Multi-Faktor-Authentifizierung und Passkeys: Warum Unternehmen jetzt handeln müssen

Brute-Force-Angriffe, Phishing-Kampagnen gegen Microsoft 365 und SharePoint, gestohlene Session-Token: Die Bedrohungslage für Unternehmensaccounts hat sich in den letzten Monaten deutlich verschärft. Wer heute noch ohne Multi-Faktor-Authentifizierung (MFA) arbeitet, geht ein vermeidbares Risiko ein – technisch und datenschutzrechtlich. Wer bereits MFA nutzt, sollte prüfen, ob die eingesetzte Methode noch ausreicht.

Passwörter allein reichen nicht mehr aus – und herkömmliche MFA-Methoden stossen bei gezielten Phishing-Angriffen an ihre Grenzen. Passkeys sind die phishing-resistente Antwort auf die aktuelle Bedrohungslage. 

Was steckt hinter der aktuellen Bedrohungslage?

Brute-Force-Angriffe sind keine neue Erscheinung – doch ihre Intensität hat zuletzt erheblich zugenommen. Angreifer kombinieren riesige Datenbanken mit geleakten Zugangsdaten aus vergangenen Sicherheitsvorfällen mit automatisierten Tools, die Logins bei E-Mail-Postfächern, Cloud-Diensten und Unternehmensportalen in kürzester Zeit testen.

Das Tückische: Die Angriffe sind oft erst sichtbar, wenn der Schaden bereits entstanden ist – ein kompromittiertes Postfach, ein Datenverlust, ein Datenschutzvorfall nach Art. 33 DSGVO, der gemeldet werden muss. Multi-Faktor-Authentifizierung ist die wirksamste Sofortmaßnahme genau gegen diese Art von Angriffen.

Praxisbeispiel: Wie ein einziges Passwort zum Einfallstor wird

Ein typisches Szenario aus dem Unternehmensalltag: Eine Mitarbeiterin nutzt für mehrere Dienste – beruflich wie privat – dasselbe Passwort. Kommt es bei einem externen Anbieter zu einem Datenleck, landen diese Zugangsdaten in frei zugänglichen Datenbanken. Cyberkriminelle testen sie automatisiert gegen bekannte Unternehmensdienste wie E-Mail oder Cloud-Anwendungen.

Ohne Multi-Faktor-Authentifizierung reicht das gestohlene Passwort aus. Der Zugriff gelingt unbemerkt, häufig nachts oder am Wochenende. Mit aktivierter MFA hingegen ist der Angriff gestoppt: Trotz korrektem Passwort fehlt der zweite Faktor – der Zugang bleibt verwehrt. 

Was ist Multi-Faktor-Authentifizierung (MFA)?

Multi-Faktor-Authentifizierung beschreibt ein Sicherheitsverfahren, bei dem der Zugriff auf ein Benutzerkonto durch mehr als einen unabhängigen Nachweis abgesichert wird. Ein erfolgreicher Login ist nur möglich, wenn zwei unterschiedliche Voraussetzungen erfüllt sind – etwa das Wissen um ein Passwort und der Besitz eines bestimmten Geräts.

Gestohlene Zugangsdaten allein reichen damit nicht mehr aus, um auf Systeme oder Daten zuzugreifen. Viele kennen das Prinzip als Zwei-Faktor-Authentifizierung (2FA) – MFA ist der Oberbegriff, der auch Varianten mit mehr als zwei Faktoren einschließt.

Die gängigsten MFA-Methoden im Überblick 

Push-Bestätigung per App: Der Login wird über eine Authenticator-App auf dem Smartphone bestätigt. Benutzerfreundlich und weit verbreitet – bietet jedoch keinen vollständigen Phishing-Schutz.

• Einmalcodes (OTP): Zeitlich begrenzte Codes, bereitgestellt per App oder SMS. SMS-basierte Verfahren gelten als Mindeststandard.

• Hardware-Token / Security Keys (FIDO2): Physische Geräte für den Anmeldevorgang; vollständig phishing-resistent und besonders geeignet für privilegierte oder sensible Zugänge.

