Ein kompromittiertes E-Mail-Postfach ist selten nur ein E-Mail-Problem. Angreifer lesen Angebote mit, setzen Passwort-Zurücksetzungen in Gang, geben Zahlungsanweisungen frei oder verschaffen sich Zugang zu weiteren Anwendungen. Die entscheidende Frage lautet daher nicht, ob Mehrfaktor-Authentifizierung sinnvoll ist, sondern: Welche Konten benötigen MFA zuerst?
Für mittelständische Unternehmen ist die Antwort klar: MFA gehört überall dorthin, wo ein Zugang Schaden auslösen, Daten offenlegen oder weitere Systeme übernehmen kann. Eine kluge Priorisierung verhindert, dass Sicherheitsmaßnahmen zum unübersichtlichen Großprojekt werden. Sie schützt zunächst die Konten mit dem größten Hebel und schafft danach Schritt für Schritt eine belastbare Zugriffskontrolle.
Warum Passwörter allein nicht mehr genügen
Passwörter werden wiederverwendet, erraten, über Phishing-Seiten abgegriffen oder nach Datenlecks weiterverkauft. Selbst ein langes, einzigartiges Passwort schützt nicht, wenn ein Mitarbeiter es auf einer täuschend echt wirkenden Anmeldeseite eingibt. Genau auf diesen Moment zielen viele Angriffe ab.
Das Bundesamt für Sicherheit in der Informationstechnik, BSI, berichtete im Lagebericht 2024 von durchschnittlich rund 309.000 neuen Schadprogramm-Varianten pro Tag. Phishing bleibt dabei ein zentraler Einstiegspunkt. Auch die ENISA stuft Identitätsdiebstahl und gestohlene Zugangsdaten regelmäßig als wesentliche Ursachen erfolgreicher Angriffe ein.
MFA ergänzt das Passwort um einen zweiten Nachweis, etwa eine Bestätigung in einer Authenticator-App, einen Sicherheitsschlüssel oder ein Zertifikat. Wird das Passwort gestohlen, fehlt dem Angreifer im Idealfall dieser zweite Faktor. Das reduziert das Risiko erheblich, beseitigt es aber nicht vollständig: Gefälschte Anmeldeseiten können auch MFA-Abfragen weiterleiten, und ungeschützte Sitzungen können übernommen werden. Deshalb muss MFA richtig ausgewählt, technisch sauber umgesetzt und mit weiteren Schutzmaßnahmen verbunden werden.
Welche Konten benötigen MFA mit höchster Priorität?
Nicht jedes Konto ist gleich kritisch. Wer zunächst die wichtigsten Identitäten schützt, erreicht mit überschaubarem Aufwand eine deutlich bessere Sicherheitslage.
1. E-Mail- und zentrale Benutzerkonten
E-Mail-Konten stehen an erster Stelle. Über das Postfach lassen sich häufig Kennwörter anderer Dienste zurücksetzen. Zudem enthält es Vertragsunterlagen, personenbezogene Daten, interne Kommunikation und Informationen über Zahlungsprozesse. Ein übernommenes Postfach ist für Angreifer oft der Schlüssel zum Unternehmen.
MFA sollte deshalb für Microsoft-365-, Google-Workspace- oder vergleichbare E-Mail-Konten verpflichtend sein. Gleiches gilt für zentrale Verzeichnisdienste und Single-Sign-on-Konten, über die Mitarbeitende auf mehrere Anwendungen zugreifen. Je mehr Dienste an einer Identität hängen, desto höher ihr Schutzbedarf.
2. Administratorkonten und privilegierte Zugänge
Administratorkonten benötigen ausnahmslos MFA. Dazu zählen Konten zur Verwaltung von Servern, Firewalls, Endpoints, Cloud-Umgebungen, Netzwerkkomponenten, Datenbanken und Sicherheitslösungen. Mit einem solchen Zugang kann ein Angreifer Benutzer anlegen, Schutzmechanismen abschalten, Daten verschlüsseln oder Spuren verwischen.
Ein häufiger Fehler in gewachsenen IT-Strukturen: Mitarbeitende nutzen für die tägliche Arbeit ein Konto mit lokalen oder domänenweiten Administratorrechten. Besser ist eine klare Trennung. Das persönliche Standardkonto dient für E-Mail und Büroarbeit, das separate Administratorkonto ausschließlich für Verwaltungsaufgaben. Beide Konten brauchen MFA, das Administratorkonto zusätzlich besonders strenge Regeln.
