MFA reicht nicht immer aus: Welche Authentifizierungsmethoden sind widerstandsfähiger gegen Phishing?

Benutzername und Passwort bilden beim Schutz wichtiger Unternehmenssysteme inzwischen nur noch eine schwache Grundlage. Ein Passwort kann durch ein Datenleck offengelegt, bei mehreren Diensten wiederverwendet oder durch Phishing erbeutet werden.

Die Multifaktor-Authentifizierung fügt einen weiteren Schritt hinzu. Die Kenntnis des Passworts allein muss einem Angreifer daher nicht genügen. Das bedeutet jedoch noch nicht, dass alle Formen von MFA den gleichen Schutz bieten. Ein Einmalcode kann auf einer betrügerischen Website abgefragt werden. Eine Push-Benachrichtigung kann ein Benutzer unter Druck bestätigen. Und bei ausgefeilterem Phishing kann ein Angreifer auch mit der Authentifizierungssitzung arbeiten.

Die Frage lautet daher nicht mehr nur: Ist MFA aktiviert? Die wichtigere Frage ist: Welche Art von Angriff kann die konkrete Authentifizierung verhindern?

Was MFA eigentlich bedeutet

MFA, multi-factor authentication, also Multifaktor-Authentifizierung, kombiniert bei der Identitätsprüfung mehr als eine Art von Authentifizierungsfaktor.

Typischerweise handelt es sich um:

Faktor	Beispiel
Etwas, das der Benutzer weiß	Passwort oder PIN
Etwas, das der Benutzer besitzt	Telefon, Token, Sicherheitsschlüssel
Etwas, das der Benutzer ist	Fingerabdruck oder Gesichtsbiometrie

 

Es geht nicht darum, dieselbe Prüfung zweimal durchzuführen. Sicherheit entsteht durch die Kombination unabhängiger Faktoren. Wird ein Passwort kompromittiert, muss der Angreifer weiterhin einen weiteren Authentifizierungsmechanismus überwinden.

Gerade deshalb ist MFA ein wichtiger Bestandteil des Schutzes der Unternehmensinfrastruktur. ANASOFT befasst sich damit auch im umfassenderen Kontext von Identitätsschutz, Zugriffssteuerung und dem Zero-Trust-Modell im Artikel Wie Sie verhindern, dass Ihre Unternehmensinfrastruktur gehackt wird. Das Problem entsteht, wenn alle MFA-Methoden als gleichwertig betrachtet werden.

SMS: besser als nur ein Passwort, aber nicht ohne Schwächen

Eine der bekanntesten MFA-Formen ist ein per SMS zugestellter Einmalcode. Das Verfahren ist einfach:

1. der Benutzer gibt das Passwort ein,
2. auf dem Telefon geht ein Einmalcode ein,
3. der Code wird in das Anmeldeformular übertragen.

Der Vorteil ist die Verfügbarkeit. Es sind weder eine separate Authentifizierungs-App noch spezielle Hardware erforderlich. Beim Phishing bleibt jedoch eine wesentliche Schwäche bestehen: Der Code ist eine Information, die übertragen werden kann. Eine betrügerische Website kann vom Benutzer das Passwort erhalten und anschließend auch nach dem SMS-Code fragen. Verwendet der Angreifer die Daten laufend gegenüber dem legitimen Dienst, kann der Benutzer in Wirklichkeit die Anmeldung des Angreifers autorisieren.

SMS hängt zudem vom Mobilfunknetz und von der Telefonnummer ab, sodass weitere Risiken im Zusammenhang mit dem Telekommunikationskanal bestehen. Das bedeutet nicht, dass SMS-MFA keinen Wert hat. Gegenüber einem Passwort allein stellt sie eine zusätzliche Sicherheitsbarriere dar. Sie sollte jedoch nicht mit einer Methode verwechselt werden, die technisch so konzipiert ist, dass sie Phishing selbst verhindert.

OTP-App: stärkerer Kanal, ähnliches Phishingproblem

Eine weitere verbreitete Methode sind Einmalcodes, die von einer Authentifizierungs-App erzeugt werden. Ein OTP, one-time password, ist nur kurze Zeit gültig und wird nicht per SMS übertragen. Dadurch entfällt ein Teil der mit dem Mobilfunknetz verbundenen Schwächen.

Aus Phishing-Sicht bleibt jedoch ein ähnliches Problem wie bei SMS bestehen: Der Benutzer kann den in der App angezeigten Code auch auf einer betrügerischen Website eingeben. Der Angreifer muss also nicht die Mathematik knacken, die den Code erzeugt. Es genügt, einen Menschen davon zu überzeugen, den gültigen Code an die falsche Website weiterzugeben. Das verdeutlicht den Unterschied zwischen einem starken zweiten Faktor und einer phishingresistenten Authentifizierung.

