MFA-Best Practices für die Unternehmenssicherheit im Jahr 2026

In 2022 wurden die Systeme von Uber gehackt. von einem 18-Jährigen. Die Multi-Faktor-Authentifizierung (MFA) war aktiviert, doch die Angreifer überfluteten das Smartphone eines Mitarbeiters mit Push-Benachrichtigungen, bis dieser eine bestätigte – nur um die Belästigung zu beenden. Die Authentifizierung funktionierte wie vorgesehen, und der Angreifer gelangte ins System. Dies ist, allgemein gesprochen, ein typischer MFA-Müdigkeitsangriff.

Spulen wir vor ins erste Quartal 2025. Rapid7 stellte fest, dass mehr als 56 % aller Kompromisse resultierte aus gestohlenen Zugangsdaten, da keine Zwei-Faktor-Authentifizierung (MFA) eingerichtet war.

Hacker raten Ihre Passwörter nicht mehr; sie warten darauf, dass Sie ihnen Zugriff gewähren. Die Umgehung der Multi-Faktor-Authentifizierung (MFA) durch Phishing-Kits, Push-Bombing und Adversary-in-the-Middle-Angriffe (AitM) ist kein Einzelfall mehr. Es handelt sich um eine dokumentierte, skalierbare Angriffsstrategie. Eine mangelhafte Implementierung von MFA erzeugt ein falsches Sicherheitsgefühl, das womöglich sogar schlimmer ist als gar keine Sicherheitsrichtlinie.

Scrollen Sie also nach unten und beginnen Sie mit den Grundlagen für bewährte Verfahren der Multi-Faktor-Authentifizierung, denn viele Probleme bei der Implementierung von MFA entstehen durch ein Missverständnis darüber, was MFA eigentlich ist.

Wichtige Erkenntnisse

• Passwortlos ≠ resistent gegen Phishing – diese Unterscheidung ist im Jahr 2026 von großer Bedeutung.
• MFA ist grundlegend, aber nicht alle MFA-Methoden sind gleichwertig.
• Phishing-resistente Methoden (FIDO2, Passschlüssel) sind der Zielzustand.
• Adaptive MFA reduziert Reibungsverluste, ohne die Sicherheitsstandards zu senken.
• Wiederherstellungsprozesse lassen MFA- und Risikoprüfungen häufig aus oder schwächen sie ab; planen Sie sie daher bewusst ein.

Was ist MFA und warum ist es wichtig?

Bevor wir uns mit den Best Practices für MFA befassen, ist es hilfreich, die Grundlagen zu verstehen: Was ist der Unterschied zwischen MFA und 2FA und wie funktioniert die Multi-Faktor-Authentifizierung eigentlich?

MFA-Software erfordert, dass Nutzer ihre Identität anhand von mehr als einem Faktor verifizieren. 2FA-Lösung ist technisch gesehen eine Teilmenge, genauer gesagt zwei Faktoren, obwohl die meisten Anbieter die Begriffe mittlerweile synonym verwenden.

Die drei Kategorien von MFA-Methoden haben sich nicht verändert:

• Etwas, das Sie wissen – Passwörter, PINs
• Etwas, das Sie besitzen – ein Telefon, einen Hardware-Schlüssel
• Etwas, das Sie sind – Biometrie.

Geändert hat sich, wie Angreifer Wege finden, diese Schutzmaßnahmen zu umgehen, was einer der Hauptgründe dafür ist. Warum die Wahl des MFA-Typs wichtig ist noch mehr im Jahr 2026.

MFA-Best Practices, die auch 2026 noch relevant sind

Fehler bei der Multi-Faktor-Authentifizierung (MFA) treten nicht immer auf, weil Unternehmen sie komplett ausgelassen haben. Oft liegt es daran, dass die Implementierung einfach abgebrochen wird. Hier liegen die typischen Schwachstellen.

