Ein typischer Verlauf: Eine Mitarbeiterin erhält eine täuschend echte E-Mail, öffnet den Link und gibt ihr Microsoft-365-Passwort auf einer gefälschten Anmeldeseite ein. Ist das Konto nur mit dem Passwort geschützt, kann sich der Angreifer damit anmelden, E-Mails mitlesen und weitere Angriffe vorbereiten. Multi-Faktor-Authentifizierung (MFA) setzt genau hier an: Für die Anmeldung reicht das Passwort allein nicht mehr.
Dieser Beitrag erklärt, wie MFA funktioniert, welche Verfahren es gibt, wo ihre Grenzen liegen und wie Sie MFA in Microsoft 365 schrittweise einführen.
Was ist Multi-Faktor-Authentifizierung?
Bei der Multi-Faktor-Authentifizierung weisen Sie sich mit mindestens zwei Merkmalen aus verschiedenen Kategorien aus. Das BSI unterscheidet in seinen Hinweisen zu MFA für NIS-2-Einrichtungen drei Kategorien:
- Wissen: etwas, das Sie kennen, zum Beispiel Passwort oder PIN.
- Besitz: etwas, das Sie haben, zum Beispiel Smartcard, Hardware-Token oder ein Software-Token auf dem Smartphone.
- Biometrie: ein körperliches Merkmal, zum Beispiel der Fingerabdruck.
Entscheidend ist die Verbindung von Faktoren aus unterschiedlichen Kategorien. Zwei Passwörter hintereinander sind keine MFA. Das BSI hält einen mehrstufigen Anmeldeprozess mit Faktoren derselben Kategorie ausdrücklich für ungeeignet und empfiehlt MFA mit geeigneten Wissens- und Besitzfaktoren.
Wie sich die Anmeldung von Passwörtern zu Passkeys entwickelt hat, beschreibt unser Beitrag Von Passwörtern zu Passkeys. Wie Sie Passwortregeln sinnvoll gestalten, lesen Sie in unserem Beitrag zu Passwort-Richtlinien.
Wie verbreitet ist MFA?
Für Privatpersonen liefert der Cybersicherheitsmonitor 2026 von BSI und Polizeilicher Kriminalprävention einen Anhaltspunkt. Befragt wurden im Januar 2026 rund 3.000 Internetnutzende ab 16 Jahren. 40 Prozent gaben an, die Zwei-Faktor-Authentisierung zu nutzen, 2025 waren es 34 Prozent. 21 Prozent nutzen nach eigenen Angaben passwortloses Anmelden, etwa mit Passkeys.
Die Zahlen beschreiben berichtetes Verhalten im privaten Umfeld. Sie zeigen aber, dass MFA vielen Menschen noch nicht selbstverständlich ist. Für die Einführung im Unternehmen heißt das: Erklären Sie, warum der zweite Faktor nötig ist, und rechnen Sie mit Rückfragen.
MFA und NIS-2
Für Einrichtungen, die unter NIS-2 fallen, ist MFA keine freiwillige Maßnahme. Nach § 30 Abs. 2 Nr. 10 BSI-Gesetz (BSIG) gehören Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung zu den Mindestmaßnahmen besonders wichtiger und wichtiger Einrichtungen.
Das Gesetz schreibt dabei kein bestimmtes Verfahren und kein bestimmtes Vertrauensniveau vor. Nach den Hinweisen des BSI wählt die Einrichtung die Lösung auf Basis ihrer Risikoanalyse. Dabei wird geprüft, welcher Schaden entstehen kann, wenn ein System kompromittiert wird. Ob Ihr Unternehmen betroffen ist, klären Sie am besten gesondert. Einen Einstieg bietet unsere Seite NIS2 und Risikomanagement.
Grenzen der MFA: Wo Angreifer ansetzen
MFA erschwert die Übernahme eines Kontos erheblich. Nicht jedes Verfahren ist aber gleich widerstandsfähig. Die US-Standardisierungsbehörde NIST beschreibt in ihrer Richtlinie SP 800-63B-4 (Juli 2025) unter anderem diese Angriffswege:
- Gefälschte Anmeldeseiten: Der Angreifer gibt sich als echte Anmeldeseite aus und fängt Passwort und Einmalcode ab. Codes, die man abtippt, schützen davor nicht zuverlässig, weil sie nicht an die echte Seite gebunden sind.
