Häufig gestellte Fragen
Reicht ein per SMS versandter Einmalcode (SMS-OTP) als MFA aus?
Formal erfüllt ein SMS-Code das Prinzip der Multi-Faktor-Authentifizierung, weil er den Besitzfaktor (das Mobiltelefon) abdeckt, gilt jedoch als die schwächste verbreitete Variante. SMS-Nachrichten laufen über Mobilfunknetze, die nie als sicherer Authentifizierungskanal konzipiert wurden, und lassen sich über SIM-Swapping oder Schwachstellen im SS7-Protokoll abfangen. Das US-Standardisierungsinstitut NIST rät bereits seit 2016 von SMS ab und stuft es in der Leitlinie SP 800-63 inzwischen als eingeschränkten Authenticator ein. Für niedrig privilegierte Konten ist SMS-OTP daher besser als gar kein zweiter Faktor, für administrative oder Finanzzugänge im ERP sollten jedoch App-basierte Einmalcodes (TOTP) oder FIDO2-Schlüssel zum Einsatz kommen.
Was sind Passkeys und worin unterscheiden sie sich von klassischer MFA?
Passkeys sind passwortlose Anmeldedaten auf Basis der FIDO2- und WebAuthn-Standards, bei denen ein kryptografisches Schlüsselpaar an das Gerät des Nutzers gebunden ist und die Freigabe per Biometrie, PIN oder Geräteentsperrung erfolgt. Anders als TOTP- oder SMS-Codes setzen Passkeys auf asymmetrische Kryptografie statt auf geteilte Geheimnisse und sind dadurch von Natur aus phishing-resistent, weil die Anmeldedaten an die jeweilige Domain gebunden sind und auf einer gefälschten Website schlicht nicht funktionieren. Sie gelten als die nächste Entwicklungsstufe nach klassischer MFA und werden inzwischen von allen großen Betriebssystemen und Browsern unterstützt. Im ERP-Umfeld eignen sie sich besonders für besonders schützenswerte Rollen, sofern das System oder der angebundene Identitätsdienst WebAuthn unterstützt.
Ist MFA für Unternehmen gesetzlich vorgeschrieben?
Eine pauschale MFA-Pflicht für alle Unternehmen gibt es nicht, für bestimmte Organisationen ergibt sie sich jedoch faktisch aus regulatorischen Vorgaben. Die NIS-2-Richtlinie beziehungsweise das deutsche NIS-2-Umsetzungsgesetz benennt Multi-Faktor- oder kontinuierliche Authentifizierung ausdrücklich als eine der geforderten Risikomanagementmaßnahmen für sogenannte wichtige und besonders wichtige Einrichtungen. Bei Verstößen drohen je nach Einstufung Bußgelder im Millionenbereich (bis zu zehn Millionen Euro für besonders wichtige Einrichtungen), und die Geschäftsleitung kann persönlich in die Haftung genommen werden. Hinzu kommen branchenspezifische Anforderungen und Prüfstandards wie SOC 2, die MFA für kritische Systeme zwar nicht ausdrücklich vorschreiben, sie aber faktisch als prüfungsrelevante Erwartung an starke Zugangskontrollen voraussetzen.
Was ist der Unterschied zwischen MFA und 2FA?
Zwei-Faktor-Authentifizierung (2FA) ist ein Spezialfall der Multi-Faktor-Authentifizierung mit genau zwei voneinander unabhängigen Nachweisen, während MFA als Oberbegriff zwei oder mehr Faktoren umfasst. Beide Verfahren beruhen auf denselben drei Kategorien Wissen, Besitz und Inhärenz, und entscheidend ist in beiden Fällen, dass die Faktoren aus unterschiedlichen Kategorien stammen. Zwei Passwörter nacheinander gelten daher weder als 2FA noch als MFA, weil sie beide dem Faktor Wissen zuzuordnen sind. In der Praxis arbeiten die meisten Anmeldungen mit zwei Faktoren, sodass die Begriffe 2FA und MFA umgangssprachlich oft synonym verwendet werden.
Was ist ein MFA-Fatigue-Angriff und wie lässt er sich verhindern?
Bei einem MFA-Fatigue-Angriff, auch Push- oder Prompt-Bombing genannt, besitzt der Angreifer bereits ein gültiges Passwort und löst in kurzer Folge zahlreiche Push-Anfragen aus, in der Hoffnung, dass der genervte oder unaufmerksame Nutzer eine davon bestätigt. Die Methode funktioniert, weil das bloße Wegtippen einer Push-Benachrichtigung kaum kognitiven Aufwand erfordert und Gewohnheit sowie Stress die Fehlerwahrscheinlichkeit erhöhen. Wirksame Gegenmaßnahmen sind Number-Matching, bei dem der Nutzer eine im Login angezeigte Zahl in der App eintippen muss, sowie zusätzlicher Kontext zu Standort und Anwendung, Begrenzungen der Anfragehäufigkeit und Schulungen. Den stärksten Schutz bieten phishing-resistente Verfahren wie FIDO2 oder Passkeys, da hier keine Freigabe per einfachem Tippen mehr erfolgt.
Wie führt man MFA in einem bestehenden ERP-System sinnvoll ein?
Empfehlenswert ist ein gestufter Rollout, der mit administrativen Zugängen und besonders kritischen Rollen wie der Buchhaltung beginnt und anschließend auf die gesamte Belegschaft ausgeweitet wird. Viele ERP-Lösungen bringen MFA nativ mit oder lassen sich über einen zentralen Identitätsdienst wie Active Directory oder einen Cloud-Verzeichnisdienst anbinden, was einer isolierten Insellösung vorzuziehen ist. Wichtig sind klar definierte Prozesse für Geräteverlust und Wiederherstellung sowie hinterlegte Backup-Codes, damit gesperrte Nutzer den Betrieb nicht blockieren. Da umständliche Verfahren zu Umgehungsversuchen verleiten, sind Akzeptanz und Schulung der Mitarbeitenden ebenso wichtig wie die technische Umsetzung selbst.