1. Multi-Faktor-Authentifizierung für alle Benutzer erzwingen, nicht nur für Administratoren.

Administratorkonten sind der offensichtliche Ausgangspunkt, und ja, diese sollten zuerst gesichert werden. Angreifer beschränken sich jedoch nicht auf Administratoren. E-Mail-Konten, VPN-Zugänge und Cloud-Anwendungen sind häufig die eigentlichen Einfallstore. Sobald ein Angreifer Zugriff auf den Posteingang eines normalen Benutzers hat, erledigt die laterale Bewegung den Rest.

Die aus praktischer Sicht sinnvolle Einführungsreihenfolge: Administratoren → VPN → E-Mail → Cloud-Apps → gesamte Organisation.

Bei bedingten Zugriffsrichtlinien kann die MFA schrittweise eingeführt werden, ohne dass alle Funktionen auf einmal für die Benutzer verfügbar sind. Genau hier liegt typischerweise der Grund für den Widerstand gegen die Einführung.

2. Priorisieren Sie Phishing-resistente MFA-Methoden

Nicht alle MFA-Lösungen verhindern Phishing. Das ist der Aspekt, den die meisten Organisationen übersehen.

Phishing-resistente Authentifizierung Diese Methoden funktionieren, weil sie kryptografische Challenge-Response-Mechanismen nutzen, die an den Ursprung der Anmeldeanfrage gebunden sind. Wenn sich ein Benutzer über FIDO2 oder WebAuthn authentifiziert, werden die Anmeldeinformationen an die jeweilige Domäne gebunden. Eine Phishing-Website unter login-microsoft.fake.com kann den Handshake nicht abschließen – der Ursprung stimmt nicht überein. Die Authentifizierung schlägt fehl, bevor der Benutzer dazu verleitet werden kann, irgendetwas zu genehmigen.

Die Methoden, die tatsächlich als phishingresistent gelten:

• FIDO2-Sicherheitsschlüssel
• Biometrische Authentifizierung
• WebAuthn-basierte Authentifizierung
• Passkeys (FIDO-basierte Anmeldeinformationen werden auf einem Gerät anstatt auf einem physischen Schlüssel gespeichert.)

Push-Benachrichtigungen und TOTP-Codes sind zwar besser als gar nichts, bieten aber keine Ursprungsbindung. Ein Phishing-Kit, das einen Angreifer in die Mitte einbindet, kann einen TOTP-Code in Echtzeit abfangen und ihn vor Ablauf der Gültigkeit erneut senden. Dieser Angriff ist nicht theoretisch, sondern wird aktiv eingesetzt.

Der entscheidende Vorteil von phishingresistenten Authentifizierungsmethoden gegenüber TOTP und Push-Benachrichtigungen besteht darin, dass die Authentifizierung auf einer manipulierten Website gar nicht erst abgeschlossen werden kann. Dadurch wird die Möglichkeit ausgeschlossen, dass Nutzer versehentlich betrügerische Anmeldeversuche genehmigen.

3. Vermeiden Sie SMS- und E-Mail-OTP für Hochrisikokonten.

SIM-Swapping ist der Hauptgrund, warum SMS-OTP-Tests bei sensiblen Konten nicht funktionieren. Ein Angreifer bringt einen Mobilfunkanbieter dazu, Ihre Nummer auf seine SIM-Karte zu übertragen. Ab diesem Zeitpunkt geht jeder SMS-Bestätigungscode an ihn. Es handelt sich dabei um Social Engineering gegen den Anbieter, nicht gegen Sie, und die Methode ist weit verbreitet.

SMS- und E-Mail-OTP sollten nur bei geringem Risiko und minimaler Toleranz gegenüber Sicherheitsvorkehrungen eingesetzt werden, beispielsweise bei unkomplizierten Verbrauchertransaktionen. Bei Transaktionen mit Finanzdaten, Administratorzugriffen oder sensiblen Systemen sollten OTPs durch sicherere Methoden wie Grid-Pattern-Matching und Offline-MFA (insbesondere im Verteidigungs- und Regierungssektor) ersetzt werden.

