Multi-Faktor-Authentifizierung (MFA) ist heute für jedes Unternehmen von größter Bedeutung – insbesondere, weil Cyberangriffe immer ausgefeilter werden und sich gegen Organisationen jeder Größe richten. Der entscheidende Faktor, der häufig darüber bestimmt, ob Sie Ihre sensiblen Daten schützen oder einen kostspieligen Sicherheitsverstoß erleiden, ist MFA.
Dennoch ist möglicherweise nicht immer klar, wofür sich MFA am besten einsetzen lässt – also wann sie hilfreich oder sogar notwendig ist und wann nicht. Schließlich kann eine zu starke Abhängigkeit von komplexen Anmeldeprozessen für jede einzelne App und Website die Produktivität und Motivation der Mitarbeiter beeinträchtigen.
Damit Sie besser einschätzen können, wo und wie Sie MFA in Ihrem Unternehmen einsetzen – und welcher MFA-Typ am besten geeignet ist –, finden Sie hier sieben Beispiele für MFA-Anwendungsfälle, denen Sie im Arbeitsalltag begegnen können.
- 1. Anmeldung bei einem Firmenbankkonto
- 2. Anmeldung bei einer Kundendatenbank des Unternehmens
- 3. Zugriff auf CRM-Software
- 4. Anmeldung bei HR-Software
- 5. Zugriff auf proprietäre Software
- 6. Fernzugriff
- 7. Zugriff auf cloudbasierte Dienste
- Fazit: MFA ist in jeder Branche ein universeller Bedarf für die Cybersicherheit
1. Anmeldung bei einem Firmenbankkonto
Stellen Sie sich vor, Sie arbeiten für ein Unternehmen mit einem Online-Bankkonto. Normalerweise greifen Sie mit einem Benutzernamen und Passwort darauf zu. Eines Tages erhalten Sie eine E-Mail, die scheinbar von Ihrer Bank stammt und Sie auffordert, auf einen Link zu klicken und Ihre Kontodaten zu bestätigen. Da Sie die E-Mail für legitim halten, klicken Sie auf den Link und geben Ihre Anmeldedaten ein – ohne zu wissen, dass es sich um einen Phishing-Angriff handelt.
Tatsächlich hat ein Hacker die E-Mail geschickt, um Ihr Passwort zu stehlen. Nun verfügt er darüber und kann auf Ihr Konto zugreifen.
Dieses Szenario zeigt, wie Hacker Zugriff auf Ihr Passwort erlangen und Ihre Konten kompromittieren können. Hier kommt MFA ins Spiel. Sie stellt sicher, dass Sie beim Anmelden tatsächlich Sie selbst sind, indem sie zusätzlich zu Ihrem Passwort einen weiteren Faktor verlangt – etwa Ihr Smartphone, eine Karte oder Ihren Fingerabdruck. Diese zusätzliche Sicherheitsmaßnahme erschwert es Unbefugten erheblich, sich in Ihr Konto zu hacken, und schützt die Finanzen und Daten Ihres Unternehmens vor potenziellen Angreifern.
Empfohlenes MFA-Tool: Authenticator-Apps
Alle MFA-Tools tragen zu einer höheren Sicherheit bei, doch manche Typen eignen sich für bestimmte Situationen besser als andere.
Für die Anmeldung bei einem Firmenbankkonto sind beispielsweise Authenticator-Apps wie Google Authenticator, LastPass Authenticator, Microsoft Authenticator oder Authy eine ausgezeichnete Wahl.
Physische Sicherheitsschlüssel sind dagegen nicht die beste Option.
