Wenn Sie diesen Monat nur eine einzige Sache für die Sicherheit Ihres Unternehmens tun könnten, sollte es diese sein. Die Multifaktor-Authentifizierung (MFA) – die neben dem Passwort eine Bestätigung auf dem Mobiltelefon verlangt – blockiert die große Mehrheit der Angriffe, die mit gestohlenen Anmeldeinformationen beginnen, was wiederum die große Mehrheit der Angriffe auf KMU ausmacht. Sie kostet in den meisten Fällen keine Lizenzgebühren und ist innerhalb von zwei Wochen implementiert. Und dennoch finden wir Unternehmen mit 100 Arbeitsplätzen, bei denen nur der Administrator sie aktiviert hat. Dieser Artikel erklärt, wo Sie zuerst mit der Aktivierung beginnen sollten, welche Methoden Sie wählen sollten, welche Fehler Widerstände erzeugen und wie ein Plan aussieht, der niemanden blockiert.
Was MFA löst — und was nicht
Lösen Sie das häufigste Szenario: Jemand hat das Passwort auf einer gefälschten Website eingegeben oder es bei einem Dienst wiederverwendet, bei dem es zu einem Datenleck kam, und der Angreifer versucht, sich in die E-Mail oder das VPN einzulagern. Ohne MFA kommt er hinein. Mit MFA muss er zusätzlich das Mobiltelefon des Opfers autorisieren – und das gelingt ihm nicht. Das löst nicht alles: Es schützt weder vor bereits auf dem Computer installierter Schadsoftware noch vor einem Benutzer, der Anfragen ungeprüft genehmigt (darauf kommen wir noch zurück). Aber es schließt die Tür, durch die die Mehrheit eindringt.
Wo aktivieren, der Reihenfolge nach
- Microsoft 365 (oder Google Workspace)E-Mail, Dateien, Teams. Es ist die zentrale Identität des Unternehmens und das Ziel Nummer eins. Zuerst für alle Administratoren, dann für alle Benutzer.
- FernzugriffeVPN, Remote-Arbeit-Umgebung, veröffentlichte Portale. Alles, was über das Internet mit einem Passwort zugänglich ist. Wenn eines davon kein MFA unterstützt, kommt es für die Abschaltung infrage oder wird hinter etwas platziert, das es unterstützt – siehe Ein VPN reicht nicht mehr aus.
- Banken, Finanzen, Sozialversicherung, Lieferantenportaledie meisten verlangen es bereits; überprüfen Sie, ob die Methoden aktualisiert und mit den Firmenhandys verknüpft sind, nicht mit denen ehemaliger Mitarbeiter.
- GeräteverwaltungFirewall, Switches, Server, Domain- und Hosting-Panel der Website. Wenige Personen, hohe Wirkung.
- Passwort-Manager: obligatorisch, weil es alles andere bewahrt.
Welche Methode wählen
- Authentifizierungsanwendung mit Benachrichtigung und zu bestätigender Nummer (Microsoft Authenticator und ähnliche): die beste Balance aus Sicherheit und Bequemlichkeit für die meisten Menschen. Die zu bestätigende Nummer verhindert, dass jemand eine Anfrage genehmigt, die er nicht gestellt hat.
- Physische Schlüssel (FIDO2)die stärkste, Phishing-resistente Methode. Empfohlen für Administratoren, die Geschäftsführung und die Finanzabteilung.
- SMSbesser als nichts, aber anfällig für SIM-Swapping und Abfangen. Nur als Notlösung verwenden.
- Codes per E-Mailvermeiden — wenn die E-Mail kompromittiert ist, ist es der zweite Faktor auch.
