Multi-Faktor-Authentifizierung

Die Multi-Faktor-Authentifizierung (MFA) ist ein Sicherheitsverfahren, bei dem ein Zugang erst gewährt wird, wenn eine Person ihre Identität durch mindestens zwei voneinander unabhängige Faktoren belegt. Diese Faktoren stammen aus unterschiedlichen Kategorien: Wissen (z. B. Passwort oder PIN), Besitz (z. B. Smartphone, Hardware-Token oder Smartcard) und Inhärenz (z. B. Fingerabdruck, Gesichts- oder Iriserkennung). Erst die Kombination unabhängiger Faktoren erschwert es Angreifern, sich Zugang zu verschaffen, da der Diebstahl eines einzelnen Faktors nicht mehr ausreicht.

MFA gilt als eine der wirksamsten Maßnahmen gegen Identitätsdiebstahl, Phishing und kompromittierte Zugangsdaten. Mit der NIS2-Richtlinie und ihrer nationalen Umsetzung gewinnt MFA zusätzlich an Bedeutung: Sie ist ausdrücklich als technische Mindestmaßnahme zur Risikobehandlung vorgesehen. Betroffene Einrichtungen müssen MFA oder kontinuierliche Authentifizierungslösungen insbesondere für den Fernzugriff, für privilegierte Konten und für geschäftskritische Systeme einsetzen. Auch der BSI IT-Grundschutz und die ISO/IEC 27001 fordern eine starke Authentifizierung als Bestandteil der Zugriffskontrolle.

Bei der Umsetzung ist die Qualität der Faktoren entscheidend: Phishing-resistente Verfahren wie FIDO2/WebAuthn oder Hardware-Sicherheitsschlüssel bieten ein deutlich höheres Schutzniveau als SMS-basierte Einmalpasswörter, die durch SIM-Swapping oder Abfangen kompromittiert werden können. MFA sollte zudem in ein übergreifendes Identity-and-Access-Management eingebettet, risikobasiert ausgesteuert und durch klare Notfall- und Wiederherstellungsprozesse für verlorene Faktoren ergänzt werden. Die Geschäftsleitung trägt nach NIS2 die Verantwortung dafür, dass solche Maßnahmen wirksam umgesetzt und überwacht werden.