OTP kann die Sicherheit gegen Angriffe, die ausschließlich auf einem gestohlenen Passwort beruhen, deutlich erhöhen. Das Authentifizierungsprotokoll selbst verhindert jedoch nicht, dass der Benutzer die einmalig gültige Information an eine Phishing-Website weitergibt.

Push-Benachrichtigung: Komfort hat eine neue Art von Problem geschaffen

Mobile Authentifizierungs-Apps können statt der Eingabe eines Codes eine Push-Benachrichtigung anzeigen: Anmeldung zulassen? Der Benutzer drückt eine Schaltfläche und die Authentifizierung wird fortgesetzt. Das ist bequem, schafft aber eine neue Form des Social Engineering: MFA-Ermüdung, auch als Push-Bombing bezeichnet.

Der Angreifer kennt das Passwort bereits und versucht wiederholt, sich anzumelden. Beim Benutzer gehen Authentifizierungsanfragen ein. Eine. Noch eine. Und noch eine. Ziel ist es, den Benutzer dazu zu bringen, eine davon:

• versehentlich zu bestätigen,
• aus Gewohnheit zu genehmigen,
• oder nur deshalb zu bestätigen, damit die Benachrichtigungen aufhören.

Auch ein solcher Angriff bricht die Technologie selbst nicht. Er nutzt die Art aus, wie Menschen mit dem Authentifizierungsprozess interagieren. Bei der Push-Authentifizierung werden daher zusätzliche Mechanismen eingesetzt, zum Beispiel die Anzeige des Anmeldekontexts oder der Abgleich einer Zahl zwischen Anmeldebildschirm und Authentifizierungs-App. Das ändert jedoch nichts am Grundprinzip: Das Ergebnis der Authentifizierung hängt weiterhin davon ab, ob der Benutzer eine legitime Anfrage richtig erkennt.

Nicht alle MFA-Methoden schützen vor denselben Angriffen

Vereinfacht lassen sich die Unterschiede wie folgt zusammenfassen:

Methode	Hauptvorteil	Phishingrisiko
SMS Code	Einfache Einführung	Code kann abgefragt werden
OTP App	Code ist von SMS unabhängig	Code kann abgefragt werden
Push-Bestätigung	Bequeme Nutzung	Gefälschte oder wiederholte Anfragen
Passkey	Kryptografische Überprüfung des Dienstes	Für Phishingresistenz konzipiert
FIDO2-Sicherheitsschlüssel	Starke kryptografische Überprüfung	Für Phishingresistenz konzipiert

 

Die Tabelle bedeutet nicht, dass die ersten drei Optionen nutzlos sind. Sie alle können gegenüber einem Passwort allein eine erhebliche Verbesserung darstellen. Der Unterschied besteht darin, ob der Schutz weiterhin voraussetzt, dass der Mensch richtig erkennt, wem er die Authentifizierungsdaten übermittelt oder welche Anmeldung er genehmigt.

Was eine phishingresistente Authentifizierung bedeutet

Phishingresistente Authentifizierung soll verhindern, dass ein gefälschter Dienst, der sich als legitimer Dienst ausgibt, ein Authentifizierungsgeheimnis oder ein nutzbares Authentifizierungsergebnis erhält. Der entscheidende Unterschied besteht darin, dass die Sicherheit nicht mehr nur von der Aufmerksamkeit des Benutzers abhängt.

Die aktuelle Richtlinie NIST SP 800-63B-4 definiert Phishingresistenz als Eigenschaft eines Authentifizierungsprotokolls, das verhindert, dass nutzbare Authentifizierungsdaten an einen betrügerischen Prüfer übermittelt werden, ohne sich auf die Wachsamkeit des Benutzers zu verlassen. Bei AAL2 soll mindestens eine phishingresistente Authentifizierungsoption verfügbar sein.

Das ist ein wesentlicher Wandel. Bei OTP kann der Sicherheitsmechanismus mit dem Satz enden: Der Code darf nicht auf einer betrügerischen Website eingegeben werden. Bei phishingresistenter Authentifizierung soll der technische Mechanismus selbst verhindern, dass die Authentifizierung gegenüber dem falschen Dienst funktioniert.

