Multi-Faktor-Authentifizierung, kurz MFA, gehört heute zu den wichtigsten Maßnahmen, um Benutzerkonten vor unbefugten Zugriffen zu schützen. Zusätzlich zum Passwort wird bei der Anmeldung ein weiterer Identitätsnachweis verlangt, beispielsweise ein Code aus einer Authenticator-App oder die Bestätigung einer Push-Benachrichtigung. Das macht es Cyberkriminellen deutlich schwerer. Denn selbst wenn sie ein Passwort erbeuten, reicht dieses allein nicht mehr aus, um sich anzumelden. Doch MFA ist kein unüberwindbares Hindernis. Angreifer haben ihre Methoden angepasst und versuchen zunehmend, nicht die Technik selbst zu knacken, sondern die Menschen dahinter zu manipulieren. Phishing, gefälschte Login-Seiten oder eine Flut von Anmeldeanfragen können dazu führen, dass Nutzer den entscheidenden zweiten Faktor selbst freigeben. Wie funktionieren solche Angriffe und wie können Sie sich davor schützen?
Was ist Multi-Faktor-Authentifizierung?
Bei einer klassischen Anmeldung weisen Sie Ihre Identität häufig lediglich mit einem Benutzernamen und einem Passwort nach. Kennt eine andere Person diese Zugangsdaten, kann sie sich unter Umständen ebenfalls anmelden. MFA ergänzt deshalb mindestens einen weiteren Faktor.
Eine Anmeldung könnte beispielsweise so aussehen:
1️⃣ Sie geben Ihre E-Mail-Adresse und Ihr Passwort ein.
2️⃣ Auf Ihrem Smartphone erscheint eine Anfrage Ihrer Authenticator-App.
3️⃣ Erst nachdem Sie die Anmeldung dort bestätigt haben, erhalten Sie Zugriff auf Ihr Konto.
Die Idee dahinter ist einfach: Wird einer der Faktoren kompromittiert, verhindert der zweite Faktor weiterhin den Zugriff. Hat ein Angreifer beispielsweise Ihr Passwort gestohlen, benötigt er zusätzlich Zugriff auf Ihren Bestätigungscode, Ihre Authenticator-App oder einen anderen verwendeten Faktor.
Welche Arten von MFA gibt es?
Für die Multi-Faktor-Authentifizierung kommen unterschiedliche Methoden zum Einsatz. Dazu gehören beispielsweise:
- Authenticator-Apps, über die Anmeldeversuche bestätigt werden
- Einmalcodes, die per SMS oder E-Mail verschickt oder in einer Authenticator-App generiert werden
- biometrische Merkmale wie Fingerabdruck oder Gesichtserkennung in Kombination mit PIN oder Passwort
- physische Sicherheitsschlüssel oder Token
- Chipkarten, beispielsweise in Verbindung mit einer PIN
Die verschiedenen Verfahren bieten unterschiedliche Sicherheitsniveaus. Gleichzeitig bedeutet der Einsatz von MFA jedoch nicht, dass ein Konto automatisch gegen jeden Angriff geschützt ist.
Wie können Angreifer MFA umgehen?
MFA direkt technisch auszuhebeln, ist häufig schwierig. Deshalb setzen Cyberkriminelle an einer anderen Stelle an: beim Nutzer. Anstatt den zweiten Faktor zu knacken, versuchen sie, ihre Opfer dazu zu bringen, ihn freiwillig preiszugeben oder einen betrügerischen Login zu bestätigen.
1. Phishing: Wenn Angreifer nach dem zweiten Faktor fragen
Eine der einfachsten Methoden ist Social Engineering. Ein Angreifer gibt sich beispielsweise als Mitarbeiter der IT-Abteilung, eines Dienstleisters oder einer anderen vertrauenswürdigen Stelle aus. Angeblich müsse ein Problem mit dem Benutzerkonto behoben oder die Identität des Nutzers bestätigt werden. Anschließend wird nach einem Verifizierungscode gefragt. Das Problem: Solche Codes sind dafür gedacht, nur vom Nutzer selbst während einer Anmeldung verwendet zu werden. Gibt das Opfer den Code weiter, kann der Angreifer ihn möglicherweise für seinen eigenen Login nutzen. Deshalb gilt für MFA-Codes die gleiche Regel wie für Passwörter: Geben Sie einen Verifizierungscode niemals an andere Personen weiter. Eine seriöse IT-Abteilung benötigt Ihren persönlichen MFA-Code in der Regel nicht, um ein technisches Problem zu beheben.
2. Gefälschte Login-Seiten: Wenn die Anmeldung echt aussieht
Eine weitere Methode sind professionell gestaltete Phishing-Webseiten. Nutzer erhalten beispielsweise eine E-Mail mit einem Link zu einer angeblichen Anmeldeseite von Microsoft 365, Google, einem Cloud-Dienst oder einer anderen bekannten Plattform. Die Website sieht auf den ersten Blick täuschend echt aus. Dort werden zunächst Benutzername und Passwort abgefragt. Anschließend erscheint auch die Aufforderung zur Eingabe des MFA-Codes. Das Opfer glaubt, sich bei seinem normalen Konto anzumelden. Tatsächlich landen die eingegebenen Informationen jedoch beim Angreifer. Dieser kann versuchen, die Zugangsdaten und den zweiten Faktor unmittelbar für eine echte Anmeldung zu verwenden. MFA schützt deshalb nicht davor, dass Nutzer ihre Zugangsdaten auf einer gefälschten Website eingeben.