4. Adaptive MFA/risikobasierte MFA verwenden

Eine pauschale Durchsetzung der MFA ist besser als gar keine. Adaptive MFA-Lösungen und Risikobasierte MFA sind besser als pauschale Durchsetzung.

Bedingter Zugriff in adaptiver oder risikobasierter Multi-Faktor-Authentifizierung (MFA) ermöglicht es Ihnen, die Auslöser für eine zusätzliche Authentifizierung festzulegen: ein unbekanntes Gerät, ein ungewöhnlicher Anmeldeort, eine unmögliche Reiseerkennung oder ein Gerät, das nicht Ihren Sicherheitsstandards entspricht. Bekannte Anmeldungen mit geringem Risiko werden schnell abgewickelt. Hochriskante Signale werden hinterfragt. Dieses Modell gewährleistet eine nachhaltige MFA im großen Maßstab ohne ständige Beschwerden.

5. Strategisch auf Passwörter verzichten

Der Verzicht auf Passwörter ist der richtige Schritt, doch der Weg dorthin hängt von der Ausgangssituation ab. Organisationen, die eine passwortlose Sicherheitsarchitektur evaluieren, sollten sich daher mit folgenden Aspekten auseinandersetzen: passwortlose Authentifizierungslösung sollten ihre Vorgehensweise an ihre bestehende Infrastruktur und Sicherheitsanforderungen anpassen.

• Greenfield-Implementierung? Setzen Sie von Anfang an auf passwortloses Arbeiten. Überspringen Sie die weniger sicheren Zwischenschritte und vermeiden Sie technische Schulden, die Sie später wieder abbauen müssen.
• Bestehende Infrastruktur? Führen Sie zunächst phishingresistente Methoden ein. Beginnen Sie dort, wo das Angriffspotenzial am größten ist: Administratorkonten, privilegierte Zugänge, kritische Systeme.

Ein Unterschied, der ständig übersehen wird: Passwortlos ist nicht automatisch resistent gegen Phishing.

Passwortlose Authentifizierung eliminiert zwar das Passwort, aber nicht die Sitzung. Angreifer können auch passwortlose Authentifizierung abfangen, Proxys nutzen oder sich durch Social Engineering Zugang verschaffen, wenn diese nicht auf Phishing-resistenten Standards basiert. Passkeys, die auf FIDO2 und WebAuthn basieren, schließen diese Sicherheitslücke.

6. Zentralisierung des MFA-Richtlinienmanagements

Eine fragmentierte MFA-Richtlinie stellt ein Sicherheitsrisiko dar. Wenn einige Anwendungen sie über ein System erzwingen und andere sie unterschiedlich handhaben, entstehen Inkonsistenzen, und Angreifer finden diese Sicherheitslücken schneller, als Ihre Audit-Logs sie erfassen.

Zentralisieren Sie die Verwaltung über Ihren Identitätsanbieter. Integrieren Sie Single Sign-On (SSO), um eine einheitliche Anwendung der Richtlinie zu gewährleisten. Bei privilegierten Zugriffen sollten Sie PAM-Tools (Privileged Access Management) einbinden, um eine strengere Überprüfung für erhöhte Zugriffsrechte zu ermöglichen. Diese Architektur macht ein Zero-Trust-Modell nicht nur zu einem Wunschtraum, sondern auch tatsächlich umsetzbar.

7. Planen Sie die Kontowiederherstellung sorgfältig.

Die Wiederherstellung ist der am häufigsten vernachlässigte Aspekt jeder MFA-Implementierung und oft das schwächste Glied. Wenn ein Angreifer die MFA durch die Beantwortung von drei Wissensfragen zurücksetzen kann, ist der Rest Ihrer Authentifizierungsrichtlinie bedeutungslos.

