Was ist Multi-Faktor-Authentifizierung (MFA)?

Multi-Faktor-Authentifizierung (MFA) ist eine Sicherheitsmethode, bei der Nutzer zwei oder mehr verschiedene Arten von Authentifizierungsfaktoren angeben müssen, bevor sie auf ein Konto, eine Anwendung oder ein System zugreifen.

Anstatt sich nur auf ein Passwort zu verlassen, erfordert MFA zusätzlichen Nachweis, dass ein Nutzer der ist, der er vorgibt zu sein. Dies kann ein einmaliger Code einer Authentifikator-App, ein physischer Sicherheitsschlüssel oder ein biometrischer Faktor wie ein Fingerabdruck umfassen.

MFA stärkt die Kontosicherheit, da der Diebstahl eines Passworts allein möglicherweise nicht ausreicht, damit ein Angreifer Zugang erhält. Sie ist ein wichtiger Bestandteil des Identitäts- und Zugriffsmanagements (IAM), der Zero-Trust-Sicherheit und einer vielschichtigen Cybersicherheitsstrategie .

Wichtige Erkenntnisse

• Die Multi-Faktor-Authentifizierung (MFA) fügt eine zusätzliche Sicherheitsebene hinzu, indem sie von den Nutzern verlangt, ihre Identität mit zwei oder mehr verschiedenen Authentifizierungsfaktoren wie Passwörtern, Sicherheitsschlüsseln oder Biometrie zu überprüfen.
• MFA hilft, unbefugten Zugriff und Angriffe auf Basis von Zugangsdaten zu verhindern. Selbst wenn Angreifer ein Passwort stehlen, können zusätzliche Authentifizierungsanforderungen es erschweren, ein Konto zu kompromittieren.
• Nicht alle MFA-Methoden bieten denselben Schutz. Ein phishing-resistentes MFA bietet eine stärkere Sicherheit gegen Diebstahl von Zugangsdaten, während traditionelle Methoden anfällig für MFA-Müdigkeit, Social Engineering und Sitzungsentführungen sein können.
• MFA allein kann keine Lateral Movement verhindern oder Sicherheitsverletzungen eindämmen. Organisationen sollten MFA mit Zero-Trust-Prinzipien, Least-Privileg-Zugang und Segmentierung kombinieren, um die Möglichkeit von Angreifern, sich nach einem Kompromittement zwischen Systemen zu bewegen, zu begrenzen.

Wie funktioniert Multi-Faktor-Authentifizierung?

Die Multi-Faktor-Authentifizierung verifiziert die Identität eines Nutzers mithilfe mehrerer unabhängiger Authentifizierungsfaktoren.

Ein typischer MFA-Prozess funktioniert folgendermaßen:

1. Ein Nutzer versucht, sich bei einem Konto oder einer Anwendung anzumelden.
2. Der Nutzer gibt einen ersten Authentifizierungsfaktor an, wie zum Beispiel ein Passwort.
3. Das System verlangt einen weiteren Faktor.
4. Der Nutzer überprüft seine Identität mit einem anderen Faktor, wie einer Authenticator-App oder einem Sicherheitsschlüssel.
5. Das System validiert beide Faktoren.
6. Wenn die Authentifizierungsanforderungen erfüllt sind, erhält der Nutzer den Zugriff.

Der Schlüssel zu MFA ist, dass die Authentifizierungsmethoden aus unterschiedlichen Faktorkategorien stammen. Die Anforderung von zwei Passwörtern würde beispielsweise in der Regel keine Mehrfaktor-Authentifizierung darstellen, da beide denselben Faktortyp sind.

Welche Arten von Authentifizierungsfaktoren gibt es?

Authentifizierungsfaktoren werden im Allgemeinen in mehrere Kategorien eingeteilt, je nachdem, wie ein Nutzer seine Identität nachweist.

Etwas, das du kennst

Ein Wissensfaktor ist die Information, die der Nutzer kennt.