| Empfohlenes MFA-Tool: Authenticator-Apps | Nicht empfohlen: Physische Sicherheitsschlüssel |
|---|---|
| • Bieten eine ausgewogene Kombination aus Sicherheit und Komfort. | • Verursachen bei der Anmeldung bei Bankkonten mehr Aufwand, als sie wert sind. |
| • Lassen sich einfach einrichten und verwenden und eignen sich für die meisten Geräte und Dienste. | • Erfordern, dass Sie jederzeit ein zusätzliches Gerät mitführen. |
| • Schützen vor Phishing- und Angriffen zur Kontoübernahme. | • Funktionieren möglicherweise nicht mit allen Banken oder Geräten. |
| • Bergen das Risiko, den Zugriff auf Konten zu verlieren, wenn der Schlüssel verloren geht oder beschädigt wird. |
2. Anmeldung bei einer Kundendatenbank des Unternehmens
Nehmen wir an, Sie arbeiten für ein angesehenes Versicherungsunternehmen, das stark auf seine Kundendatenbank angewiesen ist. Diese Datenbank enthält umfangreiche Informationen zu Versicherungsnehmern, darunter personenbezogene Daten und Finanzunterlagen. Eines Tages verschafft sich ein Hacker durch einen ausgeklügelten Phishing-Angriff Zugriff auf die Anmeldedaten eines Mitarbeiters.
Der Angreifer stiehlt die Anmeldedaten und meldet sich an – dadurch entsteht eine zentrale Schwachstelle. Anschließend kann er sensible Kundendaten manipulieren oder stehlen. Dieser unbefugte Zugriff gefährdet den Datenschutz der Kunden und setzt das Unternehmen Datenschutzverletzungen, finanziellen Verlusten und behördlichen Sanktionen aus.
Der Cyberkriminelle kann die Daten außerdem nutzen, um sich als Versicherungsnehmer auszugeben und betrügerische Transaktionen durchzuführen. Das schadet sowohl den Kunden als auch dem Ruf des Unternehmens. In diesem Szenario ist MFA zum Schutz von Kundendatenbanken unverzichtbar.
Empfohlenes MFA-Tool: Physische Sicherheitsschlüssel
Auch wenn jede Form von MFA besser ist als gar keine, sollten Sie auf Grundlage der spezifischen Anforderungen und Möglichkeiten Ihres Unternehmens die sicherste und praktischste Option auswählen.
Physische Sicherheitsschlüssel wie Yubico Security Keys sind das ideale MFA-Tool zum Schutz von Kundendatenbanken, während MFA per SMS und Sprachanruf möglicherweise weniger zuverlässig ist.
| Empfohlenes MFA-Tool: Physische Sicherheitsschlüssel | Nicht empfohlen: MFA per SMS und Sprachanruf |
|---|---|
| • Laut dem Google Security Blog zu 100 % wirksam gegen Kontoübernahmen durch automatisierte Bots, groß angelegte Phishing-Angriffe und gezielte Attacken. | • SMS und Sprachanrufe übertragen Informationen im Klartext, sodass sie leicht abgefangen werden können. |
| • Schwer abzufangen, da Angreifer sowohl kompromittierte Anmeldedaten als auch physischen Zugriff auf das Gerät des Benutzers benötigen. | • Angreifer können Techniken und Tools wie softwaredefinierte Funkgeräte, FEMTO-Zellen oder SS7-Abhördienste einsetzen, um Anrufe abzufangen. |
| • Erfordern die Authentifizierung mit einem physischen Gerät, das sich nur schwer stehlen oder duplizieren lässt. | • Anfällig für SIM-Swapping-Angriffe, bei denen Angreifer Mitarbeiter von Telefonnetzen täuschen. |
| • Die Plug-and-play-Funktionalität vereinfacht den MFA-Prozess und ermöglicht einen schnellen Zugriff auf Ressourcen. | • Anfällig für sich ändernde Vorschriften, Ausfallzeiten und Leistungsprobleme, die die Verfügbarkeit beeinträchtigen. |
3. Zugriff auf CRM-Software
Nehmen wir an, Sie sind Marketingmanager und nutzen ein CRM wie Salesforce zur Nachverfolgung von Kundeninteraktionen. Sie speichern wertvolle Informationen über Ihre Kunden – etwa demografische Daten, Interessen und Feedback –, um zielgerichtete Kampagnen zu erstellen und die Kundenzufriedenheit zu steigern.
Eines Tages laden Sie versehentlich eine Datei herunter, die mit einem Keylogger infiziert ist. Die Schadsoftware zeichnet alles auf, was Sie über die Tastatur eingeben, einschließlich Ihrer Passwörter und anderer vertraulicher Informationen.
Wenn sich ein Keylogger auf Ihrem Gerät befindet, kann der Hacker Ihre Salesforce-Anmeldedaten abgreifen und damit auf Ihre Kundendaten zugreifen. Außerdem kann er Ihre Aktivitäten ausspionieren und weitere sensible Informationen von Ihrem Gerät stehlen.