Passkeys: Der Benutzer gibt kein Geheimnis mehr ein

Ein Passkey verwendet anstelle eines Passworts oder Einmalcodes kryptografische Schlüssel. Vereinfacht dargestellt:

• der Dienst kennt den öffentlichen Teil des Schlüssels,
• der private Teil bleibt auf dem Gerät oder in einem sicheren Ökosystem geschützt,
• der Benutzer entsperrt die Anmeldung beispielsweise per Biometrie oder mit der PIN des Geräts,
• die Authentifizierung wird kryptografisch an einen bestimmten Dienst gebunden.

Im Gegensatz zu einem Passwort oder OTP gibt es hier keinen Code, der aus einer legitimen Anwendung kopiert und in ein Phishing-Formular eingegeben werden könnte. Die FIDO Alliance erklärt, dass Passkeys auf FIDO-Standards basieren und kryptografische Schlüsselpaare verwenden. Ein Passkey ist kryptografisch an einen bestimmten Dienst gebunden. Auf einer betrügerischen Website, die lediglich eine legitime Anmeldung nachahmt, kann er daher nicht auf dieselbe Weise wie ein Passwort oder Einmalcode verwendet werden. Genau diese Bindung ist eine der Grundlagen der Phishingresistenz.

Passkeys sind inzwischen nicht mehr nur eine experimentelle Technologie. Laut einer Studie der FIDO Alliance vom Mai 2026 wurden sie im Arbeitsumfeld von 68 % der 1.400 befragten Führungskräfte in Organisationen mit mehr als 500 Beschäftigten in zehn Ländern eingesetzt oder eingeführt. Es handelt sich um Umfragedaten und nicht um eine allgemeingültige Adoptionsrate aller Unternehmen; sie zeigen jedoch, dass sich die Technologie in Richtung einer breiteren Nutzung bewegt.

Und welche Rolle spielt dabei FIDO2?

Passkey und FIDO2 sind keine zwei konkurrierenden Authentifizierungsmethoden. FIDO2 bezeichnet eine Reihe von Standards, die WebAuthn und das Client to Authenticator Protocol (CTAP) kombiniert. Auf diesen Standards basieren moderne FIDO-Anmeldedaten, einschließlich Passkeys. In der Praxis kann ein Authentifikator zum Beispiel vorhanden sein:

• direkt im Computer oder Telefon,
• in einem verwalteten Gerät,
• als eigenständiger Hardware-Sicherheitsschlüssel.

Nicht alle diese Möglichkeiten haben automatisch dasselbe Betriebsmodell. Für ein Unternehmen kann beispielsweise wichtig sein, ob ein Passkey zwischen Geräten synchronisiert wird oder an ein bestimmtes Gerät gebunden bleibt, wie seine Wiederherstellung gelöst wird und welche Anforderungen für Administratorkonten gelten. Der bloße Satz „Wir verwenden Passkeys“ ersetzt daher noch keine Sicherheitsrichtlinie.

Biometrie ist kein an den Server gesendetes Passwort

Bei Passkeys kann der Benutzer die Anmeldung per Fingerabdruck oder Gesichtserkennung bestätigen. Dadurch kann der Eindruck entstehen, dass biometrische Daten an den Webdienst übertragen werden. Bei der FIDO-Authentifizierung dient die Biometrie jedoch typischerweise dazu, den Authentifikator lokal zu entsperren. Die FIDO Alliance erklärt, dass biometrische Informationen bei diesem Modell das Gerät des Benutzers nicht verlassen.

Der Dienst erhält einen kryptografischen Nachweis, kein Foto des Gesichts und keine Datenbank mit Fingerabdrücken. Diese Unterscheidung ist auch bei der Kommunikation mit Beschäftigten wichtig, denn das biometrische Entsperren eines Geräts und die zentrale Speicherung biometrischer Daten sind zwei verschiedene Dinge.

Stärkere MFA sollte dort beginnen, wo eine Kompromittierung die größten Auswirkungen hat

Nicht alle Unternehmenskonten bergen dasselbe Risiko. Die Kompromittierung eines Benutzers mit Zugriff auf ein einzelnes internes Tool hat andere potenzielle Auswirkungen als die Kompromittierung eines Kontos, das Folgendes kann:

• weitere Benutzer anlegen,
• Passwörter zurücksetzen,
• Sicherheitsrichtlinien ändern,
• auf Sicherungen zugreifen,
• Cloud-Infrastruktur verwalten,
• die Identitätskonfiguration ändern,
• oder Sicherheitskontrollen deaktivieren.

Daher sind privilegierte Konten und Administratorkonten eine natürliche Priorität bei der Einführung stärkerer Authentifizierung.