• Biometrische Verfahren: Anmeldung per Fingerabdruck oder Gesichtserkennung, meist in Kombination mit weiteren Faktoren.

• Passkeys: Der neue Standard für passwortlose, phishing-resistente Anmeldung auf Basis kryptografischer Schlüsselpaare – mehr dazu weiter unten.

Welche Methode sinnvoll ist, hängt vom Einsatzbereich und Schutzbedarf ab. Wichtig: Nicht alle MFA-Methoden bieten denselben Schutz – gerade gegenüber modernen Phishing-Angriffen gibt es erhebliche Unterschiede.

Phishing auf Microsoft 365 und SharePoint: Wenn herkömmliche MFA nicht ausreicht

Eine besondere Gefahr geht aktuell von sogenannten Adversary-in-the-Middle-Angriffen (AiTM) aus – einer Phishing-Methode, die gezielt auf Microsoft 365, SharePoint und ähnliche Cloud-Dienste abzielt und selbst aktive MFA aushebeln kann.

Das Prinzip: Angreifer schalten einen unsichtbaren Proxy zwischen Opfer und den echten Microsoft-Login. Die Mitarbeiterin gibt ihre Zugangsdaten ein und bestätigt sogar die MFA-Anfrage – glaubt dabei, sich bei Microsoft anzumelden. Tatsächlich leitet der Proxy die Anfrage durch und stiehlt dabei den ausgestellten Session-Token. Mit diesem Token können die Angreifer danach eigenständig auf das Konto zugreifen – ohne Passwort, ohne MFA-Abfrage.

Typisches Angriffsszenario gegen M365

1. Mitarbeitende erhalten eine täuschend echte E-Mail mit Link zu einer gefälschten M365-Anmeldeseite.

2. Der AiTM-Proxy leitet Login und MFA-Bestätigung in Echtzeit an Microsoft weiter.

3. Der Proxy stiehlt den ausgestellten Session-Token.

4. Die Angreifer nutzen den Token, um ohne weitere Authentifizierung auf Postfach, Teams, SharePoint und OneDrive zuzugreifen.

5. Von dort werden interne Kontakte für weitere Phishing-Angriffe oder Betrugsversuche genutzt.

SharePoint wird dabei häufig als Köder-Plattform missbraucht: Angreifer hinterlegen auf gehackten SharePoint-Seiten gefälschte Dokumente mit Phishing-Links – oft mit dem Absender eines bekannten Unternehmenskontakts und teilen das Dokument dann mit den Opfern. Da die E-Mail von einer legitimen Unternehmens-Domain kommt, landen solche Nachrichten oft unerkannt im Posteingang.

Gegenmaßnahmen umfassen: den Einsatz phishing-resistenter Authentifizierungsmethoden wie FIDO2-Security-Keys oder Passkeys, strenge Conditional-Access-Richtlinien in Microsoft Entra ID (ehemals Azure AD), kurze Session-Laufzeiten sowie die Schulung von Mitarbeitenden zur Erkennung solcher Angriffe.

Passkeys: Die phishing-resistente Anmeldung der Zukunft – heute schon verfügbar

Passkeys sind eine passwortlose Authentifizierungsmethode auf Basis des FIDO2/WebAuthn-Standards. Anstelle eines Passworts und eines zweiten Faktors kommt ein kryptografisches Schlüsselpaar zum Einsatz: Der private Schlüssel verbleibt sicher auf dem Gerät des Nutzers, der öffentliche Schlüssel wird beim Dienst hinterlegt.

Die Anmeldung erfolgt durch eine Geste – Fingerabdruck, Gesichtserkennung oder Geräte-PIN. Kein Passwort, das gestohlen werden kann. Kein zweiter Faktor, der über einen Proxy abgefangen werden kann.

Der entscheidende Vorteil gegenüber herkömmlicher MFA: Passkeys sind domängebunden. Der kryptografische Handshake funktioniert nur mit dem echten Dienst – eine gefälschte M365-Login-Seite erhält schlicht keine gültige Antwort. AiTM-Angriffe laufen damit ins Leere.

