IT-Sicherheit
MFA
Multi-Faktor-Authentifizierung (MFA) verlangt zwei Faktoren aus verschiedenen Kategorien (Wissen, Besitz, Inhärenz); phishing-resistent sind v. a. FIDO2/WebAuthn.
- Mehrere Faktoren, verschiedene Kategorien
- Phishing-Resistenz entscheidet
- TOTP, FIDO2/WebAuthn, Passkeys
- AAL-Stufen (NIST 800-63B)
- Am IdP erzwingen
MFA (Multi-Faktor-Authentifizierung) verlangt für die Anmeldung mindestens zwei voneinander unabhängige Faktoren aus verschiedenen Kategorien. Damit reicht ein gestohlenes Passwort allein nicht mehr aus. Entscheidend, aber oft übersehen: Nicht jede MFA schützt gleich gut, der wichtigste Unterschied ist die Phishing-Resistenz.
Dieser Artikel erklärt die Faktor-Kategorien, die Verfahren von TOTP über SMS bis FIDO2 und Passkeys, warum Phishing-Resistenz das zentrale Unterscheidungsmerkmal ist, die AAL-Stufen als Maß, die typischen Angriffe von MFA-Fatigue bis Adversary-in-the-Middle sowie das Erzwingen am Identity Provider und die Recovery-Frage.
1. Faktoren aus verschiedenen Kategorien
MFA kombiniert mindestens zwei Faktoren aus verschiedenen Kategorien: Wissen (Passwort, PIN), Besitz (Hardware-Token, Smartphone, Smartcard) und Inhärenz (Biometrie wie Fingerabdruck oder Gesicht). Genau die Verschiedenheit der Kategorien ist das Kriterium: Zwei Passwörter sind keine MFA. 2FA ist der Sonderfall mit genau zwei Faktoren; eine bloß mehrstufige Abfrage aus derselben Kategorie zählt nicht als echte MFA.
2. Die Verfahren
Die gängigen zweiten Faktoren unterscheiden sich erheblich in der Stärke:
- TOTP zeitbasierte Einmalcodes aus einer Authenticator-App (RFC 6238); verbreitet, aber nicht phishing-resistent.
- SMS-OTP Code per SMS; schwach wegen SIM-Swapping und Schwächen im Mobilfunk-Signalisierungsnetz (SS7).
- Push-Bestätigung App-Benachrichtigung zum Bestätigen; anfällig für MFA-Fatigue (Prompt-Bombing).
- Hardware-Token / FIDO2 Sicherheitsschlüssel (z. B. YubiKey); der private Schlüssel verlässt das Gerät nie.
- Passkeys FIDO2-Credentials, geräteübergreifend synchronisierbar; phishing-resistent und komfortabel.
3. Phishing-Resistenz: der entscheidende Punkt
Der wichtigste Unterschied: FIDO2/WebAuthn (und damit Passkeys) sowie zertifikatsbasierte Verfahren (PKI, eigener Artikel) sind phishing-resistent, weil das Credential kryptografisch an die echte Domain (Origin) gebunden ist. Eine gefälschte Seite oder ein zwischengeschalteter Angreifer-Proxy bekommt schlicht keine gültige Antwort, der Schutz hängt nicht am Aufmerksamkeitsgrad des Nutzers. TOTP, SMS und Push sind dagegen nicht phishing-resistent: Der Code lässt sich abphishen und in Echtzeit weiterreichen.
Phishing-Resistenz ist eine Eigenschaft des Verfahrens, nicht der Wachsamkeit des Nutzers. Wer ernsthaft schützen will, setzt auf FIDO2/Passkeys, nicht auf SMS-Codes.
4. AAL-Stufen als Maß
Das NIST-Modell (SP 800-63B) ordnet die Stärke in Authenticator Assurance Levels ein: AAL1 (ein Faktor möglich), AAL2 (zwei Faktoren aus verschiedenen Kategorien; TOTP, Hardware-Token und Passkeys sind hier zulässig, Anbieter sollten zusätzlich mindestens eine phishing-resistente Option bereitstellen) und AAL3 (verlangt phishing-resistente, kryptografische Authentifizierung mit nicht-exportierbarem privatem Schlüssel, also Hardware-Token; synchronisierbare Passkeys sind auf AAL3 ausgeschlossen). Das gibt einen herstellerneutralen Rahmen, um Anforderungen zu beschreiben.
