Begriffe

MFA vs. 2FA: Wo liegt der Unterschied?

Kurz gesagt: Jede 2FA ist eine MFA, aber nicht jede MFA ist eine 2FA.

Die Zwei-Faktor-Authentifizierung (2FA) ist der häufigste Sonderfall. Sie arbeitet mit genau zwei Faktoren, typischerweise Passwort plus Code. MFA ist der Oberbegriff und umfasst zwei oder mehr Faktoren. In besonders sensiblen Umgebungen kommen manchmal drei zum Einsatz, etwa Smartcard, PIN und Fingerabdruck.

Im Alltag werden die beiden Begriffe oft synonym verwendet, und für die meisten Anwendungsfälle ist das auch völlig okay. Viel wichtiger als die Anzahl der Faktoren ist die Frage, welche Faktoren du kombinierst. Dazu gleich mehr.

Zusätzlicher Schutz

Warum MFA heute so wichtig ist

Passwörter allein sind seit Jahren ein Sicherheitsrisiko. Datenlecks, Phishing-Mails und automatisierte Angriffe sorgen dafür, dass Zugangsdaten ständig in falsche Hände geraten, oft ohne dass es jemand sofort merkt. Ist ein Passwort einmal geleakt, wird es weltweit für automatisierte Login-Versuche genutzt (Credential Stuffing).

MFA setzt genau hier an. Selbst wenn ein Angreifer dein Passwort kennt, fehlt ihm der zweite Faktor. Laut Microsoft blockiert MFA über 99 Prozent der Angriffe auf Benutzerkonten. Auch das BSI empfiehlt, MFA überall dort einzusetzen, wo ein Dienst sie anbietet.

Für Unternehmen ist MFA damit längst mehr als eine technische Fußnote. Sie schützt E-Mail-Konten, Cloud-Anwendungen, VPN-Zugänge und interne Systeme gleichermaßen. Sie ist außerdem ein zentraler Baustein einer Zero-Trust-Architektur, in der die Identität zum eigentlichen Sicherheitsanker wird. Das gilt besonders im Homeoffice, wo kein Firmennetz mehr schützend drumherum liegt.

Verfahren im Überblick

Welche MFA-Verfahren gibt es?

MFA lässt sich auf ganz unterschiedliche Weise umsetzen. Die gängigsten Verfahren:

• SMS-TAN: Ein Code kommt per SMS aufs Smartphone. Einfach einzurichten, aber das schwächste Verfahren in dieser Liste.
• Authenticator-App (TOTP): Eine App erzeugt alle 30 Sekunden einen neuen Code direkt auf deinem Gerät, unabhängig vom Mobilfunknetz.
• Push-Benachrichtigung: Du bestätigst den Login mit einem Tipp auf dem Smartphone. Bequem, aber nur sicher, wenn zusätzlich ein Zahlencode abgeglichen wird (Number Matching).
• Hardware-Token / Security Key: Ein physischer Schlüssel, etwa per USB oder NFC, der nach dem FIDO2-Standard arbeitet.
• Passkeys: Der modernste Ansatz. Passwort und zweiter Faktor werden durch ein kryptografisches Schlüsselpaar ersetzt, das an dein Gerät und die echte Domain gebunden ist. Mehr dazu in unserem Artikel zu Passkeys.

MFA-Verfahren im Vergleich

Für den privaten E-Mail-Account reicht oft eine Authenticator-App. Bei Admin-Konten, Finanzsystemen oder Remote-Zugängen lohnt sich der Schritt zu phishing-resistenten Verfahren.

Angriffe auf MFA

Wie sicher ist MFA wirklich?

MFA macht Angreifern das Leben deutlich schwerer, aber unknackbar ist sie nicht. Angreifer haben sich längst darauf eingestellt. Diese drei Methoden solltest du kennen:

MFA-Fatigue (Push-Bombing)

Der Angreifer hat dein Passwort und löst einen Login nach dem anderen aus. Dein Handy wird mit Push-Anfragen bombardiert, bis du irgendwann genervt oder aus Versehen auf „Bestätigen“ tippst. Genau so liefen einige bekannte Angriffe auf große Tech-Konzerne ab.

Phishing per Adversary-in-the-Middle

Du landest auf einer täuschend echten Login-Seite, die alles in Echtzeit an den echten Dienst weiterreicht. Du gibst Passwort und Code ein, der Angreifer schnappt sich die fertige Session. Dein zweiter Faktor hat technisch funktioniert, nur eben für die falsche Person.

SIM-Swapping

Angreifer überreden deinen Mobilfunkanbieter, deine Nummer auf ihre SIM-Karte zu übertragen. Ab dann landen alle SMS-Codes bei ihnen.

Die Antwort: phishing-resistente MFA

Und genau hier kommen FIDO2 und Passkeys ins Spiel. Sie sind kryptografisch an die echte Domain gebunden. Eine gefälschte Login-Seite bekommt schlicht keine gültige Antwort, egal wie echt sie aussieht.