3. Fernzugänge, VPN und Remote-Management
Jeder Zugang von außerhalb des Unternehmensnetzes ist ein bevorzugtes Angriffsziel. MFA ist daher für VPN, Remote-Desktop-Gateways, Fernwartungswerkzeuge und Cloud-Verwaltungsportale zwingend. Ein Passwort allein ist hier keine ausreichende Zugangshürde.
Besondere Aufmerksamkeit verdienen externe IT-Dienstleister. Deren Zugänge müssen personengebunden, zeitlich nachvollziehbar und auf die tatsächlich benötigten Systeme begrenzt sein. Gemeinsame Dienstleisterkonten erschweren die Aufklärung im Ernstfall und widersprechen dem Prinzip klarer Verantwortlichkeiten.
4. Finanz-, Personal- und Geschäftsführungszugänge
Konten in Buchhaltung, Zahlungsverkehr, Lohnabrechnung, HR-Systemen, Vertragsmanagement und CRM enthalten besonders schützenswerte Daten oder ermöglichen wirtschaftlich folgenschwere Handlungen. Hier geht es nicht nur um Datenschutz, sondern auch um Betrugsprävention.
Beim Zahlungsverkehr reicht MFA allein allerdings nicht aus. Wenn ein Angreifer ein E-Mail-Postfach übernimmt und eine geänderte Bankverbindung vortäuscht, kann eine MFA-geschützte Freigabe dennoch zum Schaden führen. Sinnvoll sind ergänzend Vier-Augen-Freigaben, feste Rückrufprozesse bei Kontodatenänderungen und klare Zahlungsgrenzen.
5. Backup-, Sicherheits- und Monitoring-Konten
Diese Konten werden in der Praxis oft übersehen. Dabei sind sie im Ernstfall entscheidend. Kann ein Angreifer das Backup löschen, die Aufbewahrung verändern oder die Endpoint Protection deaktivieren, verliert das Unternehmen wichtige Schutzlinien.
MFA sollte deshalb für Backup-Verwaltung, Endpoint-Schutz, Firewall-Management, Monitoring, Log-Management und Passwortverwaltung aktiviert sein. Auch das sogenannte Break-Glass-Konto für Notfälle braucht besondere Regeln: Es darf nicht im täglichen Betrieb verwendet werden, muss sicher dokumentiert sein und seine Nutzung muss alarmiert sowie regelmäßig geprüft werden.
6. Fachanwendungen, Cloud-Speicher und Kundenportale
MFA ist ebenfalls erforderlich, wenn Anwendungen Kundendaten, Konstruktionsdaten, Angebote, sensible Projektinformationen oder personenbezogene Daten verarbeiten. Dazu gehören Cloud-Speicher, ERP, DMS, Zeiterfassung, Ticketsysteme und branchenspezifische Fachsoftware.
Hier lohnt eine abgestufte Betrachtung. Ein Portal ohne sensible Daten und ohne Änderungsrechte kann ein geringeres Risiko darstellen. Sobald jedoch Daten exportiert, Berechtigungen geändert oder Transaktionen ausgelöst werden können, sollte MFA verbindlich sein. Maßgeblich sind Schutzbedarf und mögliche Folgen eines Missbrauchs, nicht allein der Name der Anwendung.
DSGVO: MFA ist nicht ausdrücklich genannt, aber oft angemessen
Die DSGVO schreibt MFA nicht wörtlich vor. Artikel 32 fordert jedoch technische und organisatorische Maßnahmen, die dem Risiko angemessen sind. Bei Fernzugriffen, privilegierten Konten und Systemen mit personenbezogenen Daten ist MFA heute regelmäßig eine naheliegende und erwartbare Schutzmaßnahme.
Das gilt besonders, wenn Beschäftigte mobil arbeiten, externe Dienstleister Zugriff erhalten oder Cloud-Dienste eingesetzt werden. Ohne MFA fällt es schwer zu begründen, warum ein einzelnes abgegriffenes Passwort für den Zugang zu vertraulichen Daten oder Verwaltungsfunktionen ausreichen sollte.