Kontotyp	Potenzielle Auswirkungen einer Kompromittierung
Gewöhnlicher Benutzer	Zugriff auf seine Daten und Anwendungen
Finanzrolle	Zahlungen, Rechnungsstellung, Finanzdaten
HR	Persönliche Daten und Personaldaten
IT-Administrator	Weitreichende Systemberechtigungen
Identitäts-Administrator	Konten, MFA und Zugriffsrichtlinien
Backup-Administrator	Wiederherstellung und Sicherungen
Cloud-Administrator	Infrastruktur und Dienste

 

Die Tabelle legt keine universelle Rangfolge fest. Das konkrete Risiko hängt von der Unternehmensarchitektur und den Berechtigungen ab. Sie zeigt jedoch, warum es möglicherweise nicht sinnvoll ist, Authentifizierungsmethoden ausschließlich nach Bequemlichkeit oder für jeden Benutzer einheitlich einzuführen. Eine sensiblere Rolle kann ein höheres Maß an Sicherheit erfordern.

MFA muss mit minimalen Berechtigungen kombiniert werden

Auch phishingresistente Authentifizierung löst nicht alle Identitätsprobleme. Verfügt ein legitimes Konto über unnötig weitreichende Berechtigungen, verringert eine starke Authentifizierung zwar die Wahrscheinlichkeit einer Übernahme, verändert aber nicht das Ausmaß des Schadens, falls es dennoch zu einer Kompromittierung kommt. Identitätsschutz umfasst daher zwei unterschiedliche Fragen: Ist dies wirklich ein berechtigter Benutzer? Und was darf dieser Benutzer tun?

An diesen Grundsatz knüpft auch das Zero-Trust-Konzept an, das Vertrauen nicht allein darauf stützt, dass ein Benutzer eine Anmeldung einmal erfolgreich durchlaufen hat. ANASOFT befasst sich mit dem umfassenderen Prinzip der Überprüfung von Identität, Gerät und Berechtigungen im Artikel über Zero-Trust-Sicherheit. MFA ist somit ein Bestandteil der Zugriffssteuerung und kein Ersatz dafür.

Der Angriff kann auch nach erfolgreicher Anmeldung weitergehen

Stärkere Authentifizierung löst einen wesentlichen Teil des Problems, das Sicherheitsmodell darf jedoch nicht am Anmeldebildschirm enden. Nach der Kompromittierung einer Identität oder Sitzung können Ereignisse auftreten wie:

• eine ungewöhnliche Anmeldung,
• Zugriff auf ein neues System,
• eine ungewöhnliche Menge heruntergeladener Daten,
• eine Änderung von Berechtigungen,
• die Erstellung eines neuen Authentifizierungsmechanismus,
• oder Aktivitäten zu einer Zeit und in einem Kontext, die nicht zum Benutzer passen.

Daher wird die Authentifizierung durch Monitoring und die Fähigkeit ergänzt, den Kontext zu bewerten. Ausführlicher befasst sich der Artikel Die 5 häufigsten Fehler in der IT-Sicherheit, die Unternehmen machen mit der Notwendigkeit eines mehrschichtigen Schutzes und weist auf das Problem hin, sich statt auf systematische Sicherheit auf isolierte Maßnahmen zu verlassen.

Stärkere Authentifizierung darf keine schwächere Kontowiederherstellung schaffen

Beim Umstieg auf Passkeys oder Hardware-Sicherheitsschlüssel konzentriert man sich leicht nur auf den primären Anmeldeprozess. Ein Konto muss jedoch auch Situationen berücksichtigen, in denen:

• das Gerät verloren geht,
• der Authentifikator nicht mehr funktioniert,
• ein Beschäftigter das Telefon wechselt,
• ein neuer Mitarbeiter seinen ersten Zugriff erhält,
• ein Administrator ein Konto wiederherstellen muss,
• oder ein Benutzer das Unternehmen verlässt.

Wenn die primäre Anmeldung phishingresistent ist, das Konto aber über einen deutlich schwächeren Mechanismus wiederhergestellt werden kann, kann ein Angreifer versuchen, die starke Authentifizierung über den Wiederherstellungsprozess zu umgehen.

Die FIDO Alliance weist auf dem Weg zu einer phishingresistenten Umgebung ausdrücklich darauf hin, dass es nicht genügt, eine neue Anmeldemethode einzuführen; der gesamte Lebenszyklus einschließlich der Wiederherstellung muss sicher gestaltet werden. Für ein Unternehmen ist Authentifizierung daher ein Prozess und nicht nur ein Anmeldebildschirm.

Welche MFA-Strategie sollte man also wählen?