Was Passkeys in der Praxis bedeuten

• Microsoft 365 / Entra ID: Passkeys werden seit 2024 nativ unterstützt und können als primäre Authentifizierungsmethode konfiguriert werden.

• Geräteunterstützung: Windows Hello, Apple Face ID / Touch ID, Android-Biometrie und FIDO2-Hardware-Keys sind passkey-fähig – auf den meisten aktuellen Geräten ohne zusätzliche Software.

• Benutzerfreundlichkeit: Login per Fingerabdruck statt Passwort + App-Code – in der Praxis schneller und einfacher als klassische MFA.

• Einführung: Passkeys können schrittweise neben bestehender MFA eingeführt werden. Nicht alle Systeme unterstützen sie bereits – eine Bestandsaufnahme ist empfehlenswert.

• 
  

Passkeys sind kein Ersatz für eine durchdachte Sicherheitsstrategie, aber sie heben den Authentifizierungsschutz auf ein Niveau, das klassische Passwort-plus-MFA-Kombinationen nicht erreichen. Für Umgebungen mit Microsoft 365 oder SharePoint sind sie heute schon eine praxisreife Option.

MFA und Datenschutz: Was Unternehmen wissen sollten

Aus datenschutzrechtlicher Sicht ist Multi-Faktor-Authentifizierung längst keine optionale Maßnahme mehr. Die DSGVO verlangt in Art. 32 technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten. Zugriffsschutz durch starke Authentifizierung gehört zum Stand der Technik – und wird von Aufsichtsbehörden im Rahmen von Prüfungen und nach Datenpannen entsprechend bewertet.

Wer MFA nicht einsetzt und infolgedessen einen Datenschutzvorfall erleidet, hat ein Problem: nicht nur technisch, sondern auch gegenüber der Aufsichtsbehörde.

Warum MFA gerade für KMU unverzichtbar ist

Kleine und mittlere Unternehmen stehen vor denselben digitalen Risiken wie große Konzerne – mit deutlich schlankeren IT-Ressourcen. Automatisierte Angriffe unterscheiden nicht nach Unternehmensgröße. MFA setzt genau dort an, wo das Risiko am größten ist: beim Zugang zu Systemen und Daten.

Der technische Aufwand ist überschaubar, die Wirkung erheblich. Viele gängige Cloud-Dienste und E-Mail-Plattformen bieten Multi-Faktor-Authentifizierung bereits integriert an – es muss meist nur aktiviert und ausgerollt werden. 

Fazit: MFA ist Pflicht – aber die Methode macht den Unterschied

Die aktuelle Bedrohungslage zeigt: Passwörter allein bieten keinen ausreichenden Schutz mehr. Multi-Faktor-Authentifizierung ist der unverzichtbare Grundschutz – datenschutzrechtlich geboten und technisch überschaubar umzusetzen.

Wer Microsoft 365 oder SharePoint einsetzt, sollte zusätzlich prüfen, ob die genutzten MFA-Methoden gegen AiTM-Phishing-Angriffe bestehen. Passkeys und FIDO2-Security-Keys sind heute die einzigen Verfahren, die phishing-resistent sind – und in M365-Umgebungen bereits produktiv eingesetzt werden können.

Warten Sie nicht auf den ersten Vorfall. Gerne unterstützen wir Sie bei der Bewertung Ihrer aktuellen Authentifizierungsinfrastruktur und der datenschutzkonformen Einführung von Multi-Faktor-Authentifizierung und Passkeys. Sprechen Sie uns an.

---

FAQ: Multi-Faktor-Authentifizierung

Was ist der Unterschied zwischen MFA und 2FA?

2FA (Zwei-Faktor-Authentifizierung) ist ein Spezialfall von MFA und nutzt genau zwei Faktoren. MFA ist der Oberbegriff und schließt auch Szenarien mit drei oder mehr Faktoren ein. In der Praxis meinen beide Begriffe meist dasselbe Prinzip: ein Passwort plus ein weiterer Nachweis. 