- Ermüdung durch Push-Anfragen: Der Angreifer löst immer wieder Bestätigungsanfragen aus, bis eine davon bestätigt wird.
- Codes per SMS oder Anruf: NIST führt das Telefonnetz als „eingeschränktes“ Verfahren. Anbieter sollen vor dem Versand Warnzeichen wie einen SIM-Wechsel oder eine Rufnummernmitnahme berücksichtigen.
Dazu kommen organisatorische Lücken. Wenn der Helpdesk auf einen Anruf hin MFA-Methoden zurücksetzt, ohne die Identität zu prüfen, hilft auch das beste Verfahren wenig. Legen Sie deshalb fest, wie der Helpdesk Anrufende verifiziert.
Phishing-resistente Verfahren
Als phishing-resistent bezeichnet NIST Verfahren, bei denen das Anmeldegeheimnis nicht an eine falsche Gegenstelle gelangen kann, ohne dass es auf die Aufmerksamkeit der Nutzerin oder des Nutzers ankommt. Das gelingt mit kryptografischen Verfahren, die an die echte Anmeldeseite oder an die Verbindung gebunden sind. Ein Beispiel ist der Standard WebAuthn/FIDO2, auf dem auch Passkeys beruhen. Passwörter, Einmalcodes und Bestätigungen über einen zweiten Kanal wie SMS oder App-Benachrichtigung sind nach NIST nicht phishing-resistent.
Auch das BSI bezeichnet Passkeys als sehr sicher, weil sie mit kryptografischen Schlüsselpaaren arbeiten und dadurch Phishing-Angriffen begegnen. Eine gesetzliche Voraussetzung sind Passkeys nach den BSI-Hinweisen aber nicht.
| Verfahren | Einordnung nach NIST SP 800-63B-4 | Hinweis für die Praxis |
|---|---|---|
| FIDO2-Sicherheitsschlüssel, Passkeys | phishing-resistent | gut geeignet für Administratorkonten |
| Zertifikat auf Smartcard | phishing-resistent | braucht Kartenleser und Zertifikatsverwaltung |
| Authenticator-App mit Bestätigung oder Code | nicht phishing-resistent | Einstieg, solange phishing-resistente Verfahren noch nicht möglich sind |
| Code per SMS oder Anruf | eingeschränkt, nicht phishing-resistent | nur als Ausweichverfahren |
MFA in Microsoft 365 umsetzen
In Microsoft 365 läuft die Anmeldung über Microsoft Entra ID. So heißt der Verzeichnisdienst, der früher Azure Active Directory (Azure AD) hieß. Microsoft hat ihn 2023 umbenannt; Funktionen und Lizenzen sind gleich geblieben. Für MFA gibt es zwei Wege.
Sicherheitsstandards: der Basisschutz
Die Sicherheitsstandards von Microsoft Entra ID sind ohne zusätzliche Lizenz verfügbar. Sind sie eingeschaltet, gilt nach Microsoft unter anderem:
- Alle Benutzerinnen und Benutzer müssen sich für MFA registrieren.
- Administratorrollen müssen bei jeder Anmeldung MFA durchführen.
- Andere Benutzer werden bei Bedarf zur MFA aufgefordert.
- Ältere Anmeldeprotokolle (Legacy-Authentifizierung) werden blockiert. Sie unterstützen keine MFA und wären sonst ein Weg an ihr vorbei.
- Der Gerätecodefluss wird blockiert, und der Zugriff auf Verwaltungsoberflächen wie das Azure-Portal erfordert MFA.
Bei der Anmeldung mit der Microsoft-Authenticator-App zeigt der Bildschirm eine Zahl, die in der App eingegeben wird. Laut Microsoft soll das verhindern, dass Nutzer eine Anfrage aus Gewohnheit bestätigen. Die Sicherheitsstandards lassen sich allerdings nicht anpassen: Sie sind entweder ein- oder ausgeschaltet.
