Zum Inhalt
Kontakt

IT-Sicherheit · MFA und Authenticator-Apps

MFA ist nicht gleich MFA.

Ein zweiter Faktor wehrt laut Microsoft den Großteil identitätsbasierter Angriffe ab – etwa mit gestohlenen Passwörtern. Aber Code, Push und SMS haben unterschiedliche Schwachstellen – und Angreifer kennen sie. Diese Seite zeigt, wie Authenticator-Apps arbeiten, wo sie an Grenzen stoßen und wie Sie MFA im Unternehmen stärker machen.

So entsteht ein CodeMFA-Check

Was MFA leistet

Ein zweiter Faktor macht ein gestohlenes Passwort allein wertlos. Gegen eine Person, die den zweiten Faktor im richtigen Moment selbst liefert, hilft er nur, wenn er an den echten Dienst gebunden ist.

Darum unterscheiden Fachleute zwischen MFA und phishingresistenter MFA. Authenticator-Apps sind ein großer Schritt vom reinen Passwort – und viele können inzwischen selbst Passkeys speichern, den nächsten Schritt.

So entsteht ein Code

Sechs Ziffern aus Geheimnis und Uhrzeit

Zeitbasierte Einmalcodes (TOTP) sehen nach Zufall aus, sind aber exakt berechnet – auf Ihrem Smartphone und beim Dienst gleichzeitig. Scrollen Sie durch die Berechnung.

Gemeinsamer Startwertbeim Einrichten per QR-CodeAktuelle Zeitin 30-Sekunden-SchrittenHMACberechnenCode 482 913gilt für diesen ZeitschrittDienst rechnet nachgleicher Startwert, gleiche Zeit
Vereinfachtes Modell eines zeitbasierten Einmalcodes nach RFC 6238. Der gezeigte Code ist ein Beispiel.

  1. Einrichten

    Ein Geheimnis, zweimal gespeichert

    Beim Einrichten zeigt der Dienst einen QR-Code. Darin steckt ein zufälliger Startwert, den ab jetzt zwei Seiten kennen: die App auf Ihrem Smartphone und der Dienst. Genau das unterscheidet TOTP von einem Passkey, bei dem der Dienst nur einen öffentlichen Schlüssel erhält.

  2. Zeitschritt

    Die Uhr ist der zweite Baustein

    Die App zählt, wie viele 30-Sekunden-Schritte seit einem festen Zeitpunkt vergangen sind. Dieser Zähler ändert sich alle 30 Sekunden – daher der ablaufende Kreis in der App. Voraussetzung: Die Uhren von Smartphone und Dienst gehen ungefähr gleich.

  3. Berechnung

    Aus beidem wird eine Prüfsumme

    Startwert und Zeitzähler gehen in eine HMAC-Berechnung, ein standardisiertes kryptografisches Verfahren (RFC 6238 auf Basis von RFC 4226). Aus dem Ergebnis werden sechs Ziffern abgeleitet. Ohne Startwert lässt sich der nächste Code nicht vorhersagen.

  4. Code

    Sechs Ziffern, kurz gültig

    Der Code gilt nur für den aktuellen Zeitschritt; Dienste können zusätzlich den direkt davor oder danach akzeptieren, um kleine Uhrabweichungen auszugleichen. Danach ist er wertlos.

  5. Prüfung

    Der Dienst rechnet einfach nach

    Der Dienst kennt denselben Startwert und dieselbe Zeit, berechnet denselben Code und vergleicht. Passt er, ist bewiesen, dass Sie den Startwert besitzen – also Ihr Smartphone.

  6. Grenze

    Der Code weiß nicht, wo er eingegeben wird

    Nichts im Code verrät, für welche Webseite er gedacht ist. Tippen Sie ihn auf einer gefälschten Seite ein, kann der Angreifer ihn innerhalb der Gültigkeit beim echten Dienst verwenden. Genau diese Lücke schließen Passkeys mit der Bindung an die Domain.

Vergleich

SMS, Code, Push oder Passkey?

Ein zweiter Faktor per SMS oder Code hilft gegen Passwörter aus fremden Lecks, aber nicht gegen Echtzeit-Phishing: Den Code gibt man auf einer gefälschten Seite genauso ein, und SMS lassen sich zusätzlich per SIM-Tausch umleiten. Push-Bestätigungen sind anfällig für MFA-Fatigue – erst der Nummernabgleich macht aus einem Tipp eine bewusste Entscheidung. Passkeys und Sicherheitsschlüssel widerstehen auch Echtzeit-Phishing; eine bereits gestohlene Sitzung schützt keines der Verfahren.

Alle Verfahren Bedrohung für Bedrohung, jeweils mit Begründung, vergleicht die Seite Passwortlose Anmeldung.

