# Mehr-Faktor-Authentifizierung (MFA)

- Veröffentlicht: 2026-09-27
- Aktualisiert: 2026-09-27
- Quelle: https://art-kon-tor-digital.de/glossar/mfa/

---

Glossar · IT & KI

# Mehr-Faktor-Authentifizierung MFA

Kurz gesagt

Mehr-Faktor-Authentifizierung (MFA) sichert eine Anmeldung mit mindestens zwei unabhängigen Nachweisen ab: etwas, das du weißt (Passwort), etwas, das du hast (Smartphone-App, Hardware-Schlüssel, Passkey), oder etwas, das du bist (Fingerabdruck). Ein gestohlenes Passwort allein reicht dann nicht mehr für den Zugriff. MFA ist die wirksamste Einzelmaßnahme gegen Kontoübernahmen und in Regelwerken wie NIS2 ausdrücklich vorgesehen.

[Zur Leistung](/it/cyber-security/)

![](https://art-kon-tor-digital.de/wp-content/uploads/2026/09/soc-1024x683.webp)

### Warum das für dich wichtig ist

Die meisten Angriffe auf Unternehmen beginnen nicht mit einer Sicherheitslücke, sondern mit einem Passwort: abgefischt per E-Mail, aus einem Datenleck wiederverwendet oder erraten. Mit MFA läuft dieser Angriff ins Leere, weil der Angreifer das zweite Merkmal nicht hat. Für E-Mail, VPN, Fernwartung, Cloud-Dienste und Admin-Zugänge ist das keine Kür.

Nicht alle Verfahren sind gleich stark. SMS-Codes lassen sich abfangen, App-Codes (TOTP) per gefälschter Anmeldeseite in Echtzeit weiterleiten. Passkeys und Hardware-Schlüssel nach FIDO2 sind an die echte Domain gebunden und damit gegen Phishing resistent.

### Worauf es ankommt

- Zuerst die Zugänge mit dem größten Schaden: Admin-Konten, E-Mail, VPN, Fernwartung, Buchhaltung, Cloud-Verwaltung.
- Ein Wiederherstellungsweg muss existieren, verlorene Smartphones sind Alltag. Backup-Codes gehören sicher verwahrt, nicht in den Posteingang.
- MFA für alle, auch die Geschäftsführung. Ausnahmen für „wichtige“ Personen sind die Lücke, die Angreifer suchen.
- Zentral verwalten: Eine Benutzerverwaltung, an der alle Dienste hängen, macht MFA einmal statt zehnmal zum Thema.
- Einführung ankündigen und begleiten. Der häufigste Widerstand kommt nicht von der Technik, sondern von Mitarbeitern, die den zweiten Schritt als Schikane empfinden, bis der erste Phishing-Versuch daran scheitert.

### Wie wir damit arbeiten

MFA ist Bestandteil jeder [Cyber-Security-Umsetzung](/it/cyber-security/) bei uns. In der Praxis heißt das: ein Passwort-Manager für das ganze Team, Vaultwarden, und der zweite Faktor über eine Authenticator-App (Microsoft oder Google Authenticator); Hardware-Schlüssel dort, wo es sich lohnt, etwa für Administratoren. Alles hängt an einer zentralen Benutzerverwaltung, an der Nextcloud, VPN und Fachanwendungen angebunden sind. Im Rahmen von [NIS2](/it/cyber-security/nis2/) dokumentieren wir die Abdeckung je System; im laufenden Betrieb gehört sie zur [IT-Betreuung](/it/it-betreuung/).

**Verwandte Begriffe:** [NIS2](/glossar/nis2/), [VPN](/glossar/vpn/), [3-2-1-Backup](/glossar/backup-3-2-1/)

## FAQHäufige Fragen zu Mehr-Faktor-Authentifizierung

Ist MFA dasselbe wie Zwei-Faktor-Authentifizierung?
Fast. Zwei-Faktor-Authentifizierung (2FA) ist der häufigste Fall von MFA, mit genau zwei Nachweisen, etwa Passwort plus Code aus einer App. MFA ist der Oberbegriff und schließt Verfahren mit mehr Faktoren ein. Im Alltag werden beide Begriffe meist gleich verwendet.

Ist ein Code per SMS sicher genug?
Besser als nur ein Passwort, aber das schwächste der gängigen Verfahren: SMS lassen sich abfangen oder per SIM-Tausch umleiten. Eine Authenticator-App ist deutlich sicherer, Passkeys und Hardware-Schlüssel nach FIDO2 schützen zusätzlich vor Phishing. Für Admin-Konten und Fernzugänge empfehlen wir SMS nicht.

Was passiert, wenn ich das Smartphone mit der Authenticator-App verliere?
Dann brauchst du einen Wiederherstellungsweg, der vorher eingerichtet wurde: Backup-Codes, einen zweiten registrierten Faktor oder einen Administrator, der den Zugang zurücksetzt. Deshalb richten wir MFA nie ohne diesen Weg ein. Backup-Codes gehören an einen sicheren Ort außerhalb des betroffenen Kontos, nicht ins E-Mail-Postfach.