Zwei-Faktor-Authentifizierung: Warum ein Passwort nicht mehr reicht
Gestohlene Zugangsdaten sind eines der häufigsten Einfallstore für Cyberangriffe. Ein Klick auf eine gefälschte Anmeldeseite, ein wiederverwendetes Passwort aus einem früheren Datenleck – und schon haben Unbefugte Zugriff auf E-Mails, Kundendaten oder die Praxis-IT. Die gute Nachricht: Mit der Zwei-Faktor-Authentifizierung lässt sich ein Großteil dieser Angriffe mit wenig Aufwand abwehren. In diesem Beitrag erklären wir, wie 2FA funktioniert, welche Verfahren sinnvoll sind und wie Sie sie im Betrieb ohne Frust einführen.
Was ist Zwei-Faktor-Authentifizierung?
Bei der Zwei-Faktor-Authentifizierung (2FA) reicht das Passwort allein nicht mehr aus, um sich anzumelden. Zusätzlich wird ein zweiter, unabhängiger Nachweis verlangt. Werden mehr als zwei Faktoren kombiniert, spricht man von Multi-Faktor-Authentifizierung (MFA); im Alltag werden beide Begriffe oft gleichbedeutend verwendet. Die Faktoren stammen aus drei Kategorien:
- Wissen: etwas, das nur Sie wissen, etwa Passwort oder PIN
- Besitz: etwas, das nur Sie haben, etwa Smartphone, Hardware-Schlüssel oder Chipkarte
- Inhärenz: etwas, das Sie sind, etwa Fingerabdruck oder Gesichtserkennung
Der Gedanke dahinter: Selbst wenn ein Angreifer Ihr Passwort kennt, fehlt ihm der zweite Faktor. Die Anmeldung scheitert.
| Im Gesundheitswesen längst Alltag
Wer in einer Praxis arbeitet, kennt das Prinzip bereits: Der elektronische Heilberufsausweis funktioniert nur mit Karte (Besitz) und PIN (Wissen). Dasselbe Prinzip sollte auch für E-Mail, Microsoft 365 und Fernzugriffe gelten. |
Warum Passwörter allein nicht mehr ausreichen
Passwörter haben drei grundlegende Schwächen. Sie werden häufig mehrfach verwendet, sie lassen sich per Phishing abfischen, und sie landen bei Datenlecks großer Dienste in Listen, die Kriminelle automatisiert ausprobieren. Typische Angriffsszenarien sind:
- Phishing-Mails, die zu täuschend echten Microsoft-365-Anmeldeseiten führen
- „Credential Stuffing“, also das massenhafte Ausprobieren geleakter Zugangsdaten
- Brute-Force-Angriffe auf Fernzugriffe wie VPN oder Remote Desktop
- Schadsoftware, die gespeicherte Passwörter im Browser ausliest
Ist ein E-Mail-Konto einmal übernommen, versenden Angreifer oft im Namen des Unternehmens gefälschte Rechnungen oder bereiten einen größeren Ransomware-Angriff vor. 2FA unterbricht diese Kette an der entscheidenden Stelle.
Welche 2FA-Verfahren gibt es – und welche sind sicher?
Nicht jedes Verfahren bietet denselben Schutz. Ein Überblick, vom schwächsten zum stärksten:
| Verfahren | Schutz | Unsere Einschätzung |
| SMS-Code | niedrig | anfällig für SIM-Tausch, nur als Notlösung |
| Einmalcode per App (TOTP) | gut | solide und weit verbreitet |
| Push mit Zahlenabgleich | gut bis hoch | komfortabel, verhindert versehentliches Bestätigen |
| Hardware-Schlüssel / Passkeys (FIDO2) | sehr hoch | phishing-resistent, ideal für Admin-Konten |
Für die meisten KMU ist eine Authenticator-App mit Zahlenabgleich ein sehr guter Standard.
Wo Sie 2FA zuerst einschalten sollten
Nicht jeder Zugang ist gleich kritisch. Priorität haben alle Konten, über die Angreifer weitreichenden Zugriff erhalten würden:
- Microsoft 365 bzw. E-Mail-Postfächer aller Mitarbeitenden
- Administratorkonten für Server, Firewall und Cloud-Dienste
- VPN- und Fernwartungszugänge für Homeoffice und externe Dienstleister
- Online-Banking und Zahlungsdienste
- Backup-Systeme und Passwort-Manager
Auch Versicherer fragen bei Cyberversicherungen inzwischen gezielt nach MFA. Und für Betriebe, die unter NIS2 fallen, gehören Multi-Faktor-Authentifizierung und sichere Zugangsverfahren ausdrücklich zu den geforderten Maßnahmen.
