Multi-Faktor-Authentifizierung (MFA)

Wie funktioniert Multi-Faktor-Authentifizierung (MFA)?

Bei der Anmeldung gibt der Nutzer zunächst wie gewohnt Benutzername und Passwort ein (Faktor Wissen). Anschließend verlangt das System einen zweiten Nachweis aus einer anderen Kategorie, bevor die Sitzung freigegeben wird. Erst wenn beide Faktoren stimmen, ist die Authentifizierung abgeschlossen.

Entscheidend ist die Unabhängigkeit der Faktoren: Sie müssen aus verschiedenen Kategorien stammen, damit ein Angreifer nicht mit einem einzigen Angriffsweg beide gleichzeitig erbeutet. Zwei Passwörter oder Passwort plus Sicherheitsfrage sind daher keine echte MFA, weil beide zur Kategorie Wissen gehören.

Für den Fall, dass der zweite Faktor verloren geht, sehen seriöse Verfahren Rückfalloptionen vor: einmalig nutzbare Wiederherstellungscodes, ein hinterlegtes Ersatzgerät oder ein definierter Prozess über die IT-Administration. Ohne solche Vorkehrungen droht bei einem verlorenen oder zurückgesetzten Smartphone die Aussperrung aus dem eigenen Konto – die sichere Wiederherstellung ist deshalb integraler Bestandteil einer durchdachten MFA-Einführung und darf nicht selbst zur Schwachstelle werden.

Warum MFA wichtig ist

Passwörter sind der schwächste Punkt der meisten Systeme: Sie werden wiederverwendet, in Leaks veröffentlicht, per Phishing abgegriffen oder durch automatisierte Angriffe (Credential Stuffing, Brute Force) erraten. MFA entkoppelt die Sicherheit vom Passwort allein, weil ein Angreifer zusätzlich den zweiten Faktor benötigt, den er in aller Regel nicht besitzt.

In der Praxis reduziert MFA die Übernahme von Konten drastisch, weil ein erbeutetes Passwort ins Leere läuft. Für Unternehmen ist das besonders relevant bei Systemen mit sensiblen Daten und weitreichenden Berechtigungen. Aus diesem Grund verlangen Cyberversicherungen, Auditoren und Sicherheitsstandards wie ISO 27001 heute in der Regel MFA für privilegierte und extern erreichbare Zugänge.

MFA ist dabei kein Allheilmittel: Schlecht umgesetzte Verfahren lassen sich umgehen, etwa durch MFA-Fatigue-Angriffe, bei denen Nutzer mit Push-Anfragen bombardiert werden, bis sie versehentlich bestätigen. Wirksam wird MFA erst durch phishing-resistente Faktoren, klare Prozesse für verlorene Geräte sowie Schulung der Beschäftigten. Sicherheit entsteht aus dem Zusammenspiel von Technik und Organisation, nicht aus dem Aktivieren eines einzelnen Schalters.

Multi-Faktor-Authentifizierung (MFA) im ERP-System

Ein ERP-System bündelt hochsensible Geschäftsdaten: Finanzbuchhaltung, Kunden- und Lieferantenstammdaten, Preise, Bestände und Zahlungsläufe. Ein kompromittierter Zugang kann Warenbetrug, manipulierte Überweisungen oder Datendiebstahl ermöglichen. MFA ist daher ein zentraler Baustein, um ERP-Konten abzusichern – insbesondere bei Cloud-ERP, das über das offene Internet erreichbar ist.

Technisch wird MFA im ERP entweder nativ von der Software bereitgestellt oder über eine vorgelagerte Identitätsverwaltung per Single Sign-on umgesetzt. In beiden Fällen greift die Prüfung, bevor die eigentlichen Rollen und Rechte des Nutzers wirksam werden. Sinnvoll ist eine risikobasierte Staffelung: kritische Aktionen wie Zahlungsfreigaben oder Administratorzugänge erfordern MFA zwingend, während Routinezugriffe im Firmennetz mit weniger Reibung auskommen.

Abgrenzung: MFA vs. 2FA und verwandte Begriffe

Zwei-Faktor-Authentifizierung (2FA) ist der Spezialfall der MFA mit genau zwei Faktoren; MFA ist der Oberbegriff und umfasst auch drei oder mehr Faktoren. Umgangssprachlich werden beide oft gleichgesetzt, technisch ist 2FA eine Teilmenge von MFA.

Abzugrenzen ist MFA von der reinen Zwei-Schritt-Verifizierung, bei der beide Schritte demselben Faktor entstammen können – dann liegt keine echte Mehr-Faktor-Sicherheit vor. Ebenfalls verwandt, aber nicht identisch, ist Single Sign-on (SSO): SSO regelt, dass eine Anmeldung für mehrere Systeme gilt, sagt aber nichts über die Zahl der Faktoren aus. MFA und SSO ergänzen sich, ersetzen einander aber nicht.

DACH-Besonderheiten und rechtlicher Rahmen

Im DACH-Raum wird MFA durch mehrere Rahmenwerke gestützt. Die DSGVO fordert in Art. 32 „geeignete technische und organisatorische Maßnahmen" zum Schutz personenbezogener Daten – MFA gilt hier bei sensiblen Systemen als Stand der Technik. Der IT-Grundschutz des BSI empfiehlt MFA ausdrücklich für administrative und aus dem Internet erreichbare Zugänge.

Im Zahlungsverkehr ist eine starke Kundenauthentifizierung (SCA) mit mindestens zwei Faktoren durch die EU-Richtlinie PSD2 seit Jahren verpflichtend – ein Alltagsbeispiel für gesetzlich vorgeschriebene MFA. Für Unternehmen bedeutet das: MFA ist längst nicht mehr nur „nice to have", sondern in vielen Kontexten Voraussetzung für Compliance, Versicherbarkeit und den sicheren Betrieb geschäftskritischer Systeme.