Beispiele hierfür sind:

• Kennwörter
• PINs
• Passphrasen

Passwörter werden häufig verwendet, können aber durch Phishing, Credential Stuffing, Malware und andere Cyberangriffe gestohlen werden.

Etwas, das du hast

Ein Besitzfaktor ist etwas, das der Nutzer physisch besitzt.

Beispiele hierfür sind:

• Smartphones
• Authentifizierungsanwendungen
• Hardware-Sicherheitsschlüssel
• Smartcards
• Hardware-Token

Ein Angreifer, der das Passwort eines Nutzers stiehlt, benötigt außerdem Zugriff auf den Besitzfaktor, um die Authentifizierungsanforderungen zu erfüllen.

Etwas, das du bist

Ein Inhärenzfaktor verwendet eine physische oder verhaltensbezogene Eigenschaft, die mit dem Nutzer assoziiert ist.

Beispiele können sein:

• Fingerabdrücke
• Gesichtserkennung
• Iris scans
• Weitere biometrische Kennungen

Biometrie kann eine bequeme Authentifizierung bieten, aber Organisationen müssen biometrische Informationen sorgfältig schützen, da diese bei einer Kompromittierung nicht so einfach wie ein Passwort geändert werden können.

Warum ist Multi-Faktor-Authentifizierung wichtig?

MFA verringert das Risiko, dass kompromittierte Passwörter sofort zu unbefugtem Zugriff führen.

Passwörter können durch Phishing, Datenlecks, Credential-Stuffing, Passwortwiederverwendung, Malware und Brute-Force-Angriffe aufgedeckt werden. Wenn ein Konto nur auf Benutzername und Passwort angewiesen ist, kann es ausreichen, diese Zugangsdaten zu erhalten, damit ein Angreifer sich anmelden kann.

MFA schafft eine zusätzliche Hürde.

Selbst wenn ein Angreifer das richtige Passwort erhält, muss er auch eine weitere Authentifizierungsanforderung erfüllen, bevor er Zugriff erhält.

Organisationen nutzen MFA, um zu helfen:

• Mitarbeiter- und Kundenkonten schützen
• Reduziere zugangsbasierte Angriffe
• Sicherer Fernzugriff
• Cloud-Anwendungen schützen
• Stärkung privilegierter Konten
• Unterstützen Sie Zero Trust-Initiativen
• Reduzieren Sie den unbefugten Zugriff auf sensible Ressourcen
• Erfüllen Sie Sicherheits- und Compliance-Anforderungen

Was ist der Unterschied zwischen MFA und 2FA?

Zwei-Faktor-Authentifizierung (2FA) ist eine Art der Mehrfaktor-Authentifizierung.

MFA erfordert zwei oder mehr verschiedene Authentifizierungsfaktoren. 2FA erfordert speziell zwei.

Zum Beispiel ist das Eingeben eines Passworts und die Genehmigung des Logins mit einem Hardware-Sicherheitsschlüssel 2FA, weil es etwas kombiniert, das der Nutzer kennt, mit etwas, das der Nutzer hat.

Ein Authentifizierungsprozess, der drei verschiedene Faktoren erfordert, wäre weiterhin MFA, würde aber nicht als Zwei-Faktor-Authentifizierung bezeichnet werden.

In der Praxis werden die Begriffe MFA und 2FA manchmal synonym verwendet, aber MFA ist die größere Kategorie.

Was sind gängige MFA-Methoden?

Organisationen können MFA je nach Sicherheitsanforderungen und Technologie auf verschiedene Weise implementieren.

Gängige MFA-Methoden sind:

• Authentifikator-Apps, die einmalige Passcodes generieren
• Push-Benachrichtigungen, die an vertrauenswürdige Geräte gesendet werden
• Hardware-Sicherheitsschlüssel
• Smartcards
• SMS- oder SMS-Codes
• E-Mail-Verifizierungscodes
• Biometrische Authentifizierung
• Einmalpasswörter (OTPs)

Nicht alle MFA-Methoden bieten denselben Schutz.