Bedingter Zugriff: Regeln nach Rolle und Risiko
Mit dem bedingten Zugriff (Conditional Access) legen Sie Regeln fest, etwa nach Rolle, Gerät, Standort oder Anwendung. Dafür ist mindestens eine Lizenz für Microsoft Entra ID P1 nötig. Für Organisationen mit P1- oder P2-Lizenzen sind die Sicherheitsstandards laut Microsoft wahrscheinlich nicht die richtige Wahl.
Mit sogenannten Authentifizierungsstärken können Sie für bestimmte Zugriffe phishing-resistente Verfahren verlangen. Die vordefinierte Stärke „Phishing-resistente MFA“ lässt Windows Hello for Business oder Plattformanmeldeinformationen, FIDO2-Sicherheitsschlüssel und die mehrstufige zertifikatbasierte Authentifizierung zu. Die Anmeldung per SMS oder die Bestätigung in der Authenticator-App erfüllt diese Stärke nicht.
Notfallzugang nicht vergessen
Microsoft empfiehlt zwei reine Cloud-Konten für den Notfallzugriff mit der Rolle „Globaler Administrator“. Sie sind keiner Person zugeordnet und nur für den Fall gedacht, dass normale Administratorkonten nicht nutzbar sind. Dokumentieren Sie diese Konten, schützen Sie sie besonders und prüfen Sie ihre Nutzung.
Einführung in fünf Schritten
Wir empfehlen, MFA wie ein kleines Projekt mit klaren Zuständigkeiten einzuführen:
- Bestand aufnehmen: Alle Konten und Zugänge erfassen: Microsoft 365, Fachanwendungen, Fernzugänge, Konten von Dienstleistern und Notfallkonten. Für jeden Zugang festhalten, welcher Schaden bei einer Übernahme entstehen könnte.
- Richtlinie festlegen: Eine kurze, verbindliche Regel mit Geltungsbereich, erlaubten Verfahren, Ausnahmen und Ansprechpartnern. Ausnahmen werden schriftlich begründet und befristet.
- Mit Administratoren beginnen: Administratorkonten und das IT-Team zuerst umstellen, möglichst mit phishing-resistenten Verfahren. So testen Sie Registrierung, Anmeldung und Wiederherstellung, bevor alle betroffen sind.
- In Wellen ausrollen: Danach Fernzugänge und Bereiche mit sensiblen Daten, dann alle weiteren Konten und externe Dienstleister. Informieren Sie die Mitarbeitenden vor der Umstellung, nicht erst beim ersten Anmeldeproblem.
- Notfälle und Helpdesk regeln: Festlegen, was bei Geräteverlust, Gerätetausch und Vertretung passiert und wie der Helpdesk die Identität prüft. Eine kurze Schulung erklärt, warum unerwartete Anfragen abgelehnt und gemeldet werden.
Nach dem Start prüfen Sie regelmäßig die Anmeldeprotokolle und die Liste der Ausnahmen. Wie Sie gefälschte Anmeldeseiten erkennen, zeigt unser Beitrag Phishing erkennen.
Drei Fragen für den Einstieg
- Welches Konto würde den größten Schaden verursachen, wenn es heute übernommen würde?
- Welche Zugänge sind noch ohne zweiten Faktor erreichbar?
- Wer prüft nach der Einführung, ob die Regeln eingehalten werden?
MFA einführen: Wir unterstützen Sie
Die GSL Groß GmbH betreut Unternehmen in Rheinland-Pfalz und Hessen von Idar-Oberstein aus; im Raum Darmstadt arbeitet sie dafür mit einem Partnersystemhaus zusammen. Informationen zu Microsoft 365 und Azure finden Sie auf unserer Seite zu Cloud-Lösungen, zur Absicherung Ihrer Systeme auf unserer Seite zur IT-Sicherheit. Den laufenden Betrieb Ihrer IT übernehmen wir im Rahmen unserer Managed Services zum monatlichen Festpreis.
Sie möchten wissen, welche Konten in Ihrem Unternehmen zuerst geschützt werden sollten? Sprechen Sie uns an. Wir besprechen Ihre Ausgangslage und die nächsten Schritte.