Passwort-Manager: der ideale Partner für 2FA
Zwei-Faktor-Authentifizierung macht gute Passwörter nicht überflüssig. Der erste Faktor sollte weiterhin stark und für jeden Dienst einzigartig sein. Ohne Hilfsmittel ist das kaum zu schaffen: Kaum jemand kann sich Dutzende lange, zufällige Passwörter merken.
Ein Passwort-Manager für das Team löst dieses Problem. Er erzeugt sichere Passwörter, speichert sie verschlüsselt und füllt sie automatisch aus. Gemeinsam genutzte Zugänge, etwa zu Lieferantenportalen oder Abrechnungsdiensten, lassen sich gezielt für bestimmte Personen freigeben, ohne Passwörter per E-Mail oder auf Zetteln weiterzugeben.
Wichtig: Der Passwort-Manager selbst ist ein lohnendes Ziel für Angreifer und muss deshalb unbedingt mit einem zweiten Faktor geschützt sein. Scheidet eine Mitarbeiterin oder ein Mitarbeiter aus, lassen sich alle Zugänge an einer Stelle entziehen. Das spart Zeit und schließt eine häufig übersehene Sicherheitslücke.
So führen Sie 2FA im Team ohne Frust ein
Die Technik ist meist schnell eingerichtet. Entscheidend für den Erfolg ist die Einführung im Team:
- Bestandsaufnahme: Welche Konten und Dienste gibt es, wer nutzt sie?
- Verfahren festlegen: einheitlich eine App für alle, Hardware-Schlüssel für Admins.
- Mitarbeitende kurz schulen und erklären, warum 2FA wichtig ist.
- Wiederherstellungswege planen, falls ein Smartphone verloren geht.
- Schrittweise aktivieren und danach alte, unsichere Anmeldewege abschalten.
Mit Richtlinien wie dem bedingten Zugriff in Microsoft 365 lässt sich außerdem steuern, dass etwa an vertrauenswürdigen Firmengeräten seltener nachgefragt wird. So bleibt die Sicherheit hoch und der Alltag angenehm.
So begleiten wir Sie bei der Absicherung Ihrer Zugänge
denkkontor unterstützt Unternehmen und Praxen im Münsterland dabei, ihre IT ganzheitlich abzusichern – von der Firewall über den Virenschutz bis zur sicheren Anmeldung. Konkret helfen wir Ihnen dabei,
- alle kritischen Zugänge zu erfassen und zu priorisieren,
- Zwei-Faktor-Authentifizierung in Microsoft 365, VPN und Cloud-Diensten einzurichten,
- passende Verfahren für Ihr Team auszuwählen und Mitarbeitende einzuweisen,
- Notfall- und Wiederherstellungswege sauber zu dokumentieren,
- und Anmeldungen laufend auf ungewöhnliche Aktivitäten zu überwachen.
So wird aus einem gestohlenen Passwort kein Sicherheitsvorfall. Mehr dazu auf unserer Seite zu Security, Firewall und Virenschutz.
| Ihre Zugänge sicher machen?
Rufen Sie uns an unter 02501 5885577 oder schreiben Sie an info@denkkontor.com. |
Häufige Fragen
Ist Zwei-Faktor-Authentifizierung Pflicht?
Eine allgemeine Pflicht für alle Betriebe gibt es nicht. Für Unternehmen, die unter NIS2 fallen, gehört MFA aber zu den geforderten Maßnahmen, und viele Cyberversicherer setzen sie voraus. Auch nach DSGVO gilt sie als angemessene technische Schutzmaßnahme.
Was passiert, wenn das Smartphone verloren geht?
Dafür gibt es Wiederherstellungscodes, ein zweites registriertes Gerät oder die Freischaltung durch die Administration. Wichtig ist, diese Wege vor der Einführung festzulegen.
Ist SMS als zweiter Faktor sicher genug?
Für private Konten ist SMS besser als kein zweiter Faktor. Für geschäftliche Zugänge empfehlen wir eine Authenticator-App oder Hardware-Schlüssel, da SMS leichter abgefangen werden kann.
Bremst 2FA die Arbeit im Alltag aus?
Kaum. Mit Push-Bestätigung und vertrauenswürdigen Geräten dauert die Anmeldung nur wenige Sekunden länger und ist auf Firmengeräten oft nur gelegentlich nötig.