Für die Nachweisbarkeit zählt nicht nur die Aktivierung. Unternehmen sollten dokumentieren, welche Systeme MFA erfordern, welche Faktoren zugelassen sind, wer Ausnahmen genehmigt und wie ausgeschiedene Mitarbeitende entfernt werden. Diese Transparenz hilft bei Audits, Datenschutzprüfungen und vor allem im tatsächlichen Sicherheitsvorfall.
Die richtige MFA-Methode: Sicherheit darf im Alltag funktionieren
Nicht jede zweite Abfrage bietet dieselbe Sicherheit. SMS-Codes sind besser als ein Passwort allein, aber anfällig für Angriffe auf Mobilfunknummern und sollten nicht die bevorzugte Methode sein. Authenticator-Apps sind für viele mittelständische Unternehmen ein praktikabler Standard. Noch besseren Phishing-Schutz bieten FIDO2-Sicherheitsschlüssel oder passwortlose Verfahren, insbesondere für Administratoren und Geschäftsführung.
Die Methode muss zum Arbeitsalltag passen. Mitarbeitende in Produktion, Lager oder Außendienst benötigen einen einfachen, verlässlichen Ablauf. Wird MFA als störend erlebt oder fehlen klare Ersatzprozesse bei Geräteverlust, entstehen Umgehungen. Eine gute Einführung berücksichtigt daher Schulung, Support, sichere Wiederherstellung und verbindliche Vorgaben für private oder dienstliche Mobilgeräte.
Praxisfall: Der übersehene Zugang zum Backup
In einer anonymisierten Sicherheitsanalyse eines mittelständischen Unternehmens im Bergischen Land waren E-Mail und VPN bereits mit MFA geschützt. Das wirkte zunächst solide. Bei der Prüfung der Administrationszugänge zeigte sich jedoch, dass das Backup-Portal noch über ein älteres Administratorkonto mit Passwort erreichbar war. Dieses Konto hatte Rechte, Sicherungen zu löschen und Aufbewahrungsfristen zu verändern.
Die Lösung war keine umfangreiche Neuanschaffung: Das Konto wurde einem konkreten Verantwortlichen zugeordnet, MFA aktiviert, tägliche Nutzung untersagt und ein protokolliertes Notfallverfahren eingerichtet. Zusätzlich wurde ein Alarm definiert, sobald Backup-Aufträge gelöscht oder die Aufbewahrung verändert wird. Der Fall zeigt, warum eine MFA-Prüfung nicht bei E-Mail und VPN enden darf.
So setzen Sie MFA ohne unnötige Reibung um
Beginnen Sie mit einer vollständigen Konten- und Anwendungsübersicht. Entscheidend ist nicht nur, welche Systeme bekannt sind, sondern auch, wer sie administriert, ob externe Zugänge bestehen und welche Konten noch ehemaligen Mitarbeitenden oder gemeinsamen Funktionspostfächern zugeordnet sind.
Danach werden die Konten nach ihrem Schadenspotenzial priorisiert: erst Identitäten, E-Mail, Administratoren, Fernzugriffe und Backups, dann Finanz- und Fachanwendungen. Für jedes System sollte feststehen, ob MFA technisch verfügbar ist, welche Methode genutzt wird und was bei Geräteverlust geschieht.
Dienst- und technische Konten bilden einen Sonderfall. Sie können meist keinen zweiten Faktor auf einem Smartphone bestätigen. Solche Konten dürfen daher keine interaktive Anmeldung erlauben, sollten minimal berechtigt sein und ihre Zugangsdaten sicher verwaltet sowie regelmäßig gewechselt werden. Wo möglich, sind Zertifikate, verwaltete Identitäten oder dedizierte Passworttresore die bessere Wahl.
Eine kostenlose IT-Sicherheitsanalyse schafft Klarheit darüber, welche Konten in Ihrer Umgebung besonders kritisch sind, wo MFA fehlt und welche Maßnahmen mit vertretbarem Aufwand den größten Schutzgewinn bringen. Sicherheit entsteht nicht durch möglichst viele Abfragen, sondern durch kontrollierte Zugänge an den Stellen, an denen ein einzelner Fehler den Betrieb gefährden würde.
Comments are closed