Nicht jede MFA ist gleich stark
SMS-Codes, Push-Benachrichtigungen, Authenticator-Apps, FIDO2-Sicherheitsschlüssel und zertifikatsbasierte Verfahren unterscheiden sich deutlich. Besonders reine Push-MFA kann anfällig für MFA-Fatigue sein, wenn Benutzer wiederholt Anfragen bestätigen.
KMU sollten deshalb prüfen, welche MFA-Methoden erlaubt sind, ob Nummernabgleich aktiviert ist und ob privilegierte Konten stärkere Methoden nutzen.
MFA braucht Kontext
Ein Login aus Österreich vom verwalteten Firmengerät ist anders zu bewerten als ein Login aus einem unbekannten Land von einem privaten Gerät. Conditional Access und risikobasierte Regeln helfen, solche Unterschiede zu berücksichtigen.
Sinnvoll sind Richtlinien für Administratoren, externe Zugriffe, nicht verwaltete Geräte, Legacy Authentication und riskante Anmeldungen. Ohne diese Regeln bleibt MFA oft zu grob.
Konten, Geräte und Prozesse zusammendenken
Auch mit MFA können Angriffe gelingen: Phishing-Proxys, gestohlene Sessions, Malware auf Endgeräten oder kompromittierte Admin-Konten sind reale Risiken. Deshalb gehören Endpoint-Schutz, Patch Management, Berechtigungsmanagement und Monitoring dazu.
Ebenso wichtig ist Awareness. Mitarbeiter müssen wissen, dass unerwartete MFA-Abfragen ein Warnsignal sind und gemeldet werden sollen.
Praktische Checkliste für KMU
- MFA für alle Benutzer und besonders Admins aktivieren
- Unsichere Legacy Authentication deaktivieren
- Conditional Access nach Risiko und Gerät einsetzen
- Starke MFA-Methoden für privilegierte Konten nutzen
- MFA-Meldungen und ungewöhnliche Logins überwachen
ITAdler Praxisfokus: ITAdler unterstützt KMU bei einer sinnvollen MFA- und Conditional-Access-Baseline für Microsoft 365 und Entra ID.