Multi-Faktor-Authentifizierung
Definition
Multi-Faktor-Authentifizierung (MFA) ist ein Authentifizierungsverfahren, das mindestens zwei voneinander unabhängige Nachweisfaktoren erfordert — typischerweise eine Kombination aus Wissensfaktor (Passwort), Besitzfaktor (Hardware-Token, Smartphone-App) und Inhärenzfaktor (Biometrie wie Fingerabdruck). MFA reduziert das Risiko eines Kontoübernahme-Angriffs (Account Takeover) drastisch, da ein kompromittiertes Passwort allein nicht mehr zur erfolgreichen Authentifizierung ausreicht. Das BSI hat MFA für privilegierte Zugänge, Remote-Verbindungen und kritische Systeme als verbindliche Mindestmaßnahme für NIS2-betroffene Einrichtungen definiert. SMS-basierte Einmalpasswörter (SMS-OTP) gelten als schwächste MFA-Variante und sollten durch App-basierte TOTP (Time-based One-Time Passwords) oder phishing-resistente FIDO2-Tokens ersetzt werden, da SMS-OTP anfällig für SIM-Swapping-Angriffe ist.
Rechtsgrundlage
§ 30 Abs. 2 Nr. 3 BSIG schreibt den Einsatz sicherer Authentifizierungsverfahren explizit als Mindestmaßnahme vor und schließt nach BSI-Auslegung MFA für alle privilegierten Zugänge sowie Remote-Zugriffe verbindlich ein. Das BSI IT-Grundschutz-Kompendium (Baustein ORP.4 Identitäts- und Berechtigungsmanagement) konkretisiert die MFA-Anforderungen und benennt akzeptierte Verfahren sowie deren Schutzniveaus. ISO/IEC 27001:2022 Anhang A, Kontrolle 8.5 (Secure authentication) fordert angemessene Authentifizierungsverfahren basierend auf dem klassifizierten Schutzbedarf der jeweiligen Ressource und schließt schwache Verfahren für hochkritische Systeme aus.
Praktische Implikation
Implementieren Sie MFA prioritär für alle privilegierten Zugänge (Administratoren, Remote-Zugänge, Cloud-Konsolen) als kurzfristige Hochrisiko-Maßnahme mit maximalem Schutzeffekt bei vergleichsweise geringem Implementierungsaufwand. Erweitern Sie MFA schrittweise auf alle Nutzerkonten, beginnend mit kritischen Geschäftsanwendungen, E-Mail-Zugängen und VPN-Verbindungen. Wählen Sie App-basierte Authentifikatoren (z. B. Microsoft Authenticator, Google Authenticator) oder phishing-resistente Hardware-Security-Keys (FIDO2) anstelle von SMS-OTPs als bevorzugte MFA-Methoden. Schulen Sie alle Nutzer zur Handhabung des MFA-Verfahrens, zur sicheren Aufbewahrung von Recovery-Codes und zum Schutz ihrer Registrierungsgeräte. Dokumentieren Sie die MFA-Abdeckung sowie ausstehende Konten, da das BSI bei Prüfungen den vollständigen MFA-Rollout-Status einfordern kann.
Verwandte Begriffe
Verwandte Inhalte
Fachbegriffe geklärt — und jetzt?
Wir helfen Ihnen, NIS2-Anforderungen in konkrete Maßnahmen umzusetzen.
Beratung anfragen