Ist Multi-Faktor-Authentifizierung nach DSGVO verpflichtend?

Die DSGVO schreibt in Art. 32 technische und organisatorische Schutzmaßnahmen vor, die dem Stand der Technik entsprechen. MFA gehört heute dazu, insbesondere für den Zugriff auf personenbezogene Daten. Aufsichtsbehörden bewerten das Fehlen von MFA nach einem Datenschutzvorfall zunehmend kritisch.

Welche MFA-Methode ist die sicherste?

Hardware-Token (Security Keys nach FIDO2-Standard) gelten als am sichersten, da sie nicht phishing-anfällig sind. Für die meisten Unternehmen bieten Authenticator-Apps (Push oder OTP) ein sehr gutes Sicherheitsniveau bei hoher Benutzerfreundlichkeit. SMS-basierte Verfahren sind der Mindeststandard und besser als gar kein zweiter Faktor.

Wie aufwendig ist die Einführung von MFA im Unternehmen?

Für viele gängige Dienste wie Microsoft 365, Google Workspace oder gängige Cloud-Anwendungen lässt sich MFA innerhalb weniger Stunden aktivieren. Eine unternehmensweite Einführung inklusive Schulung der Mitarbeitenden dauert in KMU typischerweise ein bis drei Tage. Wir unterstützen Sie dabei von der Planung bis zum Rollout.

Was kostet Multi-Faktor-Authentifizierung?

Für viele bereits genutzte Dienste entstehen keine zusätzlichen Lizenzkosten – MFA ist dort bereits enthalten und muss nur aktiviert werden. Separate Authenticator-Apps sind in der Regel kostenlos. Kosten entstehen vor allem durch Implementierungsaufwand und optional durch Hardware-Token für besonders sensible Zugänge.

Schützt MFA auch vor Phishing?

Klassische MFA (Push-Apps, OTP-Codes) reduziert das Phishing-Risiko erheblich, bietet aber keinen vollständigen Schutz: Moderne AiTM-Angriffe (Adversary-in-the-Middle) können MFA-Bestätigungen in Echtzeit abfangen und Session-Token stehlen. Vollständig phishing-resistent sind nur FIDO2-Security-Keys und Passkeys, da die Authentifizierung domängebunden ist.

Was sind AiTM-Phishing-Angriffe und wie funktionieren sie bei M365?

AiTM (Adversary-in-the-Middle) ist eine Phishing-Methode, bei der ein Proxy zwischen Opfer und echtem Dienst geschaltet wird. Der Nutzer meldet sich scheinbar normal an – inklusive MFA-Bestätigung. Der Proxy leitet alles durch und stiehlt dabei den ausgestellten Session-Token. Mit diesem Token greifen die Angreifer danach ohne erneute Authentifizierung auf M365-Dienste wie Outlook, Teams oder SharePoint zu. Schutz bieten phishing-resistente Methoden (Passkeys, FIDO2) sowie Conditional-Access-Richtlinien.

Was sind Passkeys und wie unterscheiden sie sich von MFA?

Passkeys sind eine passwortlose Anmeldemethode auf Basis des FIDO2/WebAuthn-Standards. Statt Passwort und zweitem Faktor kommt ein kryptografisches Schlüsselpaar zum Einsatz: Der private Schlüssel verbleibt auf dem Gerät, die Anmeldung erfolgt per Biometrie oder PIN. Im Unterschied zu klassischer MFA sind Passkeys vollständig phishing-resistent, da der kryptografische Handshake nur mit dem echten Dienst funktioniert.

Unterstützt Microsoft 365 bereits Passkeys?

Ja. Microsoft unterstützt Passkeys in Microsoft Entra ID (ehemals Azure AD) seit 2024 produktiv. Passkeys können als primäre Authentifizierungsmethode oder ergänzend zu bestehender MFA konfiguriert werden. Auch FIDO2-Hardware-Keys werden vollständig unterstützt. Die Einführung erfordert entsprechende Lizenzen und eine sorgfältige Konfiguration der Conditional-Access-Richtlinien.