Es gibt keinen Code zum Abtippen und keine Push-Anfrage zum Wegklicken. Kein Wunder, dass BSI und internationale Behörden genau diese Verfahren für kritische Zugänge empfehlen.

Regulatorik

MFA, Regulatorik und Zero Trust

NIS-2 und DORA

Die NIS-2-Richtlinie nennt Multi-Faktor-Authentifizierung ausdrücklich als Maßnahme des Risikomanagements (Art. 21). In Deutschland gilt sie über das NIS-2-Umsetzungsgesetz für deutlich mehr Unternehmen als bisher.

Im Finanzsektor verlangt DORA starke Authentifizierungsmechanismen für den Zugriff auf IT-Systeme. Wer betroffen ist, muss MFA also nicht nur einführen, sondern auch nachweisen können. Mehr dazu in unserem Artikel zu DORA und IAM.

Cyber-Versicherungen

Viele Versicherer fragen MFA inzwischen standardmäßig ab, vor allem für E-Mail, Remote-Zugänge und privilegierte Konten. Ohne MFA wird die Police teurer oder kommt gar nicht erst zustande.

Adaptive MFA

Nicht jeder Login braucht dieselbe Hürde. Adaptive MFA bewertet den Kontext in Echtzeit: bekanntes Gerät, gewohnter Standort, übliche Uhrzeit? Dann reicht vielleicht ein Faktor. Login aus einem fremden Land um drei Uhr nachts? Dann kommt der zweite Faktor oder der Zugriff wird blockiert.

Das bedeutet konkret: mehr Sicherheit, ohne dein Team mit ständigen Abfragen zu nerven. Genau dieses Prinzip steckt hinter Zero Trust.

Nutzen für Unternehmen

Die Vorteile von MFA für Unternehmen

Eine gut umgesetzte MFA-Lösung bringt gleich mehrere Vorteile mit:

• Weniger erfolgreiche Angriffe: Gestohlene Passwörter allein reichen Angreifern nicht mehr.
• Begrenzter Schaden: Wird ein Passwort kompromittiert, schützt der zweite Faktor das Konto trotzdem.
• Compliance im Griff: NIS-2, DORA und viele Kundenanforderungen setzen starke Authentifizierung voraus.
• Entlastung für die IT: Moderne Verfahren wie Passkeys reduzieren Passwort-Resets und Kontosperrungen spürbar.
• Vertrauen bei Kunden und Partnern: Wer sichtbar auf moderne Sicherheitsstandards setzt, wirkt professioneller.

MFA lässt sich außerdem hervorragend mit Single Sign-On kombinieren: Dein Team meldet sich einmal sicher an, geschützt durch einen starken zweiten Faktor, und bewegt sich danach nahtlos zwischen den freigegebenen Anwendungen.

Und auch bei Kunden-Logins spielt MFA eine immer größere Rolle, wie wir in unserem Artikel zu CIAM zeigen.

Aus der Praxis

Ein Praxisbeispiel

Stell dir ein mittelständisches Unternehmen vor, dessen Buchhaltung auf ein Finanzsystem in der Cloud zugreift. Eine Mitarbeiterin fällt auf eine gut gemachte Phishing-Mail rein und gibt ihr Passwort auf einer gefälschten Seite ein.

Ohne MFA hat der Angreifer jetzt freie Bahn zu Zahlungsdaten und Kontoinformationen. Mit einer Authenticator-App wird es schon deutlich schwerer, aber eine Echtzeit-Phishing-Seite könnte den Code trotzdem abgreifen.

Mit einem Passkey dagegen läuft der Angriff komplett ins Leere, weil der Schlüssel auf der falschen Domain gar nicht erst antwortet. Gleicher Fehler, drei völlig unterschiedliche Ausgänge.

FAQ

FAQ zur Multi-Faktor-Authentifizierung

Ist 2FA dasselbe wie MFA?

Fast. 2FA nutzt genau zwei Faktoren, MFA mindestens zwei. Jede 2FA ist also eine Form von MFA.

Ist SMS-TAN noch sicher?

SMS-TAN ist besser als gar kein zweiter Faktor, aber anfällig für SIM-Swapping und Phishing. Für Unternehmenskonten empfehlen wir Authenticator-Apps oder besser phishing-resistente Verfahren.

Kann man MFA umgehen?

Ja, etwa durch MFA-Fatigue, Echtzeit-Phishing oder SIM-Swapping. Phishing-resistente Verfahren wie FIDO2-Security-Keys und Passkeys schützen gegen diese Methoden.

Was ist phishing-resistente MFA?

Verfahren, die kryptografisch an die echte Website gebunden sind, sodass gefälschte Login-Seiten keine gültige Antwort erhalten. Dazu gehören FIDO2-Security-Keys und Passkeys.

Ersetzen Passkeys die MFA?

Passkeys sind selbst eine Form von MFA: Sie kombinieren Besitz (dein Gerät) mit Inhärenz oder Wissen (Fingerabdruck, Gesicht oder PIN), und das ganz ohne Passwort.