Zum Verfahrensvergleich

Angriffe auf MFA

Wie Angreifer den zweiten Faktor umgehen

Drei typische Muster. Wählen Sie eines: Die Schritte zeigen, wo der Angriff ansetzt – und welche Maßnahme ihn an welcher Stelle aufhält.

Das Passwort stammt aus einem Datenleck. Nachts kommen zwanzig Anmeldeanfragen aufs Smartphone.

  1. Passwort erbeutetAngreiferAus einem Leck oder per Phishing.
  2. Zweiter Faktor wird angefordertDienstJeder Anmeldeversuch löst eine Push-Anfrage aus.
  3. Person reagiertPersonIrgendwann tippt jemand genervt auf „Genehmigen“.
  4. Was hilftUnternehmenNummernabgleich, Anzeige von App und Ort in der Anfrage, klare Regel: unerwartete Anfragen ablehnen und melden.

Mit Nummernabgleich läuft die Anfragenflut ins Leere – die Person kennt die Zahl nicht.

Alle Szenarien als Text

MFA-Fatigue – Das Passwort stammt aus einem Datenleck. Nachts kommen zwanzig Anmeldeanfragen aufs Smartphone.

  1. Passwort erbeutet: Aus einem Leck oder per Phishing.
  2. Zweiter Faktor wird angefordert: Jeder Anmeldeversuch löst eine Push-Anfrage aus.
  3. Person reagiert: Irgendwann tippt jemand genervt auf „Genehmigen“.
  4. Was hilft: Nummernabgleich, Anzeige von App und Ort in der Anfrage, klare Regel: unerwartete Anfragen ablehnen und melden.

Mit Nummernabgleich läuft die Anfragenflut ins Leere – die Person kennt die Zahl nicht.

Echtzeit-Phishing – Eine täuschend echte Anmeldeseite leitet alles live an den echten Dienst weiter.

  1. Gefälschte Anmeldeseite: Link per E-Mail, die Adresse sieht fast richtig aus.
  2. Zweiter Faktor wird angefordert: Der echte Dienst verlangt den zweiten Faktor – die Fälschung reicht die Frage durch.
  3. Person reagiert: Code eingegeben oder Push bestätigt – die Person erwartet die Anfrage ja.
  4. Sitzung übernommen: Der Angreifer erhält die angemeldete Sitzung.
  5. Was hilft: Phishingresistente Verfahren (Passkey, Sicherheitsschlüssel), Richtlinien mit Gerätebedingung.

Code und Push helfen hier nicht. Erst die Bindung an die Domain verhindert die Anmeldung auf der Fälschung.

SIM-Tausch – Ein Anrufer gibt sich beim Mobilfunkanbieter als Kunde aus und lässt die Rufnummer auf eine neue SIM übertragen.

  1. Passwort erbeutet: Etwa schon vorher per Phishing oder aus einem Datenleck erbeutet.
  2. Rufnummer übernommen: Die Rufnummer läuft jetzt auf das Gerät des Angreifers.
  3. Zweiter Faktor wird angefordert: Der SMS-Code geht an die neue SIM.
  4. Was hilft: SMS als Methode abschalten oder nur als Notlösung zulassen; App oder Passkey verwenden.

Der Angriff braucht keine Mitwirkung der Person – deshalb gilt SMS nur noch als eingeschränkt empfehlenswert.

Im Unternehmen

MFA stärker machen – Schritt für Schritt

Mehrere dieser Schritte brauchen keine neue Technik, sondern klare Regeln.

  1. Alle Konten, ohne Ausnahme

    Ein einziges Konto ohne zweiten Faktor – etwa ein altes Dienstkonto oder ein vergessenes Postfach – genügt als Einfallstor. Die Sicherheitsstandards von Microsoft Entra ID (ohne Zusatzlizenz) verlangen von allen Benutzern die Registrierung für MFA. Abgefragt wird sie bei Administratorrollen bei jeder Anmeldung, bei den übrigen Konten dann, wenn Microsoft es anhand von Ort, Gerät, Rolle und Aufgabe für nötig hält. Wer MFA verbindlich für bestimmte Anwendungen oder Situationen verlangen will, braucht bedingten Zugriff (ab Entra ID P1).

  2. Push nur mit Nummernabgleich

    Für Microsoft Authenticator ist der Nummernabgleich bei allen Push-Benachrichtigungen aktiviert und lässt sich nicht abschalten. Bei anderen Diensten und Apps lohnt der Blick in die Einstellungen. NIST empfiehlt außerdem, die Zahl der Push-Anfragen zu begrenzen.

  3. SMS und Anruf zurückfahren

    Als Übergang oder Notlösung vertretbar, als Standard nicht mehr. NIST stuft Verfahren über das Telefonnetz als eingeschränkt ein; Microsoft bezeichnet SMS als anfällig für Phishing aus der Ferne und empfiehlt phishingresistente Methoden.