Bewährte Verfahren zur Wiederherstellung: Nutzen Sie Stufenweise Überprüfungzum Beispiel die Bestätigung der Anfrage von einem zuvor registrierten Gerät oder die Anforderung einer Administratorgenehmigung für Konten mit hohen Berechtigungen, Bereitstellung von Hardware-Backup-Schlüsseln und Authentifizierungs-App für besonders wertvolle Konten, damit die Benutzer eine sichere Ausweichlösung haben, falls ihr primäres Gerät nicht verfügbar ist.

Der Supportaufwand durch Wiederherstellungsanfragen sollte ebenfalls vor dem Start eingeplant werden, nicht erst danach.

8. Überwachen, Prüfen, Verbessern

Die Multi-Faktor-Authentifizierung (MFA) ist keine einmalige Angelegenheit. Das Sicherheitsteam sollte Authentifizierungsereignisse protokollieren, fehlgeschlagene MFA-Versuche verfolgen und Richtlinien regelmäßig überprüfen, um sich verändernde Angriffsmuster zu erkennen.

Organisationen sollten zumindest Signale wie die folgenden erfassen:

• Wiederholte Fehlschläge bei der Multi-Faktor-Authentifizierung oder Ablehnungen der Genehmigung
• Mehrere MFA-Anfragen wurden innerhalb kurzer Zeit ausgelöst.
• Anmeldeversuche von ungewöhnlichen Standorten
• Sitzungsanomalien

Diese Audits helfen der Organisation auch dabei, die Einhaltung gängiger Sicherheitsrahmen und -vorschriften wie SOC 2, ISO 27001, HIPAA und PCI DSS zu gewährleisten. Organisationen, die MFA als einmalige Implementierung und nicht als fortlaufende Sicherheitsmaßnahme behandeln, entwickeln im Laufe der Zeit oft Sicherheitslücken.

Befolgen Sie diese 8 Best Practices für MFA, und Sie sind den meisten Unternehmen einen Schritt voraus. Es ist jedoch wichtig zu verstehen, womit Sie es genau zu tun haben, denn die Angriffe auf MFA im Jahr 2026 sind und werden gezielter sein als je zuvor.

Vier Gründe, warum sich die Best Practices für Multi-Faktor-Authentifizierung weiterentwickeln mussten

Herkömmliche oder schlecht implementierte Multi-Faktor-Authentifizierung (MFA) lässt sich heutzutage leicht umgehen. Phishing-as-a-Service (PhaaS)-Toolkits sind mittlerweile vorkonfiguriert, um OTP-Codes und Session-Token in Echtzeit zu erfassen, wodurch die Anforderungen an den Diebstahl von Zugangsdaten deutlich gesenkt werden.

Token-Diebstahl

Anstatt die Authentifizierung zu umgehen, stehlen Angreifer das Sitzungstoken nach dessen Ausstellung. Da die Multi-Faktor-Authentifizierung bereits erfolgt ist, bleibt das Sitzungstoken gültig und ermöglicht es Angreifern, weiterhin als legitimer Benutzer mit dem System zu interagieren.

Laut dem Verizon-Bericht zur Untersuchung von Datenschutzverletzungen aus dem Jahr 2025 wurde der Missbrauch von Zugangsdaten verursacht 22 % der Verstöße im Jahr 2025Dies zeigt, wie die Hacker Authentifizierungssitzungen ausnutzen, anstatt die Anmeldekontrollen direkt zu umgehen.

Adversary-in-the-Middle (AiTM) Phishing

Ein Proxy befindet sich zwischen dem Nutzer und dem legitimen Dienst und leitet Anmeldeinformationen und MFA-Codes in Echtzeit weiter. Der Nutzer sieht die scheinbar echte Website. Der Angreifer sieht jedoch alles.

