Was ist Zwei-Faktor-Authentifizierung?
Bei der Zwei-Faktor-Authentifizierung braucht die Anmeldung neben dem Passwort einen zweiten Nachweis, etwa einen Code aus einer App oder einen Sicherheitsschlüssel, damit ein gestohlenes Passwort allein nicht reicht.
Ohne Fachbegriffe, für Betriebe ohne eigene IT.
Auf dieser Seite5 Abschnitte
Einfach erklärt
Bei der Zwei-Faktor-Anmeldung reicht das Passwort allein nicht. Dazu kommt ein zweiter Nachweis aus einer anderen Kategorie. Meist ist das etwas, das Sie besitzen: Ihr Smartphone mit einer App oder ein kleiner Sicherheitsschlüssel für den USB-Anschluss. Es ist wie am Geldautomaten: Die PIN allein nützt nichts ohne die Karte.
Warum das für Ihren Betrieb wichtig ist
Passwörter geraten in falsche Hände: über gefälschte Anmeldeseiten, Datenlecks bei Diensten oder Schadsoftware. Mit einem zweiten Faktor kann ein Angreifer mit dem erbeuteten Passwort allein nichts anfangen. Am wichtigsten ist das für E-Mail und Cloud-Dienste. Über das Postfach lassen sich die Passwörter vieler anderer Konten zurücksetzen.
Welche Verfahren es gibt
- Code per SMS: besser als nichts, aber gegen gefälschte Anmeldeseiten nicht geschützt, wenn der Angreifer den Code sofort weiterverwendet.
- App auf dem Smartphone: Sie zeigt einen Code, der meist alle 30 Sekunden wechselt, oder fragt, ob Sie die Anmeldung bestätigen.
- Sicherheitsschlüssel und Passkeys: Sie prüfen selbst, ob die Anmeldeseite echt ist. Das BSI stuft sie als widerstandsfähig gegen übliche Angriffe mit gefälschten Seiten und Mails ein, das sogenannte Phishing.
Was Sie tun können
Schalten Sie den zweiten Faktor zuerst für Administratoren ein, dann für alle Konten mit E-Mail- und Cloud-Zugang. Hinterlegen Sie für jede Person einen zweiten Weg, etwa einen Ersatzschlüssel oder Wiederherstellungscodes auf Papier. So sperrt ein verlorenes Smartphone niemanden aus. In Microsoft 365 kann Ihr IT-Dienstleister das zentral für alle einrichten. Die Selbstauskunft im IT-Sicherheitscheck fragt genau danach.
Achtung: Bestätigen Sie nie eine Anmeldung, die Sie nicht selbst ausgelöst haben. Angreifer, die Ihr Passwort kennen, schicken mitunter so lange Anfragen, bis jemand aus Versehen bestätigt.
Was Zwei-Faktor nicht kann
Codes per SMS oder App lassen sich auf einer täuschend echten Anmeldeseite mit abfangen, wenn der Angreifer sie sofort weiterreicht. Dagegen helfen nur Verfahren, die an die echte Adresse gebunden sind, wie Passkeys.
Faktoren und Verfahren
Zwei-Faktor-Authentisierung (2FA) kombiniert Faktoren aus zwei Kategorien: Wissen (Passwort, PIN), Besitz (Gerät, Token) oder Biometrie. Multi-Faktor-Authentisierung (MFA) ist der Oberbegriff. Das BSI hat die gängigen Verfahren bewertet:
| Verfahren | Grundlage | Echtzeit-Phishing nach BSI |
|---|---|---|
| E-Mail- oder SMS-TAN | – | nicht geschützt |
| TOTP-App | RFC 6238, aufbauend auf HOTP (RFC 4226) | nicht geschützt |
| Passkey, FIDO2-Token | W3C WebAuthn, FIDO CTAP | resistent gegen übliche Angriffe |
TOTP berechnet aus einem gemeinsamen Geheimnis K und der Zeit einen Code:
T = floor((Unixzeit - T0) / X) X = 30 s (Empfehlung RFC 6238)
TOTP = HOTP(K, T) gekürzt auf meist 6 Ziffern
Weil der Dienst das Geheimnis kennt, sieht das BSI bei TOTP wie bei SMS-TAN Schwächen, falls die Geheimnisse beim Dienst abfließen. Push-Bestätigungen in einer App sind anfällig für Ermüdungsangriffe (MFA Fatigue): Der Angreifer löst Anfragen aus, bis jemand genehmigt. Microsoft Authenticator lässt deshalb eine am Bildschirm angezeigte Zahl in der App eintippen.
Typische Fehler
- Altprotokolle offen. IMAP, POP3 oder SMTP mit einfacher Anmeldung kennen keinen zweiten Faktor. Microsoft blockiert diese Legacy-Authentifizierung mit den Sicherheitsstandards, weil sich MFA darüber umgehen lässt.
- Schwache Wiederherstellung. Einstufige Wiederherstellung, etwa ein Reset per SMS, kann ein starkes Verfahren nach BSI erheblich schwächen.
- Nur ein Faktor registriert. Das BSI rät, mehrere zweite Faktoren zu hinterlegen.
- Administratoren zuletzt. Privilegierte Konten gehören zuerst geschützt, am besten phishing-resistent. Microsoft verlangt MFA für Azure-Portal und Entra Admin Center seit Oktober 2024 schrittweise, für das Microsoft 365 Admin Center seit Februar 2025.
- Sammelkonten. Ein geteiltes Login mit 2FA auf dem Handy einer Person. Besser sind persönliche Konten mit Zugriff auf ein Team-Postfach.
Prüfen
In Microsoft Entra ID zeigt der Bericht unter Entra ID > Authentifizierungsmethoden > Aktivität, wer welche Methoden registriert hat. Er setzt Microsoft Entra ID P1 oder P2 voraus. Per PowerShell:
Connect-MgGraph -Scopes "AuditLog.Read.All"
Get-MgReportAuthenticationMethodUserRegistrationDetail -All |
Where-Object { -not $_.IsMfaRegistered } |
Select-Object UserPrincipalName, IsAdmin