Es gibt keine einzelne Regel, die für jede Organisation und jedes System optimal wäre. Die Entscheidung sollte vom Risiko ausgehen. Wichtige Fragen sind zum Beispiel:

• welche Daten oder Systeme das Konto schützt,
• über welche Berechtigungen der Benutzer verfügt,
• ob das System über das Internet erreichbar ist,
• welche Folgen eine Kontoübernahme hätte,
• ob die Authentifizierungsmethode phishingresistent ist,
• wie die Kontowiederherstellung gelöst wird,
• und wie die Authentifizierung während des gesamten Lebenszyklus des Benutzers verwaltet wird.

Bei einem gewöhnlichen Konto kann auch traditionelle MFA gegenüber einem Passwort eine deutliche Verbesserung darstellen. Bei einem Konto mit Zugriff auf sensible Systeme oder mit Administratorberechtigungen ist es sinnvoll, eine stärkere, phishingresistentere Authentifizierung zu verlangen.

NIST verlangt heute bei AAL2, dass Prüfer mindestens eine phishingresistente Option anbieten, und beim Zugriff von Beschäftigten US-amerikanischer Bundesorganisationen ist sie bereits vorgeschrieben. Obwohl dieser Rahmen für slowakische oder tschechische Privatunternehmen nicht automatisch verbindlich ist, veranschaulicht er gut die Richtung, in die sich moderne Authentifizierungsempfehlungen bewegen.

„Wir haben MFA“ ist der Anfang, nicht das Ergebnis einer Sicherheitsanalyse

Die Einführung von MFA ist ein wichtiger Schritt. Die Sicherheit sollte jedoch nicht nur danach beurteilt werden, ob bei einem Konto die Information „MFA aktiviert“ angezeigt wird.

Entscheidend sind:

• die verwendete Authentifizierungsmethode,
• die Art ihrer Implementierung,
• das Risiko des konkreten Kontos,
• der Wiederherstellungsprozess,
• der Umfang der Berechtigungen,
• und die Fähigkeit, ungewöhnliches Verhalten zu erfassen.

Der Unterschied zwischen einem SMS-Code und FIDO2-Authentifizierung betrifft daher nicht nur die Benutzerfreundlichkeit. Es ist ein Unterschied darin, auf welche Art von Angriff der Mechanismus vorbereitet ist. Der ANASOFT-Artikel Das Passwort als erste Schutzmaßnahme erläutert das Grundprinzip der Multifaktor-Authentifizierung.

Die heutige Entwicklung der Authentifizierung führt diesen Gedanken weiter: Ziel ist es nicht mehr nur, einen zweiten Faktor hinzuzufügen, sondern bei sensiblen Zugriffen einen Mechanismus einzusetzen, der auch Phishing selbst besser widerstehen kann.

Von MFA zum Identitätsschutz

Phishing zeigt, warum ein Passwort allein nicht mehr genügt. Heutige Phishing-Techniken zeigen zugleich, warum nicht jede MFA automatisch als gleichwertig gelten kann. Stärkerer Identitätsschutz entsteht durch die Kombination von:

1. einer geeigneten Authentifizierungsmethode,
2. angemessenen Berechtigungen,
3. einem sicheren Lebenszyklus des Kontos,
4. der Überwachung ungewöhnlichen Verhaltens.

Gerade bei Administrator- und anderen kritischen Konten ist die Authentifizierungsmethode von entscheidender Bedeutung, weil erfolgreiches Phishing einem Angreifer unverhältnismäßig weitreichenden Zugriff auf die Unternehmensumgebung verschaffen kann. Ziel ist daher nicht, möglichst viele Authentifizierungsschritte einzuführen. Ziel ist es, ein Authentifizierungsniveau einzusetzen, das dem Risiko des konkreten Zugriffs entspricht.

Starke Authentifizierung beginnt mit der Bewertung risikoreicher Konten

Der Umstieg auf widerstandsfähigere Authentifizierung muss nicht bedeuten, jedes Konto und jede Anwendung sofort zu ändern. Der erste Schritt kann darin bestehen, die Konten und Systeme zu identifizieren, bei denen eine Kompromittierung die größten Auswirkungen hätte – Administratorrollen, Cloud-Dienste, kritische Anwendungen oder Zugriffe externer Benutzer.

Anschließend lässt sich bewerten, wo die bestehende MFA angemessen ist und wo der Umstieg auf Authentifizierungsmechanismen mit höherer Phishingresistenz sinnvoll ist. Stärkere Authentifizierung soll den Benutzern keine zusätzlichen Hürden auferlegen. Sie soll die Wahrscheinlichkeit verringern, dass ein kompromittiertes Passwort oder überzeugendes Phishing zur Kompromittierung eines Unternehmenskontos führt.

Häufig gestellte Fragen