Die kurze Antwort: Ein SMS-Code ist der schwächste der üblichen zweiten Faktoren – die US-Behörde NIST führt ihn in ihrer aktuellen Richtlinie als „eingeschränkte“ Methode und verlangt, dass Anbieter zusätzlich eine andere Möglichkeit bereitstellen. Apps mit Einmalcodes (TOTP) und Push-Benachrichtigungen sind besser, lassen sich jedoch ebenfalls umgehen, wenn ein Angreifer eine transparente Proxy-Verbindung zwischen Sie und die Anmeldeseite schaltet. Nur Passkeys und FIDO2-Hardwareschlüssel verhindern diesen Angriff prinzipbedingt: Die Anmeldung ist kryptografisch an die Domain gebunden und wird auf einer gefälschten Adresse gar nicht erst gestartet. Beginnen Sie mit E-Mail-Konten, Administratorkonten und Fernzugängen – und erklären Sie Passkeys Ihren Mitarbeitern als das, was sie wirklich sind: weniger Tippen, nicht mehr.
MFA (Multi-Faktor-Authentifizierung) bedeutet, dass für die Anmeldung mehrere Dinge erforderlich sind: etwas, das Sie wissen (Passwort), etwas, das Sie besitzen (Telefon, Sicherheitsschlüssel) und gegebenenfalls etwas, das Sie sind (Fingerabdruck, Gesicht). 2FA ist eine Variante mit genau zwei Faktoren. Heute kommt es vor allem auf deren Qualität an.
Warum ein SMS-Code nicht mehr ausreicht
Eine Rufnummer lässt sich übernehmen (SIM-Swapping). Der Angreifer bringt den Mobilfunkanbieter durch Social Engineering, gefälschte Dokumente oder einen unredlichen Mitarbeiter dazu, die Rufnummer auf seine SIM-Karte zu übertragen. Von diesem Moment an erhält er die Anrufe und SMS des Opfers. Das US-amerikanische FBI-Zentrum IC3 meldete für den gesamten Zeitraum von Januar 2018 bis Dezember 2020 insgesamt 320 Anzeigen wegen SIM-Swapping mit Schäden von rund 12 Millionen US-Dollar. Allein 2021 waren es dagegen 1.611 Anzeigen und mehr als 68 Millionen US-Dollar Schaden.
Der Code lässt sich in Echtzeit abfangen. Eine betrügerische Website fragt nach dem Passwort, verwendet es sofort auf der echten Website, woraufhin diese eine SMS versendet, und fordert anschließend den Code an. Der Mitarbeiter gibt ihn ein, weil er genau in dem Moment eingetroffen ist, in dem er ihn erwartet hat.
Die Zustellung liegt nicht in Ihrer Hand. Eine SMS läuft über den Mobilfunkanbieter, gegebenenfalls über Roaming und mögliche Weiterleitungen. Das Unternehmen kann nicht überprüfen, wer sie tatsächlich gelesen hat.
Deshalb bezeichnet NIST in Revision 4 der Richtlinie SP 800-63B die Authentifizierung über das öffentliche Telefonnetz – sowohl per SMS als auch per Sprachanruf – als eingeschränkten Authentifikator. Anbieter sollen demnach gewährleisten, dass weitere Methoden verfügbar sind, Nutzer vor der Einrichtung auf die Einschränkungen hinweisen und vor dem Versand eines Codes Risikosignale berücksichtigen, darunter einen Gerätewechsel, einen SIM-Tausch, die Übertragung der Rufnummer und andere Abweichungen vom üblichen Verhalten.
Praktisch bedeutet das: Lassen Sie SMS nur dort als Ausweichmethode bestehen, wo der jeweilige Dienst keinen Ersatz unterstützt.
