Zwei-Faktor-Authentifizierung im Unternehmen
Zwei-Faktor-Authentifizierung im Betrieb einführen: welche Verfahren das BSI empfiehlt, welche Konten zuerst dran sind und wie Sie Aussperren vermeiden.
Bei der Zwei-Faktor-Authentifizierung reicht das Passwort allein nicht mehr zum Anmelden. Zusätzlich braucht es etwas, das nur die berechtigte Person besitzt, zum Beispiel eine App auf dem Diensthandy oder einen kleinen Sicherheitsschlüssel. Wer Ihr Passwort ergaunert, kommt damit allein nicht in Ihr Konto.
Warum das so viel bringt
Passwörter werden heute massenhaft durch gefälschte Anmeldeseiten abgegriffen oder aus Datenlecks anderer Dienste ausprobiert. Ein zweiter Faktor macht genau diese häufigen Angriffe deutlich schwerer. Das BSI empfiehlt, ihn überall einzuschalten, wo ein Dienst das anbietet, und ihn nicht wieder abzuschalten.
Wo Sie anfangen sollten
Zuerst bei den Zugängen, über die ein Angreifer am meisten Schaden anrichten kann: E-Mail-Postfächer, Microsoft 365 oder vergleichbare Cloud-Dienste, Fernzugänge ins Firmennetz, Online-Banking, die Verwaltung Ihrer Domain und Website sowie alle Administratorkonten.
Was es kostet
Authenticator-Apps sind meist kostenlos, Sicherheitsschlüssel kosten pro Stück einen überschaubaren Betrag. Der größere Aufwand ist organisatorisch: Alle müssen eingewiesen werden, und es muss geregelt sein, was passiert, wenn ein Handy verloren geht.
Der nächste Schritt
Lassen Sie sich eine Liste aller wichtigen Online-Zugänge Ihres Betriebs geben und markieren Sie, wo der zweite Faktor schon aktiv ist. Schließen Sie die Lücken in der Reihenfolge oben.
Begriffe und Grundprinzip
Das BSI spricht von Zwei-Faktor-Authentisierung, im allgemeinen Sprachgebrauch ist Zwei-Faktor-Authentifizierung verbreitet; gemeint ist dasselbe. Der Nachweis der Identität stützt sich auf zwei Faktoren aus unterschiedlichen Kategorien:
- Wissen: Passwort oder PIN.
- Besitz: Smartphone mit App, Hardware-Token, Chipkarte.
- Biometrie: Fingerabdruck oder Gesicht.
Zwei Faktoren derselben Kategorie, etwa zwei Passwörter, zählen nicht. Mehr-Faktor-Authentisierung (MFA) ist der Oberbegriff für zwei oder mehr Faktoren.
Verfahren im Vergleich
Hardware-Token nach FIDO2/U2F und Passkeys
Kryptografische Verfahren, bei denen ein privater Schlüssel auf einem Gerät liegt. Das BSI bewertet hardwarebasierte Verfahren als besonders sicher. Ein wichtiger Vorteil: Der Schlüssel ist an die echte Domain des Dienstes gebunden, eine gefälschte Anmeldeseite erhält keine gültige Antwort. Passkeys funktionieren nach demselben Prinzip ohne Passwort. Das BSI empfiehlt, zu prüfen, wo Passkeys schon möglich sind.
Authenticator-App (TOTP oder Push)
Die App erzeugt zeitbasierte Einmalcodes oder bestätigt Anmeldungen per Push-Nachricht. Gute Wahl für die meisten Dienste. Schwäche: Codes können auf einer täuschend echten Phishing-Seite abgefragt und sofort weitergereicht werden. Bei Push-Verfahren sollte eine Zahl abgeglichen werden, damit Mitarbeitende nicht reflexhaft auf «Bestätigen» tippen.
SMS-Codes
Besser als gar kein zweiter Faktor, aber schwächer als App oder Token. Das BSI weist darauf hin, dass der Code nicht auf demselben Gerät empfangen werden sollte, auf dem man sich anmeldet. Für Administratorkonten und Fernzugänge sollte SMS nicht das Mittel der Wahl sein.
Zwei-Faktor-Authentifizierung einführen: Reihenfolge
- Administratorkonten aller Systeme und Cloud-Mandanten. Das BSI nennt in seinen Top-10-Maßnahmen gegen Ransomware ausdrücklich den Schutz privilegierter Konten mit zweitem Faktor.
- Fernzugänge wie VPN, Remote-Desktop-Gateways und Fernwartung. Auch hier empfiehlt das BSI Zugänge nur mit Zwei-Faktor-Authentisierung.