Zum Beispiel kann die SMS-basierte Authentifizierung zusätzlichen Schutz im Vergleich zur reinen Passwortauthentifizierung bieten, kann jedoch anfällig für Techniken wie SIM-Swapping und Phishing sein.

Organisationen, die sensible Systeme schützen, wählen möglicherweise stärkere, phishing-resistente Authentifizierungsmethoden.

Was ist phishing-resistentes MFA?

Phishing-resistente MFA ist darauf ausgelegt, Angreifer daran zu hindern, Authentifizierungsdaten durch Phishing-Angriffe zu stehlen oder erneut abzuspielen.

Einige traditionelle MFA-Methoden basieren auf Codes oder Genehmigungsanweisungen, die Nutzer versehentlich einem Angreifer zur Verfügung stellen können. Phishing-resistente Methoden verwenden kryptografische Authentifizierung, die darauf ausgelegt ist, den Authentifizierungsprozess an den legitimen Dienst zu binden.

Hardware-Sicherheitsschlüssel und Technologien, die auf FIDO-Standards basieren, sind gängige Beispiele.

Phishing-resistente MFA kann einen stärkeren Schutz für hochwertige Konten, Administratoren und Nutzer bieten, die Zugang zu sensiblen Systemen haben.

Was ist MFA-Müdigkeit?

MFA-Müdigkeit, manchmal auch MFA-Bombing oder Push-Bombing genannt, ist ein Angriff, bei dem ein Bedrohungsakteur wiederholt Authentifizierungsanfragen an das Gerät eines Nutzers sendet.

Der Angreifer hat in der Regel bereits den Benutzernamen und das Passwort des Opfers. Sie lösen wiederholte MFA-Eingaben aus, in der Hoffnung, dass der Nutzer irgendwann versehentlich einen genehmigt, aus Verwirrung oder einfach um die Benachrichtigungen zu stoppen.

MFA-Müdigkeit zeigt, warum es nicht ausreicht, MFA einfach nur zu aktivieren. Organisationen sollten stärkere Authentifizierungsmethoden in Betracht ziehen, ungewöhnliches Authentifizierungsverhalten überwachen, Nutzer aufklären und übermäßige oder verdächtige Authentifizierungsversuche begrenzen.

Kann MFA gehackt oder umgangen werden?

MFA stärkt die Authentifizierung erheblich, ist aber nicht unmöglich, sie zu umgehen.

Angreifer können versuchen, MFA mit Techniken wie:

• Phishing
• Gegner-in-der-Mitte Angriff
• Diebstahl von Session-Token
• MFA-Ermüdung
• SIM-Swapping
• Malware
• Social Engineering
• Missbrauch der Kontowiederherstellung
• Kompromittierte endpoints

Zum Beispiel kann ein Angreifer einen Nutzer dazu bringen, sich über eine bösartige Phishing-Seite zu authentifizieren, und dann das resultierende Session-Token stehlen.

MFA sollte daher ein Teil einer geschichteten Sicherheitsstrategie sein und nicht die einzige Kontrolle, die sensible Ressourcen schützt.

Was ist der Unterschied zwischen MFA und Single Sign-on?

Multi-Faktor-Authentifizierung und Single Sign-on (SSO) lösen unterschiedliche Identitäts- und Zugriffsprobleme.

MFA stärkt die Authentifizierung, indem es mehrere Arten von Beweismitteln vor der Gewährung des Zugangs verlangt.

SSO ermöglicht es den Nutzern, sich einmal zu authentifizieren und dann auf mehrere verbundene Anwendungen zuzugreifen, ohne wiederholt Anmeldedaten eingeben zu müssen.

Organisationen verwenden MFA und SSO oft zusammen. Ein Benutzer kann MFA während des initialen SSO-Authentifizierungsprozesses durchführen und dann über die etablierte Identitätssitzung auf autorisierte Anwendungen zugreifen.

Was ist der Unterschied zwischen MFA und passwortloser Authentifizierung?

MFA und passwortlose Authentifizierung sind verwandt, aber unterschiedliche Konzepte.