MFA-Müdigkeit (Push-Bombing)

Angreifer überfluten Benutzer mit Push-Authentifizierungsanfragen, bis jemand eine genehmigt, nur um den Angriff zu stoppen. Nummernabgleich hilft, löst das Problem aber nicht vollständig. In solchen Fällen MFA-Müdigkeit In solchen Fällen nutzen Angreifer die menschliche Psychologie auf lehrbuchmäßige Weise aus; Beharrlichkeit siegt letztendlich über ungeduldige Nutzer.

OTP-Wiederholung

Einmalpasswort (OTP) Replay bedeutet das Abfangen und Wiederverwenden von Einmalpasswörtern (OTPs) in Echtzeit, bevor diese ablaufen. In den meisten Fällen erfassen Angreifer die OTPs. zeitbasierte Einmalpasswörter (TOTP) oder SMS-OTPs während einer Phishing-Sitzung und diese sofort wiedergeben, um die Authentifizierung abzuschließen. Dieser Angriff ist mittlerweile weitgehend automatisiert durch Phishing-as-a-Service (PhaaS) und Tools zum Abfangen von Anmeldeinformationen/OTPs.

Alle vier Angriffsmethoden haben eines gemeinsam: Sie nutzen die Lücke zwischen Identitätsnachweis und abgeschlossener Authentifizierung aus. Genau diese Lücke sollen FIDO2 und WebAuthn schließen.

Einfach ausgedrückt, tun sie Folgendes:

• Ursprungsbindung - beschränkt die Anmeldeinformationen auf eine bestimmte Domäne. Dadurch schlägt die Authentifizierung fehl, bevor der Benutzer zu einer Genehmigung verleitet werden kann.
• Kryptografische Herausforderung-Antwort - Anstatt einen Code zu senden, der abgefangen und wiederholt werden kann, verwendet das Gerät eine kryptografische Herausforderung, die nur für diese Sitzung gültig ist, was bedeutet, dass keine wiederholbaren Tokens vorhanden sind.

Genau das ist es, worauf CISA (Certified Information Systems Auditor) und NIST (National Institute of Standards and Technology) Organisationen aus gutem Grund drängen.

Wenn man weiß, wie Angriffe funktionieren, ändert sich die Herangehensweise an die Lösung, nicht wahr? Doch die Lösung beschränkt sich nicht auf die Multi-Faktor-Authentifizierung (MFA). Sie umfasst die gesamte Zugriffsarchitektur.

B2B vs. B2C MFA Best Practices

Die Multi-Faktor-Authentifizierung (MFA) sieht nicht bei allen Nutzern gleich aus, und die Anwendung der gleichen Konzepte auf Mitarbeiter wie auf Konsumenten ist ein Designfehler, der entweder die Nutzer frustriert oder, schlimmer noch, große Lücken hinterlässt.

Der Kernunterschied lässt sich auf einen einzigen Punkt reduzieren:

Im B2C-Bereich verursachen Reibungsverluste direkte Geschäftskosten. Ein Kunde, der auf einen verwirrenden Authentifizierungsschritt stößt, bricht den Kaufvorgang ab. Das ist messbar. Daher sollte die Multi-Faktor-Authentifizierung (MFA) nur dann eskalieren, wenn das Verhalten vom Standard abweicht, beispielsweise bei ungewöhnlichem Gerät, neuem Standort oder Transaktionen mit hohem Wert.

Im B2B-Bereich werden Benutzer verwaltet. Strengere Kontrollmechanismen sind einsetzbar. Diese Toleranz sollte genutzt werden.

Was sagt das NIST zu Best Practices für die Multi-Faktor-Authentifizierung?

Der NIST-Standard SP 800-63B ist die maßgebliche Referenz. Seine Anweisung ist eindeutig: SMS-basierte Einmalpasswörter (OTP) sollten nicht für hochsichere Authentifizierungsverfahren verwendet werden. Phishing-resistente Authentifizierungsverfahren sind vorzuziehen, wenn das Risikoprofil dies rechtfertigt, und die NIST-Definition von Phishing-Resistenz deckt sich mit dieser Empfehlung. FIDO2 und WebAuthn insbesondere aufgrund der Ursprungsbindung.