Was ist MFA Fatigue?
Besonders perfide ist eine Angriffsmethode, die häufig als MFA Fatigue, Push Fatigue oder MFA Bombing bezeichnet wird. Dabei besitzt ein Angreifer häufig bereits Benutzername und Passwort seines Opfers. Für die Anmeldung fehlt ihm lediglich die Bestätigung in der Authenticator-App. Also versucht er es immer wieder. Das Opfer erhält daraufhin eine Benachrichtigung nach der anderen: „Möchten Sie diese Anmeldung bestätigen?“ Wird die Anfrage abgelehnt, startet der Angreifer einfach einen weiteren Anmeldeversuch. Und noch einen. Und noch einen. Das Ziel ist nicht unbedingt, das technische Sicherheitssystem zu überwinden. Stattdessen soll der Nutzer irgendwann genervt, verwirrt oder unachtsam werden und die Anfrage akzeptieren. Manche Nutzer vermuten hinter den zahlreichen Meldungen beispielsweise einen Fehler der Authenticator-App und bestätigen eine Anfrage, um die Benachrichtigungen endlich loszuwerden. Genau darauf setzen die Angreifer.
Eine unerwartete MFA-Anfrage ist ein Warnsignal
Eine wichtige Regel lautet deshalb: Wenn Sie sich gerade nirgendwo anmelden, sollten Sie auch keine MFA-Anfrage bestätigen. Eine unerwartete Authentifizierungsanfrage kann bedeuten, dass jemand bereits versucht, sich mit Ihren Zugangsdaten anzumelden. Bestätigen Sie die Anfrage nicht. Informieren Sie stattdessen Ihre IT-Abteilung oder den zuständigen Administrator und ändern Sie gegebenenfalls Ihr Passwort. Mehrere plötzlich auftretende MFA-Anfragen sollten Sie ebenfalls nicht als technische Störung abtun. Sie können auf einen laufenden Angriff hinweisen.
So schützen Sie sich vor Angriffen auf MFA
MFA erhöht die Sicherheit von Konten deutlich, ist aber kein vollständiger Schutz. Deshalb sollten Sie einige grundlegende Regeln beachten:
👉 Geben Sie MFA-Codes niemals weiter. Behandeln Sie Ihren zweiten Faktor genauso vertraulich wie Ihr Passwort.
👉 Bestätigen Sie nur eigene Anmeldeversuche. Unerwartete MFA-Anfragen können auf einen Angriff hindeuten.
👉 Verwenden Sie starke, unterschiedliche Passwörter. So verhindern Sie, dass ein gestohlenes Passwort mehrere Konten gefährdet.
👉 Prüfen Sie Login-Seiten und Absender genau. Besonders Links aus E-Mails oder Nachrichten können auf gefälschte Webseiten führen.
👉 Lassen Sie sich nicht unter Druck setzen. Fragen Sie bei Unsicherheit lieber bei Ihrer IT-Abteilung oder der betreffenden Person über einen anderen Kommunikationsweg nach.
Fazit: MFA bleibt ein wichtiger Schutz
Multi-Faktor-Authentifizierung erschwert Cyberkriminellen den Zugriff auf Konten erheblich und sollte überall eingesetzt werden, wo sie verfügbar ist. Dennoch können Angreifer versuchen, Nutzer durch Phishing, gefälschte Login-Seiten oder MFA-Fatigue zu täuschen. Deshalb gilt: MFA funktioniert am besten in Kombination mit sicheren Passwörtern, Aufmerksamkeit und einem bewussten Umgang mit ungewöhnlichen Anmeldeanfragen.
Häufige Fragen zu Multi-Faktor-Authentifizierung
Was passiert, wenn ich mein Smartphone mit der Authenticator-App verliere?
In diesem Fall sollten Sie den Zugriff auf das verlorene Gerät möglichst schnell sperren und die hinterlegte MFA-Methode in Ihrem Konto ändern. Unternehmen sollten zusätzlich alternative Wiederherstellungswege für solche Fälle vorsehen.
Was sind Backup-Codes bei MFA?
Backup-Codes sind einmalig nutzbare Ersatzcodes, mit denen Sie sich anmelden können, wenn Ihr regulärer zweiter Faktor nicht verfügbar ist. Sie sollten sicher aufbewahrt und nicht gemeinsam mit Ihren normalen Zugangsdaten gespeichert werden.
Kann ein Unternehmen bestimmte MFA-Methoden vorschreiben?
Ja. Administratoren können je nach eingesetztem System festlegen, welche Authentifizierungsmethoden erlaubt sind. So lassen sich beispielsweise weniger sichere Verfahren deaktivieren und stärkere Methoden bevorzugen.
Funktioniert MFA auch ohne Smartphone?
Ja. Neben Authenticator-Apps gibt es beispielsweise Hardware-Sicherheitsschlüssel, Chipkarten oder andere physische Token. Welche Möglichkeiten verfügbar sind, hängt vom jeweiligen Dienst oder Unternehmen ab.
Muss MFA regelmäßig neu eingerichtet werden?
Normalerweise nicht. Eine Neueinrichtung kann jedoch sinnvoll oder notwendig sein, wenn Sie Ihr Gerät wechseln, ein Gerät verlieren oder sich Ihre Sicherheitskonfiguration im Unternehmen ändert.
