MFA & Conditional Access Grundlagen

Warum MFA Methoden Phishing-resistent Einführung Conditional Access

Warum MFA?

Passwörter allein sind das schwächste Glied, MFA schließt die entscheidende Lücke.

Das Passwort-Problem

Passwörter werden wiederverwendet, erraten, per Phishing abgegriffen oder aus Leaks in großen Listen gesammelt. Ein gestohlenes Passwort genügt dann für die volle Kontoübernahme. Multi-Faktor-Authentifizierung (MFA) verlangt zusätzlich einen zweiten, unabhängigen Nachweis, der reine Passwortdiebstahl reicht dem Angreifer nicht mehr.

Microsoft nennt in seinen Analysen, dass MFA das Risiko einer Kontoübernahme um über 99 % senkt. Kein anderer Einzelschritt hat ein vergleichbares Kosten-Nutzen-Verhältnis.

Die drei Faktortypen

Wissen, etwas, das man weiß (Passwort, PIN).
Besitz, etwas, das man hat (Smartphone mit App, Hardware-Token, Passkey).
Inhärenz, etwas, das man ist (Fingerabdruck, Gesicht).

Echte MFA kombiniert mindestens zwei verschiedene dieser Typen. Zwei Passwörter sind keine MFA, ein Passwort plus App-Bestätigung schon.

MFA-Methoden im Vergleich

Nicht jeder zweite Faktor ist gleich sicher. Ein Überblick von stark bis schwach.

Methode	Sicherheit	Bemerkung
FIDO2 / Passkey	Sehr hoch	Hardware-Key oder gerätegebundener Passkey. Phishing-resistent (kryptografisch an die Domain gebunden). Bester verfügbarer Standard.
Authenticator-App (Push + Number Matching)	Hoch	z. B. Microsoft/Google Authenticator. Mit Nummernabgleich robust gegen MFA-Fatigue.
TOTP (Einmalcode aus App)	Mittel	6-stelliger Zeitcode. Solide, aber per Echtzeit-Phishing (Reverse-Proxy) abgreifbar.
Push-Bestätigung ohne Nummernabgleich	Mittel	Anfällig für „MFA-Bombing", Nutzer bestätigt genervt. Number Matching aktivieren.
SMS / Anruf	Schwach	Besser als nichts, aber angreifbar (SIM-Swapping, SS7, Weiterleitung). Nur als Notfall-Fallback.
E-Mail-Code	Schwach	Ist das Postfach selbst kompromittiert, wertlos. Nicht als primärer zweiter Faktor.

💡

Faustregel: Authenticator-App mit Number Matching als Standard, FIDO2/Passkey für privilegierte Konten und exponierte Nutzer. SMS nur als letzter Rückfall-Faktor, nie als einzige Option.

Phishing-resistente MFA

Klassische MFA lässt sich abfangen, diese Verfahren nicht.

Warum „normale" MFA nicht reicht

Moderne Phishing-Kits (Adversary-in-the-Middle) schalten sich als Proxy zwischen Nutzer und echten Dienst. Sie fangen nicht nur das Passwort, sondern auch den TOTP-Code oder die Push-Bestätigung in Echtzeit ab, und übernehmen die Sitzung. TOTP und einfache Push-Verfahren schützen dagegen nur begrenzt.

Was wirklich phishing-resistent ist

FIDO2 / WebAuthn (Passkeys, Security Keys): Der kryptografische Nachweis ist fest an die echte Domain gebunden. Auf einer gefälschten Phishing-Seite funktioniert der Schlüssel schlicht nicht, der Nutzer kann gar nicht „durchgereicht" werden.
Zertifikatsbasierte Authentifizierung (Smartcard/CBA), ebenfalls phishing-resistent, mit PKI-Aufwand.
Windows Hello for Business, gerätegebunden, auf FIDO2-Basis.

Number Matching als Zwischenschritt

Wo FIDO2 (noch) nicht überall geht, härtet Number Matching die App-Push-Methode: Der Nutzer muss eine am Anmeldebildschirm angezeigte Zahl aktiv in der App eintippen. Das verhindert das gedankenlose Wegtippen unerwarteter Anfragen (MFA-Fatigue), bei Microsoft Authenticator ist es inzwischen Standard.

Einführung im Betrieb

MFA scheitert selten an der Technik, meist an der Organisation.

Pilotgruppe zuerst. Mit IT und einer kleinen, technikaffinen Gruppe starten. Ablauf, Enrollment und Fallstricke real durchspielen, bevor es alle betrifft.
Privilegierte Konten priorisieren. Admins und Zugänge mit Zugriff auf sensible Systeme zuerst absichern, dort ist der Schaden am größten.
Klar kommunizieren. Vorab erklären, was, warum und ab wann. Kurzanleitung mit Screenshots bereitstellen, Termin ankündigen. Akzeptanz entsteht durch Verständnis, nicht durch Überraschung.
Registrierung begleiten. Enrollment-Fenster setzen, Nutzer beim ersten Einrichten der App/Passkeys unterstützen. Mindestens zwei Methoden pro Nutzer registrieren.
Fallback & Notfallzugang planen. Was passiert bei verlorenem/gewechseltem Handy? Sichere Reset-Prozesse (Helpdesk-Verifizierung) und Break-Glass-Admin-Konten (ohne CA-Ausschluss dokumentiert) vorsehen.
Durchsetzen & überwachen. Nach der Einführungsphase MFA verpflichtend erzwingen und die Anmelde-Logs auf Auffälligkeiten prüfen.

🔑

Break-Glass beachten: Immer mindestens ein Notfall-Adminkonto vorhalten, das nicht durch dieselbe MFA-/CA-Konfiguration ausgesperrt werden kann, gut abgesichert, langes Passwort, überwacht. Sonst sperrt eine fehlerhafte Richtlinie den kompletten Tenant aus.

Conditional Access, der nächste Schritt

MFA immer und überall nervt und schützt schlecht dosiert. Conditional Access macht sie kontextabhängig.

Vom „MFA für alle" zum risikobasierten Zugriff

Conditional Access (in Microsoft Entra ID) entscheidet anhand von Signalen, wann welche Anforderung gilt: Nutzer/Gruppe, Anwendung, Standort, Gerätezustand (verwaltet/konform), Anmelderisiko. So lässt sich MFA gezielt dort erzwingen, wo es nötig ist (fremdes Gerät, ungewöhnlicher Standort), und dort reduzieren, wo das Risiko niedrig ist (verwaltetes Firmengerät).

Typische Bausteine: MFA für alle Nutzer erzwingen, Legacy-Authentifizierung blockieren, Admin-Rollen besonders absichern, Zugriff auf konforme Geräte beschränken. Conditional Access setzt in der Regel Entra ID P1/P2 voraus.

➡️

Konkrete, erprobte Richtlinien-Vorlagen für den Alltag finden Sie im IT-Wiki. Für die Umsetzung im Tenant unterstützen wir gern, siehe Leistungen.