Die Verifier Name Binding, also das Konzept, dass eine Anmeldeinformation kryptografisch an einen bestimmten Ursprung gebunden ist, ist der Mechanismus, der echte phishingresistente Authentifizierung von Methoden unterscheidet, die nur oberflächlich betrachtet so aussehen.

Die Richtlinien zur Umsetzung des Payment Card Industry Data Security Standard (PCI DSS) und des Health Insurance Portability and Accountability Act (HIPAA) empfehlen ebenfalls Multi-Faktor-Authentifizierung für privilegierte Zugriffsszenarien und Fernzugriffe. Wenn Ihr Unternehmen in regulierten Branchen tätig ist, stellt die Einhaltung von NIST 800-63B eine sinnvolle Grundlage dar, die häufig auch die Anforderungen angrenzender Rahmenwerke ohne zusätzlichen Aufwand erfüllt.

Fazit

Die in diesem Blog beschriebenen Angriffe sind nicht hypothetisch. Sie finden in großem Umfang statt und richten sich gegen Organisationen, die glaubten, MFA allein reiche aus.

Die MFA im Jahr 2026 richtig umsetzen Das bedeutet, Methoden auszuwählen, die modernen Angriffen standhalten, und nicht nur solche, die lediglich die Compliance-Anforderungen erfüllen. Es bedeutet, die Wiederherstellung zu planen. Es bedeutet, den Unterschied zwischen passwortlosen und phishingresistenten Sicherheitsmaßnahmen zu kennen, bevor man es auf die harte Tour lernen muss.

Wenn Sie den Status Ihrer aktuellen Konfiguration überprüfen oder eine neue von Grund auf aufbauen möchten, decken die MFA-Lösungen von miniOrange das gesamte Spektrum ab – von phishingresistenten Methoden über adaptive Richtlinien und VPN- und Windows-Integration bis hin zur zentralen Verwaltung.

Häufig gestellte Fragen

Was sind die besten Vorgehensweisen im Bereich Multi-Financial Accounting (MFA) für kleine Unternehmen?

Die Implementierung von MFA im gesamten Unternehmen, bei der Methoden wie Hardware-Schlüssel oder Biometrie anstelle von SMS/E-Mail-OTPs eingesetzt werden, gehört zu den wichtigsten Best Practices für MFA in kleinen Unternehmen.

Welche sind die sichersten MFA-Methoden?

FIDO2-Sicherheitsschlüssel und -Passkeys stellen derzeit die stärkste verfügbare MFA-Methode dar. Sie verwenden ein kryptografisches Challenge-Response-Verfahren, das an den Anmeldeursprung gebunden ist. Dadurch können Phishing-Kits und Adversary-in-the-Middle-Angriffe keine verwertbaren Daten abfangen.

Was ist bedingter Zugriff über Multi-Faktor-Authentifizierung (MFA)?

Der bedingte Zugriff ist eine Richtlinienebene in der Multi-Faktor-Authentifizierung (MFA), die die Authentifizierungsanforderungen automatisch anpasst, basierend auf Echtzeit-Risikosignalen, Gerätekonformität, Anmeldeort, Benutzerverhaltensmustern und mehr.

Was sind die wichtigsten Merkmale einer zuverlässigen MFA-Lösung?

Achten Sie auf VPN- und Windows-Login-Integration, IdP-Kompatibilität, Unterstützung phishingresistenter Methoden, zentralisierte Richtlinienverwaltung, detaillierte Audit-Protokolle und klar definierte Wiederherstellungsabläufe.

Wie lange dauert die Implementierung von MFA?

Für eine einfache TOTP- und Push-Bereitstellung dauert die Einrichtung auf Mandantenseite in der Regel 30–60 Minuten. Tests unter Berücksichtigung von Grenzfällen, VPN-Verbindungen, Integrationen älterer Anwendungen und Wiederherstellungsszenarien verlängern die Dauer.