Mehrfaktor-Authentifizierung einführen: ein praxisnaher Fahrplan

Mehrfaktor-Authentifizierung, kurz MFA, ergänzt das Passwort um einen weiteren Nachweis. Das kann eine Bestätigung auf einem registrierten Gerät, ein Sicherheitsschlüssel oder ein lokal erzeugter Einmalcode sein. Ein gestohlenes Passwort reicht dadurch nicht mehr automatisch für eine Anmeldung. Der technische Schalter ist bei vielen Diensten schnell gefunden. Ein guter unternehmensweiter Rollout braucht dennoch Vorbereitung, denn Kontowiederherstellung, Vertretungen und ältere Anwendungen müssen genauso funktionieren wie der normale Login.

Mit den wichtigsten Zugängen beginnen

Nicht jedes Konto hat dieselbe Tragweite. Zuerst sollten die Identitäten geschützt werden, über die weitere Systeme zurückgesetzt oder administriert werden können. Dazu gehören in der Regel E-Mail-Konten, zentrale Identitätsanbieter, Cloud-Verwaltung, Passwortmanager, Fernzugänge und administrative Konten. Danach folgen Fachanwendungen und weitere Benutzerkonten. Diese Reihenfolge verhindert, dass das Projekt an einer vollständigen Bestandsaufnahme aller kleinen Dienste hängen bleibt.

Für jede Anwendung sollte dokumentiert werden, welche MFA-Verfahren sie unterstützt, wer sie nutzt und welcher Wiederherstellungsweg vorgesehen ist. Besonders wichtig sind alte Protokolle oder Anwendungen, die MFA umgehen können. Ein modernes Anmeldeverfahren hilft wenig, wenn parallel noch ein ungeschützter Altzugang aktiv bleibt.

Das passende Verfahren auswählen

MFA-Verfahren unterscheiden sich in Bedienung und Schutzwirkung. Ein per SMS übermittelter Code ist meist besser als ein Passwort allein, kann aber von Problemen beim Mobilfunkempfang oder bei einer übernommenen Rufnummer betroffen sein. Authenticator-Apps erzeugen Codes unabhängig vom Mobilfunknetz. Push-Bestätigungen sind bequem, sollten jedoch die angefragte Anmeldung deutlich anzeigen, damit Nutzende nicht aus Gewohnheit jede Anfrage bestätigen.

Für besonders schützenswerte Konten bieten sich phishing-resistente Verfahren wie FIDO2-Sicherheitsschlüssel oder Passkeys an. Sie binden die Anmeldung an den echten Dienst und reduzieren damit das Risiko, einen Code auf einer gefälschten Anmeldeseite einzugeben. Welches Verfahren passt, hängt von Geräten, Arbeitsplätzen, Reiseanforderungen und den unterstützten Funktionen des jeweiligen Dienstes ab.

Pilotgruppe statt Überraschungsrollout

Eine kleine Pilotgruppe sollte verschiedene Alltagssituationen abdecken: Büroarbeitsplatz, mobiles Arbeiten, gemeinsame Funktionsabläufe und Administration. Die Pilotphase zeigt, ob Geräte registriert werden können, Anleitungen verständlich sind und Anwendungen unerwartet neue Anmeldungen verlangen. Erst wenn diese Wege zuverlässig funktionieren, wird schrittweise auf weitere Gruppen erweitert.

1. Konten und Anwendungen nach Risiko priorisieren.
2. Unterstützte Verfahren und Altprotokolle erfassen.
3. Ein Standardverfahren und zulässige Alternativen festlegen.
4. Pilotgruppe mit unterschiedlichen Arbeitsweisen auswählen.
5. Support, Wiederherstellung und Geräteaustausch praktisch testen.
6. Rollout in überschaubaren Gruppen durchführen und nachverfolgen.

Wiederherstellung sicher planen

Ein verlorenes oder defektes Smartphone darf nicht zum dauerhaften Kontoverlust führen. Gleichzeitig darf der Support MFA nicht nach einem kurzen Telefonat abschalten. Deshalb braucht es einen festgelegten Prozess zur Identitätsprüfung. Je nach Organisation können vorab ausgegebene Wiederherstellungscodes, ein zweiter Sicherheitsschlüssel oder eine kontrollierte Freigabe durch berechtigte Personen sinnvoll sein.

Wiederherstellungscodes gehören nicht in denselben Passwortmanager, wenn dessen Zugriff von genau diesem MFA-Verfahren abhängt. Administrative Notfallkonten sollten besonders geschützt, überwacht und nur für dokumentierte Ausnahmen verwendet werden. Auch Vertretungen erhalten eigene Konten und Faktoren; gemeinsam genutzte Anmeldedaten erschweren Nachvollziehbarkeit und Widerruf.

Gerätewechsel als Standardfall behandeln

Ein neues Smartphone, ein zurückgesetztes Gerät oder der Wechsel einer Rufnummer ist kein seltener Notfall. Der reguläre Ablauf sollte deshalb festlegen, wie ein neuer Faktor registriert, der bisherige Faktor entfernt und die Änderung bestätigt wird. Nach dem Wechsel wird geprüft, ob alte Geräte oder Sitzungen weiterhin mit dem Konto verbunden sind. So bleibt die Wiederherstellung kontrolliert, ohne den Arbeitsalltag unnötig zu blockieren.

Einführung verständlich begleiten

Für den MFA-Rollout brauchen Mitarbeitende vor allem klare Antworten: Warum wird MFA eingeführt, welches Gerät wird benötigt, wie läuft die Registrierung und an wen wendet man sich bei Problemen? Kurze bebilderte Anleitungen und feste Supportzeiten während der Umstellung vermeiden unnötige Unsicherheit. Gleichzeitig sollte erklärt werden, dass unerwartete Bestätigungsanfragen abgelehnt und gemeldet werden müssen. Das ergänzt die allgemeine Sicherheitsaufklärung, ersetzt sie aber nicht.

Nach dem Rollout ist die Arbeit nicht beendet. Neue Konten müssen MFA direkt bei der Einrichtung erhalten, ausgetauschte Geräte brauchen einen kontrollierten Wechsel und Ausnahmen sollten ein Ablaufdatum besitzen. Regelmäßige Prüfungen zeigen, ob noch Konten ohne zweiten Faktor oder unsichere Altverfahren aktiv sind. Unterstützung bei Bestandsaufnahme, Priorisierung und technischer Härtung finden Sie unter IT-Sicherheit.