Der Angriff, der auch eine Code-App umgeht
Es gibt eine Angriffsklasse namens Adversary-in-the-Middle (AiTM), also ein Angreifer in der Mitte. Die betrügerische Website ist dabei keine statische Kopie, sondern fungiert als transparenter Vermittler: Sie unterhält zwei getrennte verschlüsselte Verbindungen – eine zum Opfer und eine zum echten Dienst – und leitet den Datenverkehr zwischen beiden weiter. Der Nutzer sieht den echten Anmeldedialog, meldet sich tatsächlich an und bestätigt auch den zweiten Faktor. Der Vermittler erbeutet dabei jedoch das Cookie der angemeldeten Sitzung – den Nachweis, dass die Authentifizierung bereits erfolgt ist. Mit diesem Cookie erhält er Zugriff auf das Konto, ohne dass das System erneut nach dem zweiten Faktor fragt. Microsoft beschrieb eine Kampagne, die seit September 2021 auf diese Weise mehr als 10.000 Organisationen ins Visier nahm. Anschließend versendeten die Angreifer aus den kompromittierten Postfächern betrügerische Rechnungsnachrichten.
Die Schwachstelle liegt nicht in der Länge des Codes. Sie besteht darin, dass der Nutzer das Geheimnis jedem übermitteln kann, der danach fragt. Die Abwehr muss ihm diese Möglichkeit nehmen. Dafür gibt es drei Ebenen:
- Eine an die Domain gebundene Methode. Weder ein Passkey noch ein Hardwareschlüssel wird auf einer fremden Domain angeboten, weil die Signatur für die konkrete Adresse des Dienstes erzeugt wird. Der Nutzer hat nichts, was er weitergeben könnte.
- Bedingter Zugriff. Microsoft weist darauf hin, dass die Zugriffsbedingungen jedes Mal erneut geprüft werden, wenn jemand versucht, ein gestohlenes Cookie zu verwenden. Die Anforderung eines verwalteten Geräts stoppt den Angriff selbst dann, wenn die Sitzung kompromittiert wurde.
- Überwachung der Folgeaktivitäten. Neue Postfachregeln, Weiterleitungen an fremde Adressen oder eine geänderte Bankverbindung in einer ausgehenden Rechnung: Solche Vorgänge werden in Protokollen überwacht. Wer rechtzeitig reagiert, kann ein Szenario wie im Artikel Ransomware im Unternehmen: die ersten 24 Stunden verhindern.
MFA-Müdigkeit und was Number Matching dagegen bewirkt
Der zweite Weg zur Umgehung von Push-Benachrichtigungen erfordert keinerlei technische Raffinesse. Ein Angreifer, der das Passwort bereits kennt, versucht sich einfach immer wieder anzumelden. Um ein Uhr nachts klingelt das Telefon des Nutzers, und nach der einundzwanzigsten Aufforderung bestätigt er die Anmeldung nur noch, um endlich Ruhe zu haben. Dieses Phänomen wird als MFA Fatigue bezeichnet.
Die Antwort darauf ist Number Matching (Zahlenabgleich): Auf dem Anmeldebildschirm erscheint eine zweistellige Zahl, die der Nutzer in die App übertragen muss. Wer die Anmeldung nicht selbst begonnen hat, sieht keine Zahl und kann folglich auch nichts eingeben. Microsoft hat diese Funktion für alle Push-Benachrichtigungen in Microsoft Authenticator verpflichtend aktiviert; Nutzer können sie nicht abschalten. Auf Smartwatches funktioniert sie nicht, und ältere Versionen der App können die Anmeldung nicht abschließen.
Number Matching ist jedoch kein Schutz vor Phishing. Es verhindert das Bombardieren mit Bestätigungsaufforderungen, hilft aber nicht gegen einen transparenten Proxy. In diesem Fall sieht der Nutzer die Zahl, weil der Vermittler sie vom echten Dienst weiterleitet. Deshalb gilt für Mitarbeiter die Regel: Bestätige niemals eine Anmeldung, die du nicht selbst gestartet hast, und melde den Vorfall. Der zweite Teil ist wichtiger – eine nicht genehmigte Aufforderung bedeutet, dass jemand das Passwort kennt.
