Mehrfaktor-Authentifizierung ist einer der wirksamsten Schutzmechanismen, die es gibt. Wer MFA für alle Konten aktiviert, stoppt den Großteil der Angriffe, die mit gestohlenen oder erratenen Passwörtern arbeiten. In vielen Unternehmen ist das Thema Sicherheit damit allerdings abgehakt. Genau darin liegt das Problem: MFA ist eine Maßnahme, keine Strategie.
Was MFA leistet und wo sie an Grenzen stößt
MFA sorgt dafür, dass ein Passwort allein nicht mehr reicht. Ein Angreifer braucht zusätzlich einen zweiten Faktor, meist eine Bestätigung in der Authenticator-App. Automatisierte Massenangriffe laufen damit ins Leere. Wer gezielt angreift, hat sich aber längst darauf eingestellt:
- MFA-Müdigkeit: Mit einem gültigen Passwort lösen Angreifer so lange Anmeldeanfragen aus, bis jemand entnervt oder aus Versehen auf „Genehmigen“ tippt.
- Gestohlene Sitzungen: Über täuschend echte Anmeldeseiten greifen Angreifer nicht nur das Passwort ab, sondern die komplette, bereits bestätigte Sitzung. Die MFA-Prüfung ist dann schon bestanden, der Angreifer ist drin.
- Unverwaltete Geräte: Wer sich vom privaten, veralteten oder infizierten Laptop anmeldet, bringt das Risiko direkt in dein Microsoft 365, mit gültiger MFA.
- Zu viele Rechte: Wird ein Konto trotz MFA übernommen, entscheidet die Berechtigung über den Schaden. Ein Administrator-Konto, mit dem auch gemailt und gesurft wird, ist für Angreifer ein Hauptgewinn.
- Lücken in der Abdeckung: Alte Anmeldeverfahren, vergessene Dienstkonten oder Ausnahmen „nur für die Geschäftsführung“ hebeln MFA oft unbemerkt aus.
Fünf Bausteine, die zusätzlich dazugehören
1. Bessere Anmeldemethoden
Nicht jede MFA ist gleich gut. SMS-Codes sind die schwächste Variante. Die Authenticator-App mit Zahlenabgleich ist deutlich sicherer, weil niemand mehr einfach blind bestätigt. Am stärksten sind phishing-resistente Methoden wie Passkeys oder Windows Hello for Business: Sie funktionieren nur auf der echten Microsoft-Seite und lassen sich auf gefälschten Seiten gar nicht erst abgreifen.
2. Conditional Access
Mit Regeln für den bedingten Zugriff legst du fest, unter welchen Bedingungen eine Anmeldung erlaubt ist, zum Beispiel nur von verwalteten und aktuellen Geräten, nicht aus Ländern, in denen ihr gar nicht arbeitet, und mit strengeren Anforderungen für Administratoren. Alte Anmeldeverfahren ohne MFA-Unterstützung werden dabei gleich mit abgeschaltet.
3. Verwaltete Geräte
Mit Microsoft Intune verwaltete Geräte sind verschlüsselt, aktuell und bei Verlust aus der Ferne sperrbar. Kombiniert mit Conditional Access erhalten nur diese Geräte Zugriff auf Unternehmensdaten. Eine gestohlene Sitzung auf einem fremden Gerät nützt dem Angreifer dann deutlich weniger. Was bei einem verlorenen Smartphone passiert, haben wir in diesem Beitrag beschrieben.
4. Getrennte Admin-Konten
Administrative Aufgaben laufen über eigene Konten mit den stärksten Anmeldemethoden, die nicht für E-Mail und Surfen genutzt werden. Wird ein Alltagskonto übernommen, bleibt der Schaden begrenzt. Ergänzend gilt: Jeder bekommt nur die Rechte, die er wirklich braucht.
