ob noch Konten ohne MFA existieren.
Wiederherstellung
Was passiert, wenn das Smartphone verloren geht?
Genau diese Frage muss vor dem Rollout geklärt sein. Sonst führt ein verlorenes oder defektes Gerät schnell dazu, dass ein Mitarbeiter nicht mehr arbeiten kann – oder dass Administratoren im Notfall unsichere Ausnahmen schaffen.
- Backup-Codes sicher und getrennt vom Hauptgerät aufbewahren
- bei kritischen Rollen einen zweiten FIDO2-Schlüssel hinterlegen
- Admin-Wiederherstellungsprozess dokumentieren
- Ersatzgerät oder alternativen Faktor einplanen
- alte Geräte und Faktoren nach Gerätewechsel entfernen
Besonders kritisch
Admin-Konten brauchen strengere Regeln
Ein normales Benutzerkonto und ein Administratorkonto sollten nicht identisch behandelt werden. Administratoren können Einstellungen ändern, Benutzer zurücksetzen und oft auf große Teile der Infrastruktur zugreifen.
- separate Admin-Konten statt täglicher Arbeit mit Vollrechten
- phishing-resistente MFA für Administratoren
- mindestens zwei hinterlegte sichere Faktoren für Notfälle
- keine geteilten Administratorzugänge
- Anmeldeprotokolle und ungewöhnliche Zugriffe regelmäßig prüfen
Typische Fehler
Diese MFA-Fehler sieht man in kleinen Unternehmen häufig
- MFA wird nur für einzelne Mitarbeiter aktiviert, nicht aber für Administratoren.
- Backup-Codes liegen unverschlüsselt auf demselben Rechner wie die Zugangsdaten.
- Gemeinsam genutzte Konten haben einen Faktor auf dem privaten Smartphone eines Mitarbeiters.
- Beim Ausscheiden eines Mitarbeiters bleiben alte Faktoren oder Geräte hinterlegt.
- SMS wird dauerhaft als Standard verwendet, obwohl Passkeys oder Authenticator-Apps verfügbar wären.
- Der Wiederherstellungsprozess wurde nie getestet.
Checkliste
MFA-Check für kleine Unternehmen
- E-Mail-Konten mit MFA abgesichert
- Admin-Konten mit besonders starker MFA geschützt
- Cloud-Dienste und Passwortmanager einbezogen
- VPN und Fernzugriffe abgesichert
- Passkeys oder FIDO2 dort aktiviert, wo sie unterstützt werden
- Backup-Codes und Ersatzfaktoren vorhanden
- Ausscheidende Mitarbeiter verlieren ihre hinterlegten Faktoren sofort
- Wiederherstellungsprozess dokumentiert und getestet
Fazit
MFA ist einfach – wenn sie richtig geplant wird
Für kleine Unternehmen ist MFA eine der Maßnahmen mit besonders gutem Verhältnis zwischen Aufwand und Sicherheitsgewinn. Wichtig ist, nicht nur irgendeinen zweiten Faktor einzuschalten, sondern die wichtigsten Konten zu priorisieren, sichere Methoden zu wählen und Wiederherstellung von Anfang an mitzudenken.
Wer E-Mail, Admin-Zugänge, Cloud-Dienste, Passwortmanager, VPN und Backups konsequent absichert, reduziert das Risiko durch gestohlene Passwörter bereits deutlich.
FAQ
Häufige Fragen zu MFA im Unternehmen
Reicht eine Authenticator-App für kleine Unternehmen aus?
Für viele Konten ist eine Authenticator-App ein guter Schutz. Für besonders kritische Konten wie Administratoren oder zentrale Identitätskonten sind Passkeys oder FIDO2-Sicherheitsschlüssel jedoch noch besser, weil sie stärker gegen Phishing schützen.
Ist SMS als MFA unsicher?
SMS ist besser als nur ein Passwort, aber schwächer als moderne Alternativen. Für wichtige Konten sollte sie möglichst nicht die bevorzugte Methode sein.
Braucht wirklich jeder Mitarbeiter MFA?
Bei geschäftlichen E-Mail-Konten, Cloud-Diensten und internen Systemen ist eine flächendeckende Absicherung sinnvoll. Besonders wichtig sind Konten mit erweiterten Rechten oder Zugriff auf sensible Daten.
Was ist besser: Passkey oder Einmalcode?
Passkeys bieten in der Regel besseren Schutz gegen Phishing. Einmalcodes bleiben eine brauchbare Alternative, wenn ein Dienst noch keine Passkeys oder Sicherheitsschlüssel unterstützt.
Wie verhindert man, dass ein verlorenes Smartphone den Zugang blockiert?
Durch vorher eingerichtete Ersatzfaktoren, Backup-Codes, einen zweiten Sicherheitsschlüssel oder einen klar dokumentierten Admin-Wiederherstellungsprozess.
NulOne IT-Sicherheit
MFA, Passkeys und Zugriffsrechte sauber aufsetzen.
Wir unterstützen kleine Unternehmen dabei, Konten, Rollen und Anmeldeverfahren sinnvoll abzusichern – ohne unnötig komplizierte Prozesse im Arbeitsalltag.