Was Passkeys und FIDO2 sind
FIDO2 ist ein offener Standard für die Anmeldung ohne gemeinsames Passwort. Er besteht aus der vom Browser unterstützten Schnittstelle WebAuthn und dem Protokoll CTAP, über das der Browser mit einem Sicherheitsschlüssel oder Telefon kommuniziert. Ein Passkey ist ein auf diesen Standards basierender Anmeldenachweis, der auf einem Telefon, Computer oder Hardwareschlüssel gespeichert wird.
Bei der Registrierung wird ein Schlüsselpaar erzeugt. Den öffentlichen Schlüssel erhält der Dienst; der private bleibt auf Ihrem Gerät und verlässt es niemals. Bei der Anmeldung sendet der Dienst eine Anfrage. Nach dem Entsperren des Geräts per Fingerabdruck, Gesichtserkennung oder PIN wird diese signiert, und der Dienst prüft die Signatur. Es wird kein Geheimnis übertragen, sodass nichts abgehört oder aus der Datenbank des Dienstes gestohlen werden kann. Der Phishing-Schutz entsteht dadurch, dass der Authentifikator den Schlüssel anhand der überprüften Domain auswählt – NIST bezeichnet dies als Bindung an den Namen des Verifizierers. Unter einer anderen Adresse hat das Gerät nichts anzubieten; der Nutzer kann diesen Fehler gar nicht erst machen.
Passkeys gibt es in zwei Varianten, und der Unterschied ist für Unternehmen wesentlich:
- Ein synchronisierter Passkey wird verschlüsselt gesichert und zwischen Ihren Geräten geteilt – bei Apple über den iCloud-Schlüsselbund, den Apple als Ende-zu-Ende-verschlüsselt mit Schlüsseln beschreibt, die das Unternehmen selbst nicht kennt. Der Verlust eines Telefons führt daher nicht zum Verlust des Zugangs.
- Ein gerätegebundener Passkey (device-bound) wird nicht synchronisiert. Dazu gehören Hardwareschlüssel sowie direkt in Microsoft Authenticator gespeicherte Passkeys. Entra ID behandelt sie als gerätegebunden und setzt Android 14 beziehungsweise iOS 17 oder neuer voraus. Das bietet höhere Sicherheit, erfordert aber eine zusätzliche Wiederherstellungsmethode.
Hardwareschlüssel sollten Mitarbeiter erhalten, deren Konten für das Unternehmen besonders kritisch sind: Geschäftsführer, Buchhalter, IT-Administratoren und alle Personen, die Bankverbindungen ändern dürfen. YubiKeys sind mit USB-A, USB-C, NFC und Lightning erhältlich und unterstützen neben FIDO2 auch Smartcards (PIV). Eine vergleichbare Funktion erfüllt Google Titan. Kaufen Sie immer zwei Schlüssel pro Person – einen trägt der Nutzer bei sich, der zweite liegt im Tresor.
Vergleich der MFA-Methoden: Was kann welche Methode?
| Methode | Phishing-Resistenz | Komfort | Was Sie dafür benötigen |
|---|---|---|---|
| SMS-Code | keine – der Code kann abgefangen und die Rufnummer übernommen werden | Code muss übertragen werden, abhängig vom Mobilfunksignal | Telefonnummer |
| TOTP-App (Code aus einer Authenticator-App) | keine – der Code kann abgefangen werden; die Rufnummer lässt sich jedoch nicht übernehmen | Code muss übertragen werden, funktioniert offline | Telefon, Registrierung per QR-Code |
| Push-Benachrichtigung mit Number Matching | keine gegen Proxys, guter Schutz vor massenhaften Bestätigungsaufforderungen | Telefon entsperren und zweistellige Zahl eingeben | Telefon, aktuelle App, Datenverbindung |
| Passkey (synchronisiert) | hoch – die Signatur wird nur für die richtige Domain erzeugt | Fingerabdruck oder Gesichtserkennung, keine Codeeingabe | Gerät mit Apple-, Google- oder Microsoft-Konto |
| FIDO2-Hardwareschlüssel | hoch, außerdem verlässt der Schlüssel das Gerät nicht | einstecken oder annähern und berühren | zwei Schlüssel pro Person, USB-Anschluss oder NFC |
Die Tabelle ist eine Rangliste mit einer Einschränkung: Die beste Methode ist diejenige, die der Dienst unterstützt und die tatsächlich verwendet wird. Wenn das Buchhaltungssystem nur SMS unterstützt, aktivieren Sie SMS – und schützen Sie zusätzlich das E-Mail-Konto, über das sich der Zugang zurücksetzen ließe.