Wenn Sie jedoch MFA aktiviert haben, kann sich der Hacker nicht allein mit Ihrem Passwort bei Ihrem CRM-Konto anmelden. Er benötigt einen weiteren Verifizierungsfaktor. Dadurch wird verhindert, dass er auf Ihre Kundendaten zugreift, und Ihr Gerät wird vor weiterem Schaden geschützt.
Empfohlenes MFA-Tool: Salesforce Authenticator
Authentifizierungs-Apps, insbesondere Salesforce Authenticator, sind in diesem Szenario die beste Wahl. Salesforce Authenticator ist eine reibungslose Lösung, die die MFA-Verifizierung durch einfache Push-Benachrichtigungen erleichtert, die in Ihren Salesforce-Anmeldeprozess integriert sind.
Von allen MFA-Beispielen sind Sicherheitsfragen jedoch keine besonders wirksame Schutzmaßnahme für den Zugriff auf CRM-Plattformen.
| Empfohlenes MFA-Tool: Salesforce-Authenticator-App | Nicht empfohlen: Sicherheitsfragen |
|---|---|
| • Push-Benachrichtigungen ermöglichen einen schnellen Zugriff und reduzieren manuelle Eingaben über die Tastatur, die für Keylogger anfällig ist. | • Persönliche Informationen sind vorhersehbar. |
| • Automatisiert die Authentifizierung ausschließlich von vertrauenswürdigen Standorten aus. | • Keylogger können die Antworten erfassen, wenn Sie die Sicherheitsfragen einrichten oder sie zur Authentifizierung eingeben. |
| • Verfügt über zeitbasierte Einmalpasswörter (TOTPs), die eine Anmeldung bei Ihren Konten ohne Internetverbindung ermöglichen. | • Ihre statische Beschaffenheit macht sie im Falle einer Kompromittierung anfälliger. |
| • TOTPs laufen schnell ab, wodurch ihre Ausnutzung durch einen Keylogger erschwert wird. | • Benutzer vergessen ihre Antworten möglicherweise mit der Zeit, insbesondere wenn sie die Sicherheitsfragen nicht häufig verwenden. |
4. Anmeldung bei HR-Software
Stellen Sie sich vor, Sie sind HR-Manager in einem Unternehmen, das Intranet-Software zur Verwaltung von Mitarbeiterinformationen, Gehaltsabrechnungen, Zusatzleistungen und Leistungsbeurteilungen nutzt. Sie melden sich mit Ihrem Benutzernamen und Passwort am System an und erhalten dadurch Zugriff auf persönliche Daten, Gehälter, Bankkonten und Steuerformulare der Mitarbeiter.
Sie erhalten eine E-Mail, die scheinbar von Ihrer IT-Abteilung stammt und Sie aufgrund eines Sicherheitsproblems auffordert, Ihr Passwort zu aktualisieren. Da Sie der E-Mail vertrauen, klicken Sie auf den Link und geben Ihr aktuelles sowie Ihr neues Passwort ein.
Ohne dass Sie es bemerken, handelt es sich dabei um einen Phishing-Versuch. Der Link führt zu einer gefälschten Website, die Ihre Anmeldedaten abfängt. Der Hacker, der die E-Mail verschickt hat, verfügt nun über Ihren Benutzernamen und Ihr Passwort und kann sich damit als Sie in Ihrem Intranet anmelden.
Der Hacker kann verschiedene Aktionen durchführen, die Ihrem Unternehmen und seinen Mitarbeitern schaden könnten. Er könnte vertrauliche Daten stehlen oder offenlegen, Gehalts- oder Zusatzleistungsdaten manipulieren, Leistungsbeurteilungen verfälschen oder sich sogar als Sie ausgeben, um schädliche E-Mails an andere Mitarbeiter zu senden. Dies könnte zu finanziellen Verlusten, rechtlichen Haftungsrisiken oder einem Reputationsschaden führen.
Ist MFA für Ihr Intranet-Konto aktiviert, kann sich der Hacker nicht allein mit Ihrem Benutzernamen und Passwort als Sie anmelden. Sofern er keinen Zugriff auf weitere Verifizierungsfaktoren hat, hindert ihn das System am Zugriff auf Ihr Konto.