- E-Mail und Cloud-Dienste für alle Beschäftigten, weil kompromittierte Postfächer oft der Ausgangspunkt für Betrug und weitere Angriffe sind.
- Geschäftskritische Dienste wie Online-Banking, Buchhaltung, Domain- und Hosting-Verwaltung, Shop- und Website-Backend.
- Übrige Dienste, sobald sie einen zweiten Faktor anbieten.
Organisatorische Regeln
Ersatzfaktor und Wiederherstellung
Das BSI rät, mehr als einen zweiten Faktor zu hinterlegen, damit ein verlorenes oder defektes Gerät nicht zum Ausschluss führt. Im Betrieb heißt das: zwei Sicherheitsschlüssel für Administratoren, Wiederherstellungscodes sicher verwahrt, ein dokumentierter Ablauf für das Zurücksetzen.
Zurücksetzen nur nach sicherer Prüfung
Der Prozess zum Zurücksetzen eines Faktors ist ein beliebtes Angriffsziel. Ein Anruf «Ich habe mein Handy verloren, bitte schalten Sie den Code ab» darf nicht genügen. Legen Sie fest, wie die Identität geprüft wird, etwa durch Rückruf unter bekannter Nummer oder persönliches Erscheinen.
Ausnahmen begrenzen
Ältere Protokolle wie POP3, IMAP oder SMTP mit einfacher Anmeldung umgehen den zweiten Faktor. In Cloud-Diensten sollten solche Verfahren abgeschaltet sein. Notfallkonten ohne zweiten Faktor sind nur mit sehr langem Passwort, sicherer Verwahrung und Überwachung vertretbar.
Einführung im Team
Vorbereitung
Legen Sie fest, welches Verfahren für welche Konten gilt, und beschaffen Sie bei Bedarf Diensthandys oder Hardware-Token. Prüfen Sie, ob Ihre Cloud-Dienste zentrale Richtlinien bieten, mit denen der zweite Faktor für alle Konten erzwungen werden kann, statt ihn jedem Einzelnen zu überlassen.
Einrichtung
Kündigen Sie die Umstellung mit einigen Tagen Vorlauf an und erklären Sie in zwei Sätzen, warum sie nötig ist. Bewährt hat sich ein gemeinsamer Termin, an dem alle ihren zweiten Faktor mit Unterstützung einrichten und die Wiederherstellungscodes sicher ablegen. Wer an diesem Tag fehlt, bekommt einen Nachholtermin.
Kontrolle
Die meisten Cloud-Dienste zeigen in der Verwaltung, welche Konten noch ohne zweiten Faktor sind. Sehen Sie diese Übersicht nach der Einführung und danach regelmäßig an. Neue Konten sollten von Anfang an mit zweitem Faktor angelegt werden; das gehört in den Ablauf beim Eintritt neuer Mitarbeitender.
Einordnung in IT-Grundschutz und NIS-2
Im IT-Grundschutz-Kompendium behandelt der Baustein ORP.4 «Identitäts- und Berechtigungsmanagement» die Authentisierung; für Fernzugänge sind unter anderem NET.3.3 «VPN» und OPS.1.2.5 «Fernwartung» einschlägig. Für Einrichtungen, die unter NIS-2 fallen, nennt Artikel 21 der Richtlinie die Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung ausdrücklich als Maßnahme.
Häufige Einwände
«Das ist zu umständlich»: Der Mehraufwand liegt meist bei wenigen Sekunden pro Anmeldung. Zudem merken sich viele Dienste vertrauenswürdige Geräte, sodass der zweite Faktor nicht bei jeder Anmeldung abgefragt wird. «Die Mitarbeitenden wollen keine App auf dem privaten Handy»: Dann sind Diensthandys oder Hardware-Token die Lösung, oft sogar die bessere.
Häufige Fragen
Ist SMS als zweiter Faktor sicher genug?
SMS ist besser als kein zweiter Faktor, gilt aber als schwächer als Authenticator-Apps oder Hardware-Token. Für Administratorkonten und Fernzugänge sollten Sie stärkere Verfahren wählen.
Was passiert, wenn ein Mitarbeiter sein Handy verliert?
Deshalb sollten Ersatzfaktoren oder Wiederherstellungscodes hinterlegt und ein Ablauf zum Zurücksetzen festgelegt sein. Dabei muss die Identität sicher geprüft werden, bevor der Faktor zurückgesetzt wird.
Was ist der Unterschied zwischen 2FA und MFA?
Zwei-Faktor-Authentifizierung nutzt genau zwei Faktoren aus verschiedenen Kategorien. Multi-Faktor-Authentifizierung ist der Oberbegriff für zwei oder mehr Faktoren.