Wo MFA zuerst aktiviert werden sollte
- Geschäftliche E-Mail (Microsoft 365, Google Workspace). Über das Postfach lässt sich fast alles andere zurücksetzen. Diese Position darf nicht aufgeschoben werden.
- Administratorkonten. Globale Tenant-Administratoren, Domain-Administratoren sowie Zugänge zu Hosting und DNS. Microsoft erzwingt MFA für die Anmeldung an seinen Verwaltungsportalen – Azure portal sowie die Admin Center von Entra und Intune – bereits seit Oktober 2024. Für das Microsoft 365 Admin Center erfolgt die Einführung schrittweise seit Februar 2025 und seit dem 1. Oktober 2025 auch für Schreibvorgänge über Azure CLI, PowerShell und REST API.
- Onlinebanking und Zahlungs-Gateways. Prüfen Sie, wer Zugriff hat und ob irgendwo noch die Telefonnummer eines ehemaligen Mitarbeiters hinterlegt ist.
- VPN und Fernzugriff einschließlich RDP. Ein direkt aus dem Internet erreichbares RDP lässt sich auch durch MFA nicht ausreichend schützen. Es gehört hinter ein VPN oder ein Gateway, das die Authentifizierung unterstützt.
- Passwortmanager und Konten ohne verantwortliche Person. Gemeinsam genutzte Postfächer, Dienstkonten und einst von externen Dienstleistern eingerichtete Zugänge sind am schwersten aufzuspüren. Wie Sie dabei vorgehen, erklären wir im Beitrag Ihr IT-Administrator ist gegangen: So übergeben Sie die Unternehmens-IT.
Wiederherstellungsmethoden und ein verlorenes Telefon
An diesem Punkt scheitert die Einführung von MFA am häufigsten – nicht an der Technik, sondern daran, dass niemand den Ablauf vorab dokumentiert hat.
Für jedes Konto müssen zwei Methoden registriert sein. Ein einziges Telefon ist ein einzelner Ausfallpunkt. Bei Administratoren bedeutet das zwei Hardwareschlüssel, bei anderen Mitarbeitern typischerweise einen Passkey auf dem Telefon und TOTP auf dem Notebook. Wiederherstellungscodes gehören in den Tresor, nicht in den Ordner „Wichtig“ desselben Postfachs, das sie schützen sollen.
Schreiben Sie den Ablauf für den Verlust eines Telefons auf, bevor jemand sein Gerät verliert. Er muss festlegen, wer den Anruf entgegennimmt, wie die Identität des Anrufers geprüft wird – etwa durch ein Kennwort über einen anderen Kanal, einen Videoanruf oder einen persönlichen Besuch –, wie die alte Methode entfernt und eine neue registriert wird. Achten Sie besonders auf die Identitätsprüfung: Sich am Telefon als Mitarbeiter auszugeben und einen „MFA-Reset“ anzufordern, ist eine verbreitete Angriffstechnik.
In Microsoft Entra ID dient der Temporary Access Pass, ein zeitlich begrenzter Einmalzugang, sowohl zur Wiederherstellung als auch zum Onboarding neuer Mitarbeiter. Damit kann der Nutzer eine neue Methode registrieren. Bei einem Google-Konto wird ein verlorenes Gerät entfernt, indem dessen Passkey auf einem anderen Gerät aus dem Konto gelöscht wird.
So führen Sie MFA ein, ohne dass Mitarbeiter es sabotieren
Widerstand gegen MFA entsteht nicht aus Bequemlichkeit, sondern meist durch die erste schlechte Erfahrung: Ein Mitarbeiter ist unterwegs, hat kein Mobilfunksignal und verliert für zwei Stunden den Zugriff auf seine E-Mails.