  4. Administratoren phishingresistent

    Microsoft empfiehlt, für Administratorrollen – mindestens Globaler Administrator, Sicherheits-, Benutzer-, Exchange-, SharePoint-Administrator und weitere – phishingresistente MFA zu verlangen: über die Authentifizierungsstärke „Phishingresistente MFA“ im bedingten Zugriff. Vorher müssen die Administratoren passende Methoden registriert haben; Notfallzugriffskonten bleiben ausgenommen, sonst droht die Aussperrung.

  5. Authenticator als Passkey-Anbieter

    Microsoft Authenticator kann einen gerätegebundenen Passkey für das Entra-Konto speichern (Android 14 bzw. iOS 17 oder neuer). So wird aus der vertrauten App ein phishingresistentes Verfahren – ohne zusätzliche Hardware.

  6. Smartphone-Wechsel regeln

    TOTP-Einträge und App-Registrierungen ziehen nicht automatisch mit um. Ein geregelter Ablauf – Sicherung der App, Neuregistrierung, Entfernen des alten Geräts – verhindert Notfälle am ersten Tag mit dem neuen Telefon.

MFA-Check

Wie belastbar ist Ihre MFA?

Acht Fragen zur Lage in Ihrem Unternehmen. Am Ende sehen Sie, wo der größte Hebel liegt.

Frage 1 von 8 · AbdeckungVerlangen alle Benutzerkonten einen zweiten Faktor?

Orientierung, keine Bewertung. Der MFA-Check ersetzt keine Sicherheitsprüfung, Zertifizierung oder rechtliche Bewertung. Ihre Antworten werden nur in Ihrem Browser ausgewertet – nicht gespeichert und nicht übertragen.

Alle Fragen als Text
  1. Verlangen alle Benutzerkonten einen zweiten Faktor? (Nein oder unbekannt · Die meisten, mit Ausnahmen · Ja, alle)
  2. Sind Anmeldewege ohne MFA abgeschaltet (z. B. ältere Postfachprotokolle)? (Weiß ich nicht · Teilweise · Ja)
  3. Melden sich Administratoren phishingresistent an (Passkey, Sicherheitsschlüssel)? (Nein · Einige · Ja, verbindlich)
  4. Erfordern Push-Bestätigungen einen Nummernabgleich? (Nein oder unbekannt · Bei manchen Diensten · Ja, überall)
  5. Welche Rolle spielt SMS als zweiter Faktor? (Standardverfahren · Nur als Ausweichweg · Abgeschaltet)
  6. Ist die Erstregistrierung abgesichert, z. B. mit einem befristeten Zugangscode? (Nein, jeder registriert selbst · Teilweise · Ja, geregelt)
  7. Gibt es einen Ablauf bei Verlust oder Wechsel des Smartphones? (Nein · Informell · Ja, beschrieben und bekannt)
  8. Wissen Mitarbeitende, was bei unerwarteten Anmeldeanfragen zu tun ist? (Nein · Einige · Ja, mit Meldeweg)

Typische Missverständnisse

Mit MFA ist das Konto sicher.

Sicherer, ja – und gegen gestohlene Passwörter sehr wirksam. Aber Codes und Push-Bestätigungen lassen sich über Echtzeit-Phishing weiterreichen. Für besonders schützenswerte Konten sind phishingresistente Verfahren der nächste Schritt.

Die Authenticator-App ist immer besser als SMS.

Gegen SIM-Tausch und umgeleitete Nachrichten: ja. Gegen Echtzeit-Phishing sind beide anfällig. Und eine App ohne Nummernabgleich lädt zur gedankenlosen Bestätigung ein – das Risiko ist ein anderes, nicht null.

Ein Passwortmanager mit integriertem TOTP ist dasselbe wie eine Authenticator-App.

Nicht ganz. Liegen Passwort und Startwert im selben Tresor, hängt beides am selben Schutz – wer den Tresor öffnet, hat beide Faktoren. Das kann eine bewusste Abwägung sein, ist aber keine Trennung der Faktoren mehr.

Der IT-Support darf nach dem Code fragen.

Nein. Kein seriöser Support fragt nach einem Einmalcode, einer Nummer für den Nummernabgleich oder einer PIN. Wer danach fragt, sollte als Angriff gemeldet werden.

Ein neues Smartphone übernimmt die App einfach.

Nicht automatisch. Je nach App müssen Konten aus einer Sicherung wiederhergestellt oder neu registriert werden; bei Entra-Konten kann eine erneute Anmeldung oder Registrierung nötig sein. Planen Sie den Wechsel, bevor das alte Gerät zurückgesetzt ist.

Wie stark ist Ihre MFA wirklich?

Schildern Sie uns Ihre Ausgangslage – wir besprechen gern, welche Schritte zu Ihrer Umgebung passen, individuell und ohne Paketversprechen.

Kontakt aufnehmenMFA-Check starten