Was ist Multifaktor-Authentifizierung (MFA / 2FA)?
Multifaktor-Authentifizierung (MFA) verlangt für die Anmeldung mehr als nur ein Passwort, indem mindestens zwei unabhängige Faktoren kombiniert werden – etwa Wissen (Passwort) und Besitz (Einmalcode auf dem Smartphone). Zwei-Faktor-Authentifizierung (2FA) ist der Spezialfall mit genau zwei Faktoren und erschwert unbefugten Zugriff erheblich.
Auch bekannt als: MFA · 2FA · Zwei-Faktor-Authentifizierung · OTP · Einmalpasswort
Einordnung: Wofür wird MFA / 2FA genutzt?
MFA schützt Anmeldungen für den Fall, dass ein Passwort gestohlen oder erraten wird. Üblicherweise werden Faktoren aus drei Kategorien kombiniert: Wissen (Passwort), Besitz (Smartphone, Token) und Inhärenz (Fingerabdruck, Gesicht). Erst die Kombination mehrerer Faktoren macht einen Zugang deutlich schwerer angreifbar.
Ein verbreiteter zweiter Faktor ist ein zeitbasiertes Einmalpasswort (OTP) aus einer Authenticator-App. Ergänzend kommen Recovery-Codes zum Einsatz, falls der zweite Faktor verloren geht. Moderne Verfahren wie Passkeys gehen noch weiter, werden aber je nach Reifegrad eines Projekts bewusst gestaffelt eingeführt.
Beispiel aus der Praxis
Für eine SaaS-Plattform wird die Anmeldung mit MFA abgesichert: Nach Passwort und Benutzername bestätigen Nutzer ihre Identität über ein zeitbasiertes Einmalpasswort (OTP). Für den Fall eines verlorenen zweiten Faktors stehen Recovery-Codes bereit. Komfortablere, aber komplexere Verfahren wie Passkeys werden zunächst bewusst deaktiviert, um den Start einfach und kontrolliert zu halten.
Abgrenzung & Bezug zu smiit
2FA ist der Sonderfall von MFA mit genau zwei Faktoren; MFA ist der Oberbegriff. MFA ist eng mit IAM und Keycloak verbunden, da die Identitätslösung die zusätzlichen Faktoren erzwingt, und ist ein zentraler Baustein der IT-Sicherheit. Für die Claimity AG hat smiit MFA per OTP mit Recovery-Codes umgesetzt und Passkeys bewusst zunächst deaktiviert – eine pragmatische, sichere Konfiguration über Keycloak.
Häufige Fehler & Missverständnisse
- MFA und 2FA werden oft als dasselbe gesehen; 2FA ist genau genommen ein Spezialfall der MFA mit genau zwei Faktoren, während MFA zwei oder mehr Faktoren umfasst.
- Viele halten SMS-Codes für sicher; sie sind jedoch anfällig für SIM-Swapping und Abfangen und gelten als schwächster MFA-Faktor gegenüber App- oder Hardware-Token.
- Es herrscht der Irrglaube, MFA mache Phishing unmöglich; moderne Angriffe umgehen sie über MFA-Fatigue oder Echtzeit-Phishing-Proxys, weshalb phishingresistente Verfahren wichtig sind.
Häufige Fragen
Was ist der Unterschied zwischen MFA und 2FA?
2FA verwendet genau zwei Faktoren, MFA mindestens zwei und ist damit der Oberbegriff. Jede 2FA ist eine MFA, aber MFA kann auch mehr als zwei Faktoren umfassen.
Was passiert, wenn ich meinen zweiten Faktor verliere?
Dafür gibt es Recovery-Codes, die bei der Einrichtung erzeugt und sicher aufbewahrt werden. Mit ihnen lässt sich der Zugang wiederherstellen, ohne die Sicherheit grundsätzlich zu schwächen.
Ist eine SMS als zweiter Faktor sicher genug?
SMS-Codes sind besser als gar kein zweiter Faktor, gelten aber als weniger sicher, weil sie etwa durch Umleitung der Rufnummer abgefangen werden können. Authenticator-Apps mit zeitbasierten Einmalpasswörtern oder Verfahren wie Passkeys bieten ein höheres Schutzniveau.
Was sind Passkeys und worin unterscheiden sie sich von einem OTP?
Passkeys sind ein passwortloses Verfahren auf Basis kryptografischer Schlüsselpaare, bei dem kein Code abgetippt wird und nichts Abfangbares übertragen wird. Im Gegensatz zu einem zeitbasierten Einmalpasswort (OTP) sind sie resistenter gegen Phishing, erfordern aber unterstützende Geräte und etwas mehr Einrichtungsaufwand.
Lohnt sich MFA auch für kleine Teams?
Ja. Der Schutz vor gestohlenen oder erratenen Passwörtern ist unabhängig von der Teamgröße wertvoll, und der Einrichtungsaufwand ist gering. Gerade für Konten mit Zugriff auf sensible Daten gilt MFA als eine der wirksamsten und günstigsten Maßnahmen.
Verwandte Begriffe
Quellen & weiterführende Links
Sie möchten dieses Thema in Ihrem Unternehmen umsetzen?
Aktualisiert am · Zurück zum Glossar