Empfohlenes MFA-Tool: Biometrische Verifizierung
Die biometrische Verifizierung ist äußerst sicher und praktisch, da sie Ihre individuellen körperlichen oder verhaltensbezogenen Merkmale zur Identitätsprüfung verwendet. Außerdem müssen Sie sich keine Codes merken oder diese eingeben und keine zusätzlichen Geräte mitführen, was schnelle Anmeldungen besonders bequem macht. Zahlreiche Anbieter ermöglichen hochsichere MFA-Optionen einschließlich biometrischer Verifizierung, darunter 1Password, Nordpass und Bitwarden.
In diesem Szenario ist MFA per SMS nicht die sicherste Wahl. SMS-basierte MFA weist mehrere Schwachstellen auf, darunter fehlende Verschlüsselung, Netzausfälle, SS7-Angriffe, Social Engineering und SIM-Swapping.
| Empfohlenes MFA-Tool: Biometrische Authentifizierung | Nicht empfohlen: SMS-basierte MFA |
|---|---|
| • Sicher und praktisch. | • In manchen Regionen anfällig für netzbedingte Probleme. |
| • Verwendet individuelle körperliche oder verhaltensbezogene Merkmale zur Identitätsprüfung. | • Anfällig für SIM-Swapping-Angriffe und Phishing-Betrug. |
| • Macht es überflüssig, sich Codes zu merken oder diese einzugeben. | • Aufgrund möglicher Abfangrisiken weniger sicher. |
| • Kein zusätzliches Gerät erforderlich. |
5. Zugriff auf proprietäre Software
Proprietäre Software enthält häufig wertvolle Informationen wie Geschäftsgeheimnisse und geistiges Eigentum, die vor unbefugtem Zugriff geschützt werden müssen.
Stellen Sie sich das Szenario eines Softwareentwicklers vor, der an einem Projekt arbeitet, das GitHub, einer Plattform für die Zusammenarbeit an Code, dessen Verwaltung und die Bereitstellung von Anwendungen. Wenn der Entwickler für den Zugriff auf GitHub nur einen Benutzernamen und ein Passwort verwendet, könnte ein Hacker diese Zugangsdaten möglicherweise durch Phishing, Keylogging oder Credential Stuffing kompromittieren. Anschließend könnte der Hacker Zugriff auf das Code-Repository des Entwicklers erlangen, was zu potenziellen Folgen wie Datendiebstahl, Code-Manipulation oder böswilligen Änderungen führen könnte.
MFA erschwert die Versuche des Hackers, sich als der Entwickler auszugeben und auf dessen GitHub-Konto zuzugreifen, jedoch erheblich, da dafür der Sicherheitsschlüssel, das Telefon des Entwicklers oder der Zugriff auf dessen Authentifizierungs-App erforderlich ist. MFA dient als Abschreckung gegen diese Form des Angriffs, schützt den Zugriff auf proprietäre Software und bewahrt deren Integrität.
Empfohlenes MFA-Tool: Sicherheitsschlüssel
Physische Sicherheitsschlüssel sind in diesem Szenario aufgrund ihrer überlegenen Sicherheitsfunktionen und der Unterstützung mehrerer Authentifizierungsformen, darunter der universelle zweite Faktor (U2F) und der FIDO2-Standard, die empfohlenen MFA-Tools.
MFA-Tools, die keine offenen Standards wie TOTPs unterstützen, sind in dieser Situation am wenigsten effektiv.
