Was ist MFA? Und warum SMS-Codes nicht mehr genügen

Die Definition

Multi-Faktor-Authentifizierung verlangt mindestens zwei Nachweise aus unterschiedlichen Kategorien:

• Wissen – Passwort, PIN
• Besitz – Sicherheitsschlüssel, Smartphone mit Authenticator, Chipkarte
• Inhärenz – Fingerabdruck, Gesicht

Zwei Passwörter sind keine MFA. Passwort plus SMS-Code ist MFA – aber schwache.

Warum MFA so wirksam ist

Der überwiegende Teil erfolgreicher Angriffe beginnt mit gültigen Zugangsdaten: aus Phishing, aus Infostealer-Logs, aus wiederverwendeten Passwörtern nach fremden Datenlecks. MFA entwertet das gestohlene Passwort – der Angreifer hat den zweiten Faktor nicht. Nach übereinstimmender Erfahrung der Incident-Response-Praxis sind Zugänge ohne MFA – VPN, Webmail, RMM-Konsolen – der häufigste Einstiegspunkt für Ransomware.

Wie MFA umgangen wird

MFA-Fatigue / Push-Bombing: Der Angreifer löst mit dem gestohlenen Passwort dutzende Push-Anfragen aus, bis jemand aus Reflex bestätigt. Gegenmaßnahme: Number Matching und Kontextanzeige statt einfacher Ja/Nein-Bestätigung.

Adversary in the Middle: Eine Phishing-Seite leitet Eingaben in Echtzeit an den echten Dienst weiter und stiehlt das Sitzungscookie nach der erfolgreichen MFA. Das Passwort und der Code sind danach egal. Gegen diesen Angriff hilft nur ein Verfahren, das an die Domain gebunden ist.

SIM-Swapping: Übernahme der Rufnummer beim Mobilfunkanbieter. Deshalb gelten SMS-Codes als schwächster Faktor.

Ausnahmen und Alt-Protokolle: Konten ohne MFA, Servicekonten, alte Authentifizierungswege oder "Notfallzugänge" sind die üblichen Lücken.

Die Rangfolge in der Praxis

1. FIDO2 / Passkeys (phishing-resistent) – kryptografisch an die Domain gebunden, funktioniert auf einer Phishing-Seite grundsätzlich nicht. 2. Zertifikatsbasierte Authentifizierung / Smartcard – stark, aber aufwendig im Betrieb. 3. Authenticator-App mit Number Matching – guter Standard für die Breite. 4. TOTP-Code aus einer App – solide gegen Passwortdiebstahl, verwundbar gegen Echtzeit-Phishing. 5. SMS oder E-Mail-Code – besser als nichts, aber nicht für Administratoren.

Sinnvolle Reihenfolge der Einführung

Zuerst alle extern erreichbaren Zugänge: VPN, Webmail, Remote Desktop, RMM, Cloud-Administration. Dann privilegierte Konten – Administratoren gehören auf FIDO2, ohne Ausnahme. Danach die Breite der Belegschaft. Parallel: Alt-Protokolle abschalten, Ausnahmelisten monatlich prüfen, und den Wiederherstellungsprozess absichern – der Helpdesk, der einen Faktor nach einem Anruf zurücksetzt, ist die neue Schwachstelle.

Nächster Schritt

Wollen Sie wissen, welche Zugangsdaten Ihres Unternehmens bereits im Umlauf sind? Risikomonitor durchsucht Infostealer-Logs und Leak-Sammlungen nach Ihren Domains.

[Kostenlose Erstanalyse anfordern](/kontakt) · [Tools ansehen](/tools)