Was ist MFA?
Multi-Faktor-Authentifizierung, kurz MFA, ist ein Sicherheitsverfahren, bei dem die Identität einer Person nicht nur über ein Passwort, sondern zusätzlich über mindestens einen weiteren, unabhängigen Faktor bestätigt wird. Der Hintergrund ist einfach: Passwörter allein bieten heute keinen ausreichenden Schutz mehr, weil sie aus Datenlecks, Phishing-Kampagnen oder Schadsoftware in fremde Hände geraten können. Erst eine Kombination mehrerer Faktoren erhöht die Hürde so weit, dass ein einzelner kompromittierter Faktor nicht ausreicht, um auf ein Konto zuzugreifen.
Die drei Faktortypen
Klassischerweise unterscheidet die Informationssicherheit drei Typen von Authentifizierungsfaktoren.
Der erste umfasst Wissen, also etwas, das nur die berechtigte Person kennt, etwa ein Passwort oder eine PIN.
Der zweite betrifft den Besitz eines Gegenstands wie eines Smartphones, einer Chipkarte oder eines Hardware-Tokens.
Der dritte Faktor ist die Inhärenz, also ein biometrisches Merkmal wie Fingerabdruck oder Gesichtserkennung.
Eine echte Multi-Faktor-Authentifizierung verbindet mindestens zwei dieser Typen miteinander, nicht etwa zwei Passwörter aus derselben Kategorie.
Gängige Methoden im Vergleich
In der Praxis haben sich mehrere Methoden etabliert, die sich in Sicherheit und Komfort unterscheiden.
Codes per SMS sind weit verbreitet, gelten aber als am wenigsten sicher, weil das Mobilfunknetz anfällig für gezielte Angriffe ist.
Einmalcodes aus Authenticator-Apps, die auf dem TOTP-Verfahren basieren, sind deutlich robuster, weil sie das Gerät der Person nicht über das Netz verlassen.
Hardware-Sicherheitsschlüssel nach den Standards FIDO2 oder WebAuthn bieten das höchste Schutzniveau und sind weitgehend phishing-resistent.
Push-Benachrichtigungen über vertrauenswürdige Apps kombinieren guten Schutz mit hohem Komfort, und Biometrie eignet sich vor allem als bequemer zweiter Faktor auf dem eigenen Gerät.
Vorteile gegenüber reiner Passwort-Anmeldung
Im Vergleich zur klassischen Anmeldung mit Benutzername und Passwort senkt MFA das Risiko einer Kontoübernahme deutlich. Selbst wenn ein Passwort durch ein Datenleck oder Phishing in Umlauf gerät, bleibt das Konto geschützt, solange der zweite Faktor nicht ebenfalls kompromittiert ist.
Hinzu kommt der regulatorische Aspekt: Viele Compliance-Vorgaben, von branchenspezifischen Sicherheitsstandards bis hin zu allgemeinen Anforderungen an den Schutz personenbezogener Daten, setzen MFA für sensible Zugänge inzwischen voraus. Auch im Versicherungsumfeld ist eine konsequente Mehrfaktor-Anmeldung häufig Bedingung für den Schutz gegen Cybervorfälle.
Abgrenzung zu 2FA und Single Sign-On
Die Zwei-Faktor-Authentifizierung, 2FA, ist ein Spezialfall der MFA, bei dem genau zwei Faktoren verlangt werden. In der Praxis werden beide Begriffe oft synonym verwendet, technisch gesehen ist 2FA aber eine Untermenge. Auch das Zusammenspiel mit Single Sign-On ist relevant: Bei zentral verwalteten Identitäten reicht eine einzige starke Authentifizierung am Identity Provider aus, um anschließend auf alle angebundenen Anwendungen zuzugreifen. MFA sollte in einem solchen Setup an dieser zentralen Stelle besonders sorgfältig konfiguriert werden, denn von dort aus öffnen sich anschließend viele Tore gleichzeitig.
Relevanz für Web-Projekte
Für Web-Anwendungen ist MFA heute der Standard, an dem Anmeldeverfahren gemessen werden. Vom internen Backend einer Redaktion über Kundenportale bis hin zu administrativen Zugängen in Cloud-Plattformen sollte mindestens eine zweite Stufe Pflicht sein.
Die Wahl der konkreten Methode hängt von Zielgruppe und Risikolage ab: Während für allgemeine Anwender eine Authenticator-App oft ein guter Kompromiss aus Schutz und Bedienkomfort ist, sollten privilegierte Zugänge nach Möglichkeit mit einem Hardware-Schlüssel abgesichert werden.