| Empfohlenes MFA-Tool: Sicherheitsschlüssel | Nicht empfohlen: MFA ohne Unterstützung offener Standards |
|---|---|
| • Phishing-Angriffen und dem Diebstahl von Zugangsdaten gegenüber resistent. | • Basiert auf OTP-Token, die nicht so sicher sind wie einige Alternativen. |
| • Erfordert eine physische Interaktion zur Authentifizierung. | • Anfällig für Phishing-Angriffe, insbesondere im Vergleich zu Methoden auf Basis von FIDO2/WebAuthn. |
| • Bietet zusätzlichen Komfort durch eine schnelle physische Aktion (z. B. das Einstecken des Schlüssels), anstatt Codes oder Sicherheitsfragen eingeben zu müssen. | • Unterstützt keine offenen Standards wie FIDO2/WebAuthn. |
| • Keine Abhängigkeit von Mobilfunknetzen. | • Erfüllt möglicherweise keine strengen Sicherheits- und Compliance-Anforderungen. |
| • Unterstützt offene Standards wie FIDO2/WebAuthn. | |
| • Ermöglicht eine passwortlose oder PIN-basierte Authentifizierung. | |
| • Hilft dabei, regulatorische Anforderungen an eine starke Authentifizierung und den Datenschutz zu erfüllen. | |
| • Besonders relevant für proprietäre Software und sensible Code-Repositorys. |
6. Fernzugriff
In diesem Szenario ist Ihre Gesundheitseinrichtung in hohem Maße auf den Fernzugriff angewiesen, damit Ärzte und Verwaltungsmitarbeiter auf Patientenakten und medizinische Systeme zugreifen können. Ein Angreifer gibt sich als vertrauenswürdige Quelle wie ein Kollege oder ein medizinischer Verband aus und sendet einem Ihrer Ärzte eine schädliche E-Mail. Die E-Mail enthält eine gefälschte Anmeldeseite, die dem Fernzugriffsportal Ihrer Organisation stark ähnelt.
Ohne den Schutz durch MFA erhält der Angreifer unbefugten Zugriff auf sensible Patientendaten und medizinische Systeme, wenn der Arzt diesem Phishing-Angriff zum Opfer fällt und unwissentlich seinen Benutzernamen und sein Passwort eingibt. Dieser Sicherheitsverstoß kann zu Verletzungen der Vertraulichkeit von Patientendaten, rechtlichen Haftungsrisiken und einem Reputationsschaden für Ihre Organisation führen.
Ist MFA jedoch aktiviert, kann der Angreifer selbst dann nicht auf das System zugreifen, wenn er die Anmeldedaten des Arztes erlangt, da der zusätzliche Authentifizierungsfaktor fehlt, beispielsweise ein biometrischer Faktor wie der Fingerabdruck.
Empfohlenes MFA-Tool: Fingerabdruck
Wir empfehlen das Scannen von Fingerabdrücken ausdrücklich als zuverlässige Authentifizierungsmethode zur Absicherung des Fernzugriffs im Gesundheitswesen. Es bietet eine ausgezeichnete und benutzerfreundliche Lösung zum Schutz sensibler Patientendaten und zur Wahrung der Compliance.
MFA per E-Mail wird nicht empfohlen, da dies zu Sicherheitsverzögerungen und Unannehmlichkeiten für Benutzer führen kann.
| Empfohlenes MFA-Tool: Fingerabdruck | Nicht empfohlen: MFA per E-Mail |
|---|---|
| • Fingerabdruckmuster sind einzigartig, wodurch eine Replikation nahezu unmöglich ist. | • Führt zu möglichen Verzögerungen im Authentifizierungsprozess. |
| • Gewährleistet die Nichtabstreitbarkeit und Integrität von Gesundheitsdaten. | • Benutzer müssen möglicherweise zu ihrer E-Mail-Anwendung wechseln, um Codes oder Links abzurufen. |
| • Schnelle und benutzerfreundliche Methode, für die keine Codes auswendig gelernt werden müssen. | • Unpraktisch, insbesondere in zeitkritischen Situationen im Gesundheitswesen. |
| • Lässt sich nahtlos in Geräte integrieren und fördert die Hygiene in infektionssensiblen Umgebungen. | |
| • Entspricht Gesundheitsvorschriften wie HIPAA. | |
| • Nach der Anschaffung der erforderlichen Hardware kostengünstig. | |
| • Verringert das Risiko eines unbefugten Zugriffs, da Fingerabdrücke weder vergessen noch gestohlen werden können. |
7. Zugriff auf cloudbasierte Dienste
Ihr Unternehmen nutzt cloudbasierte Tools für die Zusammenarbeit, ähnlich wie Microsoft 365 oder Google Workspace, für die E-Mail-Kommunikation, den Dokumentenaustausch und das Projektmanagement. In diesem Szenario besteht die Bedrohung in einem Brute-Force- oder Passwort-Raten-Angriff.