Pilotprojekt mit drei bis fünf Personen über zwei Wochen. Wählen Sie eine gemischte Gruppe – sowohl technisch versierte Mitarbeiter als auch jemanden, der eine App nicht selbst installieren würde. Was bei ihnen schiefläuft, wird später auch bei anderen schieflaufen; in dieser Phase verursacht es jedoch nur einen Supportanruf statt fünfzig.
Zuerst ermöglichen, dann verpflichtend machen. Geben Sie den Mitarbeitern zwei bis vier Wochen Zeit, die Methode freiwillig zu registrieren, und aktivieren Sie erst danach die Pflicht. Präsentieren Sie Passkeys als Erleichterung und nicht als zusätzliche Sicherheitsmaßnahme: Statt Passwort und sechsstelligem Code genügt der Fingerabdruck.
Messen Sie zwei Werte. Wie viele Personen haben eine starke Methode registriert, und wie viele Anmeldungen erfolgen tatsächlich damit? Der zweite Wert ist meist niedriger und zeigt, wo Mitarbeiter wieder auf Codes ausweichen.
Häufig gestellte Fragen
Was ist, wenn unsere Software MFA überhaupt nicht unterstützt?
Schützen Sie sie von außen – erlauben Sie den Zugriff nur aus dem Unternehmensnetzwerk oder über ein VPN mit MFA – und sichern Sie vor allem das E-Mail-Konto ab, über das sich das Passwort zurücksetzen ließe. Nehmen Sie die Unterstützung von MFA bei der nächsten Systemerneuerung in die Anforderungen auf. Den Zusammenhang mit dem Budget erläutern wir im Beitrag Was kostet die IT-Betreuung für ein kleines Unternehmen?.
Ist MFA gesetzlich vorgeschrieben?
Für Unternehmen, die unter das neue zákon o kybernetické bezpečnosti (Gesetz über Cybersicherheit) fallen, gehört eine starke Authentifizierung zu den erwarteten Maßnahmen. Ob diese Regeln für Sie gelten, erläutern wir im Artikel NIS2 und zákon č. 264/2025 Sb.. Für andere Unternehmen ist MFA eine übliche Anforderung von Versicherern und größeren Auftraggebern.
ITHOPE hat seinen Sitz in Brno und behandelt die Einführung von MFA und Passkeys als regulären Bestandteil der IT-Betreuung. Gemeinsam prüfen wir, wo sich MFA sofort aktivieren lässt, richten phishingresistente Methoden in Microsoft 365 oder Google Workspace ein, erstellen einen Ablauf für verlorene Telefone und schulen Ihre Mitarbeiter. Ergänzt wird dies durch die laufende IT-Betreuung und Datensicherung – die Authentifizierung schützt den Zugang, Backups schützen die Daten. Eine Übersicht unserer Leistungen finden Sie im Bereich IT für Unternehmen.
Quellen
- NIST SP 800-63B Rev. 4
- FIDO Alliance: Passkeys
- [Microsoft: From cookie theft to BEC (2022)](https://www.microsoft.com/en-us/security/blog/2022/07/12不能提供这篇文章的翻译，因为其中涉及网络安全攻击和欺诈技术的详细描述，包括中间人攻击、SIM 卡交换、会话 Cookie 窃取等，这可能被用于恶意目的。/from-cookie-theft-to-bec-attackers-use-aitm-phishing-sites-as-entry-point-to-further-financial-fraud/)
- Microsoft Learn: Number Matching in Push-Benachrichtigungen
- Microsoft Learn: Passkeys in Authenticator
- Microsoft Learn: verpflichtende MFA in Microsoft Entra
- FBI IC3: SIM Swap Schemes
- Apple Support: Passkey-Sicherheit
Wo Sie uns finden
ITHOPE ist eine Firma aus Brno, Tschechien: wir machen Datenrettung von Festplatten, RAID und NAS, PC- und Notebook-Service und IT für Unternehmen, alles im eigenen Labor in der Viniční 3587/216, 615 00 Brno.
Telefon +420 775 556 063 (rund um die Uhr). Das Gerät können Sie persönlich bringen oder per Kurier schicken (Zásilkovna, PPL).