MFA erfordert mehrere Authentifizierungsfaktoren. Passwortlose Authentifizierung ermöglicht es einem Nutzer, sich zu authentifizieren, ohne ein traditionelles Passwort einzugeben.

Zum Beispiel könnte ein System einen Benutzer mit einem Hardware-Sicherheitsschlüssel und biometrischen Verifizierung anstelle eines Passworts authentifizieren.

Passwortlose Authentifizierung kann Risiken im Zusammenhang mit gestohlenen, wiederverwendeten oder schwachen Passwörtern verringern. Je nach Implementierung kann passwortlose Authentifizierung auch mehrere Faktoren verwenden.

Wie unterstützt MFA die Sicherheit von Zero Trust?

MFA ist ein wichtiger Bestandteil einer Zero-Trust-Sicherheitsstrategie, da Zero Trust von Organisationen verlangt, Nutzer und Geräte zu verifizieren, anstatt ihnen automatisch basierend auf dem Netzwerkstandort zu vertrauen.

MFA liefert einen stärkeren Beweis dafür, dass ein Nutzer, der Zugriff anfordert, der legitime Kontoinhaber ist.

Zero Trust endet jedoch nicht, sobald ein Nutzer erfolgreich authentifiziert ist.

Nach der Authentifizierung sollten Organisationen den Zugriff weiterhin auf Basis des Least Privilege beschränken und kontrollieren, welche Anwendungen, Workloads und Ressourcen kommunizieren können. Ein legitimes Konto kann kompromittiert werden, und ein authentifizierter Nutzer sollte nicht automatisch uneingeschränkten Zugriff in der Umgebung erhalten.

Die Kombination von MFA mit minimalem Zugriff, kontinuierlicher Überwachung und Segmentierung schafft mehrere Verteidigungsebenen.

Kann MFA Lateral Movement verhindern?

MFA kann es Angreifern erschweren, Konten zu kompromittieren, aber es kann nicht alle Lateral Movement verhindern.

Wenn ein Angreifer MFA umgeht, eine authentifizierte Sitzung stiehlt, eine Arbeitslast kompromittiert oder durch eine andere Schwachstelle Zugriff erhält, befindet er sich möglicherweise bereits in der Umgebung.

Der Angreifer kann dann versuchen, weitere Systeme zu entdecken und von einer Ressource zur nächsten zu wechseln.

Deshalb benötigen Organisationen Kontrollen, die davon ausgehen, dass Sicherheitsverletzungen weiterhin auftreten können. Segmentierung begrenzt die Kommunikation zwischen den Systemen, sodass der Zugang zu einer Ressource nicht automatisch einen Weg zu allen anderen ermöglicht.

MFA hilft, den initialen Zugangspunkt zu schützen. Segmentierung hilft, einen Angreifer einzudämmen, falls dieser Access Point kompromittiert wird.

Wie Illumio die Multi-Faktor-Authentifizierung ergänzt

Die Multi-Faktor-Authentifizierung stärkt die Identitätssicherheit, indem sie es Angreifern erschwert, mit gestohlenen Zugangsdaten Zugang zu erhalten. Illumio bietet eine zusätzliche Schutzschicht, indem es begrenzt, was Angreifer erreichen können, wenn Authentifizierungskontrollen umgangen werden.

Illumio bietet Transparenz in die Kommunikation zwischen Workloads, Anwendungen und Ressourcen in hybriden und Multi-Cloud-Umgebungen.

Mit Illumio Segmentation können Organisationen Least-Privileg-Kommunikation durchsetzen und unnötige Verbindungen zwischen Systemen einschränken.

Wenn ein Angreifer ein authentifiziertes Konto kompromittiert oder Zugriff auf Workloads erhält, hilft Segmentierung, die Sicherheitsverletzung einzudämmen, indem sie verfügbare Wege für Lateral Movement begrenzt.

Gemeinsam unterstützen MFA und Segmentierung einen Defense-in-Depth-Ansatz: MFA erschwert unbefugten Zugriff, während Segmentierung die Wirkung eines erfolgreichen Kompromisses begrenzt.