5. Angriffe und Gegenmittel
Drei Angriffsklassen sind zentral: MFA-Fatigue (Prompt-Bombing) flutet den Nutzer mit Push-Anfragen, bis er aus Versehen bestätigt, Gegenmittel ist Number-Matching oder besser FIDO2. SIM-Swapping und SS7-Angriffe fangen SMS-Codes ab, Gegenmittel ist der Verzicht auf SMS. Und Adversary-in-the-Middle (etwa mit Evilginx) schaltet eine Phishing-Seite dazwischen, die Codes in Echtzeit weiterreicht, hier hilft nur die Origin-Bindung von FIDO2/WebAuthn.
6. Am IdP erzwingen, Recovery absichern
MFA wird am besten zentral am Identity Provider erzwungen (Querverweis IAM/SSO), dann profitieren alle angebundenen Dienste, statt jede Anwendung einzeln abzusichern. Heikel ist die Wiederherstellung: Backup-Codes sind statisches Wissen und setzen den Schutz auf Single-Faktor-Niveau zurück, wenn sie schlecht verwahrt werden. Besser ist ein zweiter Hardware-Schlüssel als Ersatz. Für regulierte Einrichtungen verlangt NIS2 ohnehin Multi-Faktor- oder kontinuierliche Authentifizierung.
7. Stärken und Grenzen
| Stärken | Grenzen |
|---|---|
| Massive Risikoreduktion gegen Passwortdiebstahl | nicht jede MFA ist gleich stark |
| FIDO2/Passkeys strukturell phishing-resistent | SMS und einfache TOTP nicht phishing-resistent |
| Am IdP erzwingbar, schützt alle Dienste | Push anfällig für MFA-Fatigue |
| AAL-Stufen geben klaren Anforderungsrahmen | Recovery kann Schutz auf Single-Faktor senken |
| Passkeys: phishing-resistent und komfortabel | AAL3 schließt synchronisierbare Passkeys aus |
Häufige Fragen zu MFA
SMS-Codes sind zwar besser als gar keine MFA, aber schwach: Per SIM-Swapping können Angreifer die Rufnummer auf eine eigene SIM übernehmen und erhalten dann alle Codes; zusätzlich erlauben Schwächen im Mobilfunk-Signalisierungsnetz (SS7) das Abfangen von SMS. Vor allem aber ist SMS nicht phishing-resistent: Eine gefälschte Seite oder ein zwischengeschalteter Angreifer kann den eingegebenen Code in Echtzeit weiterleiten. NIST stuft SMS-MFA als eingeschränkt ein; phishing-resistente Verfahren wie FIDO2/Passkeys sind vorzuziehen.
Phishing-resistent heißt, dass das Verfahren auch dann standhält, wenn der Nutzer auf eine gefälschte Seite hereinfällt. FIDO2/WebAuthn und Passkeys erreichen das durch kryptografische Origin-Bindung: Das Credential ist an die echte Domain gebunden und liefert einer Phishing-Seite oder einem zwischengeschalteten Angreifer keine verwertbare Antwort. Verfahren wie TOTP, SMS oder Push sind nicht phishing-resistent, weil sich der Code abfangen und weiterreichen lässt, der Schutz hängt dort am Verhalten des Nutzers.
Auch der Autor ist nur ein Mensch, dem Fehler unterlaufen können. Wenn in diesem Beitrag etwas nicht stimmt oder unklar ist, freuen wir uns über einen kurzen Hinweis über das Kontaktformular unten, wir prüfen und korrigieren das.
Der nächste Schritt
MFA im eigenen Haus richtig einsetzen?
Wir klären, ob und wie der Baustein zu Ihrer Infrastruktur passt, und sagen offen, wann sich der Aufwand lohnt und wann nicht.