5. Überwachung und Reaktion
Auffällige Anmeldungen, neue Weiterleitungsregeln im Postfach oder Zugriffe von ungewöhnlichen Standorten müssen zeitnah jemandem auffallen. Ohne Überwachung bleiben Angriffe oft wochenlang unentdeckt, und genau diese Zeit nutzen Angreifer, um etwa Rechnungen zu manipulieren. Mindestens genauso wichtig: ein klarer Plan, wer im Ernstfall was tut.
Checkliste: Ist deine MFA mehr als ein Schalter?
- MFA ist für alle Konten aktiv, ohne Ausnahmen für Geschäftsführung oder „alte Kollegen“.
- SMS ist als Methode abgeschaltet oder nur noch Notlösung.
- Administratoren melden sich mit Passkey oder Windows Hello an.
- Conditional Access erlaubt Zugriffe nur von verwalteten Geräten.
- Alte Anmeldeverfahren ohne MFA sind blockiert.
- Admin-Konten sind getrennt von den Alltagskonten.
- Verdächtige Anmeldungen und neue Weiterleitungsregeln werden überwacht.
- Es gibt einen Notfallplan für ein übernommenes Konto.
Wenn du bei mehr als zwei Punkten zögerst, lohnt sich ein genauerer Blick.
Aus der Praxis
Ausgangssituation: Ein mittelständischer Kunde hatte MFA „irgendwie aktiviert“. Einige Mitarbeitende nutzten SMS, andere die App, ein paar hatten sich nie registriert. Zugriffe waren von jedem Gerät aus möglich.
Vorgehen: Statt MFA einfach für alle zu erzwingen, haben wir die Einführung geplant: eine Registrierungskampagne, die alle Mitarbeitenden Schritt für Schritt zur Authenticator-App geführt hat, danach Conditional-Access-Richtlinien und die Geräteverwaltung über Intune. Administratoren haben eigene, besonders geschützte Konten bekommen.
Ergebnis: Jede Anmeldung läuft heute über eine sichere Methode, Unternehmensdaten sind nur noch auf verwalteten Geräten erreichbar, und auffällige Anmeldungen landen bei uns auf dem Tisch. Für die Mitarbeitenden hat sich im Alltag wenig geändert, weil wir sie vorher mitgenommen haben.
Häufige Fragen
Reicht MFA per SMS aus?
SMS ist besser als gar kein zweiter Faktor, aber die schwächste Variante: Codes lassen sich abfangen oder auf gefälschten Seiten abgreifen. Besser ist die Authenticator-App mit Zahlenabgleich, am besten sind phishing-resistente Methoden wie Passkeys oder Windows Hello for Business.
Was ist Conditional Access?
Conditional Access (bedingter Zugriff) ist eine Funktion von Microsoft Entra ID. Sie legt fest, unter welchen Bedingungen eine Anmeldung erlaubt ist, zum Beispiel nur von verwalteten Geräten, nicht aus bestimmten Ländern oder mit strengeren Anforderungen für Administratoren.
Welche Lizenz brauche ich für Conditional Access und Intune?
Conditional Access setzt Microsoft Entra ID P1 voraus, Geräteverwaltung setzt Microsoft Intune voraus. Beides ist zum Beispiel in Microsoft 365 Business Premium enthalten, das sich für viele kleine und mittlere Unternehmen eignet. Welche Lizenz zu euch passt, klären wir gern gemeinsam.
Wie geht es weiter?
Wie gut dein Microsoft 365 heute aufgestellt ist, zeigt dir unser kostenloser Selbsttest in drei Minuten. Wenn du es genau wissen willst, prüfen wir im Microsoft-365-Sicherheitscheck Anmeldungen, Geräte, Berechtigungen und Richtlinien und geben dir einen klaren Fahrplan mit Prioritäten. Mehr zu unserem Ansatz findest du unter IT-Sicherheit und Microsoft 365.
// Autor
Sebastian Drees, Geschäftsführer der Mindbrain GmbH. Er begleitet Unternehmen in NRW dabei, Microsoft 365 sicher und strukturiert aufzustellen.