Gehen Sie über die Authentifizierung hinaus mit Illumio Segmentation

Die Multi-Faktor-Authentifizierung hilft, unbefugte Nutzer fernzuhalten, aber was passiert, wenn Angreifer die Authentifizierung umgehen oder ein legitimes Konto kompromittieren? Einmal im Inneren, können Angreifer versuchen, sich seitlich durch Ihre Umgebung zu bewegen, um sensible Daten und kritische Systeme zu erreichen.

Illumio Segmentation fügt eine weitere Schutzebene hinzu, indem sie unnötige Kommunikation zwischen Workloads und Anwendungen begrenzt und die Pfade reduziert, die Angreifer nach dem Zugriff ausnutzen können.

Stärken Sie Ihre Zero-Trust-Strategie und verhindern Sie, dass sich Angreifer ausbreiten.

Entdecken Sie Illumio Segmentation →

Häufig gestellte Fragen

Wofür steht MFA?

MFA steht für Multi-Faktor-Authentifizierung. Es handelt sich um eine Authentifizierungsmethode, die zwei oder mehr verschiedene Arten der Verifizierung erfordert, bevor Zugriff auf ein Konto, eine Anwendung oder ein System gewährt wird.

Was ist ein Beispiel für Multi-Faktor-Authentifizierung?

Ein Beispiel für MFA ist das Einloggen mit einem Passwort und die Verwendung eines Hardware-Sicherheitsschlüssels, um die Authentifizierung abzuschließen. Das Passwort ist etwas, das du kennst, während du den Sicherheitsschlüssel hast.

Ist MFA dasselbe wie 2FA?

Nicht ganz. Die Zwei-Faktor-Authentifizierung (2FA) ist eine Art MFA, die genau zwei Authentifizierungsfaktoren erfordert. MFA ist der weiter gefasste Begriff und kann zwei oder mehr Faktoren erfordern.

Gilt Passwort und PIN als MFA?

Im Allgemeinen nein. Passwort und PIN sind beides Wissensfaktoren oder etwas, das du kennst. MFA erfordert Authentifizierungsmethoden aus verschiedenen Faktorkategorien.

Ist MFA besser als ein Passwort?

MFA bietet in der Regel einen stärkeren Schutz als passwortbasierte Authentifizierung, da das Kompromittieren des Passworts allein möglicherweise nicht ausreicht, um auf das Konto zuzugreifen. Die Stärke von MFA hängt weiterhin von den verwendeten Authentifizierungsmethoden und deren Implementierung ab.

Was ist die stärkste Art von MFA?

Phishing-resistente MFA-Methoden, wie die Authentifizierung mit FIDO-basierten Hardware-Sicherheitsschlüsseln oder Passschlüsseln, können einen stärkeren Schutz vor Phishing bieten als Methoden, die auf manuell eingegebenen Einmalcodes oder SMS-Nachrichten basieren.

Können Hacker MFA umgehen?

Ja. Angreifer können MFA manchmal durch Phishing, Diebstahl von Session-Tokens, MFA-Müdigkeit, Social Engineering, Malware oder andere Techniken umgehen. MFA stärkt die Authentifizierung erheblich, sollte aber mit zusätzlichen Sicherheitskontrollen kombiniert werden.

Verhindert MFA Phishing?

MFA kann die Wahrscheinlichkeit verringern, dass durch Phishing gestohlene Zugangsdaten zu einer Kontokompromittation führen, aber nicht jede MFA-Methode verhindert Phishing. Phishing-resistente Authentifizierungsmethoden bieten einen stärkeren Schutz gegen Angriffe, die darauf abzielen, Zugangsdaten zu stehlen oder weiterzuleiten.

Warum ist MFA für Zero Trust wichtig?

MFA stärkt die Identitätsverifikation, die das Zero-Trust-Prinzip der expliziten Überprüfung des Zugangs unterstützt. Zero Trust verlangt außerdem, dass Organisationen nach der Authentifizierung Zugriff und Kommunikation unter Verwendung von Least Privilege und anderen Sicherheitsmaßnahmen einschränken.