Wenn der Angreifer Zugriff auf eine Liste von Benutzernamen erhält (möglicherweise durch eine Datenschutzverletzung an anderer Stelle) und versucht, Passwörter zu erraten, kann er Konten gefährden, für die MFA nicht aktiviert ist. Die Wahrscheinlichkeit eines erfolgreichen Angriffs steigt, wenn viele Benutzer Passwörter bei mehreren Diensten wiederverwenden.
Durch die Aktivierung von MFA können Sie Ihr Konto effektiver schützen. MFA wirkt Brute-Force-Angriffen entgegen und verhindert unbefugten Zugriff, selbst wenn jemand Ihre Passwörter kompromittiert. Ein Angreifer kann nicht auf Ihr Konto zugreifen, ohne über die zusätzlichen Faktoren zu verfügen, die nur Sie besitzen, etwa ein Smartphone mit einem zeitbasierten Authentifizierungscode.
Empfohlenes MFA-Tool: Phishing-resistente MFA
Bei cloudbasierten Tools für die Zusammenarbeit empfehlen wir eine app-basierte Authentifizierung mit TOTP oder Token. Sie könnten auch einen Unternehmenspasswort-Manager wie 1Password, Dashlane oder Keeper. Seien Sie jedoch vorsichtig: Vermeiden Sie eine app-basierte Authentifizierung, die sich ohne Nummernabgleich ausschließlich auf Push-Benachrichtigungen stützt, da diese weniger sicher und anfällig für Phishing- und Push-Bombing-Angriffe ist. Bei solchen Angriffen sendet ein Angreifer wiederholt Push-Anfragen, bis der Benutzer auf „Akzeptieren“ klickt.
| Empfohlenes MFA-Tool: TOTP- und tokenbasierte Apps | Nicht empfohlen: Push-Benachrichtigungen ohne Nummernabgleich |
|---|---|
| • Nutzt fortschrittliche biometrische Authentifizierung, Hardware-Token oder Push-Benachrichtigungen, wodurch es Angreifern erschwert wird, sich als Benutzer auszugeben oder auf deren Konten zuzugreifen. | • Kein Verifizierungsschritt, nachdem der Benutzer die Aufforderung akzeptiert hat, wodurch Raum für Benutzerfehler bleibt. |
| • Verteidigt wirksam gegen Password Spraying und Brute-Force-Angriffe, indem zwischen echten und von Angreifern erstellten gefälschten Domains unterschieden und der Authentifikator kryptografisch an die Domain gebunden wird. | • Anfällig für Phishing, Spoofing und Push-Bombing. |
| • Schützt vor Angriffen auf Grundlage von durchgesickerten Zugangsdaten von Websites Dritter (Password Stuffing). | • Unwirksam gegen fortschrittliche Angriffstechniken wie Frameworks auf Reverse-Proxy-Basis. |
Fazit: MFA ist in jeder Branche ein universeller Bedarf für die Cybersicherheit
Organisationen können die Verwendung verschiedener MFA-Methoden durchsetzen, etwa SMS-Codes, E-Mail-Links, biometrische Verfahren oder Hardware-Token. Durch die Implementierung mehrerer MFA-Beispiele kann Ihr Unternehmen seine Netzwerksicherheit verbessern, Vorschriften einhalten und das Vertrauen der Kunden stärken.
MFA kann Unternehmen außerdem zahlreiche Vorteile in Form von Kosteneinsparungen, Kundentreue und Wettbewerbsvorteilen bringen. Darüber hinaus kann MFA das Vertrauen und die Zufriedenheit der Kunden steigern, da sie sich bei der Nutzung Ihrer Dienste oder Produkte sicherer und zuversichtlicher fühlen.
Schließlich kann MFA Ihnen einen Vorteil gegenüber Ihren Wettbewerbern verschaffen, indem Sie Ihr Engagement für den Schutz der Daten und der Privatsphäre Ihrer Kunden unter Beweis stellen. Wenn Sie MFA in Ihrer gesamten Organisation durchsetzen, können Sie sich von der Masse abheben und sich einen positiven Ruf auf dem Markt erarbeiten.
Möchten Sie MFA jetzt nutzen? Lesen Sie unseren MFA-Einrichtungsleitfaden , der Sie durch die ersten Schritte auf einigen der gängigsten Plattformen führt.