Die Fehler, die Widerstand erzeugen
Die MFA bei jedem Login zu verlangen statt einmal täglich pro vertrauenswürdiges Gerät — die Leute fangen an, es zu hassen. Nicht vorherzusehen, wer kein Firmenhandy hat (physische Schlüssel oder Token lösen das). Alles am selben Tag ohne Vorwarnung aktivieren — der Helpdesk geht unter. Keine Wiederherstellungsmethode zu haben, wenn jemand das Handy verliert — man ist an einem Arbeitstag vom E-Mail-Zugriff ausgeschlossen. Und das Schlimmste: das “Bestätigen ohne hinzusehen” nicht zu erklären. Angreifer senden Dutzende von Bestätigungsanfragen, bis die Person aus Müdigkeit auf “Ja” klickt; die zu bestätigende Nummer und ein Satz in der Schulung (“genehmigen Sie niemals etwas, worum Sie nicht gebeten haben”) lösen das.
Zweiwöchiger Plan
- Tage 1-2: Für alle Administratoren aktivieren. Richtlinie festlegen: MFA obligatorisch, Sitzung für vertrauenswürdiges Gerät speichern, SMS nur als Fallback. Einen einseitigen Leitfaden mit Bildern vorbereiten.
- Tage 3-5Pilot mit einer Abteilung. 15-minütige Sitzung, Handynummer-Registrierung, Test. Fragen sammeln und den Leitfaden korrigieren.
- Tage 6-10restliche Abteilungen, eine pro Tag, mit verfügbarem Helpdesk. Wer sich nicht bis zum angegebenen Datum registriert, ist beim nächsten Login zur Registrierung verpflichtet – Microsoft lässt diese Übergangszeit zu.
- 11.-14. TageFernzugriffe und Geräte. Die alten Methoden blockieren. Im Dashboard überprüfen, wer noch nicht abgedeckt ist, und dies von Fall zu Fall lösen.
Was Sie neben Sicherheit gewinnen
Eine DSGVO-Anforderung nachweislich erfüllt. Eine NIS2-Anforderung erfüllt (die Richtlinie erwähnt ausdrücklich die Multifaktor-Authentifizierung). Ein Punkt weniger im Fragebogen zur Cyber-Versicherung, die fast immer danach fragt und die Prämie anpasst. Und weniger Anfragen nach “Ich glaube, jemand ist in meine E-Mail eingedrungen” – denn das ist niemand.
Wie sieht das bei unseren Kunden aus
In den Verträgen IT Unlimited MFA ist als Teil des Dienstes in Microsoft 365, im VPN und auf Administrationsgeräten konfiguriert Microsoft 365-Verwaltung Und da Geführte Cybersicherheit, mit bedingtem Zugriff, sodass nicht verwaltete Geräte nur über den Browser darauf zugreifen können. Der Monatsbericht zeigt den Prozentsatz der abgedeckten Konten an – dieser sollte 100% betragen.
Häufig gestellte Fragen
Hat die MFA Kosten?
In den meisten Microsoft 365- und Google Workspace-Plänen ist es enthalten. Physische Schlüssel kosten einige Dutzend Euro pro Person und sind für risikoreiche Positionen gerechtfertigt. Die eigentlichen Kosten sind der Zeitaufwand für die Implementierung und Schulung.
Müssen die Leute das bei jedem Login genehmigen?
Nein, wenn die Richtlinie richtig konfiguriert ist: einmal pro vertrautem Gerät, periodisch erneuert. Bei neuen oder unbekannten Geräten wird immer danach gefragt – das ist der Schutz.
Und wer keine Firmen-Apps auf dem privaten Handy installieren möchte?
Alternativen anbieten: physischer Schlüssel, Hardware-Token oder Firmenhandy für Funktionen, die dies rechtfertigen. Das ist kein Grund, jemanden zu befreien.
Mit aktivem MFA brauche ich immer noch einen Passwort-Manager?
Ja, MFA schützt das Konto, wenn das Passwort gestohlen wird; der Manager sorgt dafür, dass das Passwort nicht bei Diensten wiederverwendet wird, die kein MFA haben. Sie ergänzen sich — siehe den Artikel über Passwort-Manager im Unternehmen.
Gibt es immer noch Konten ohne MFA?
Wir haben MFA in Microsoft 365, bei Fernzugriffen und auf Geräten aktiviert, mit einer 15-minütigen Schulung pro Team und ohne jemanden zu blockieren. Sehen Sie sich unsere Managed Cybersecurity für Unternehmen Oder rufen Sie 211 459 950 an.
