Multi-Faktor-Authentifizierung (MFA): Der wirksamste Schutz vor Kontoübernahmen

Die drei Begriffe werden oft synonym verwendet, bezeichnen aber klar getrennte Vorgänge: Bei der Authentisierung legt der Benutzer den Nachweis seiner Identität vor – klassisch mit Benutzerkennung und Passwort. Die Authentifizierung ist die eigentliche Prüfung dieser behaupteten Identität durch eine vertrauenswürdige Instanz (etwa den Identity Provider). Ist die Identität bestätigt, teilt die Autorisierung die Zugriffsberechtigungen zu. Zusammen mit dem Accounting (Abrechnung/Protokollierung) bilden diese Dienste die sogenannten Triple-A-Services (AAA) – das Fundament jeder Anmeldung, ob am Firmenserver oder in der Cloud.

Bei der Multi-Faktor-Authentifizierung genügt das Passwort allein nicht mehr: Die Anmeldung verlangt mindestens einen zweiten, unabhängigen Faktor aus einer anderen Kategorie – Besitz oder Merkmal. Ein Angreifer mit gestohlenem Passwort steht damit vor verschlossener Tür. „Zwei-Faktor-Authentifizierung“ (fachlich präziser: Zwei-Faktor-Authentisierung) bezeichnet den Spezialfall mit genau zwei Faktoren; MFA ist der Oberbegriff.

Formal freiwillig ist MFA immer seltener: Cyberversicherer machen sie regelmäßig zur Vertragsbedingung – ohne MFA keine Police oder Leistungskürzung im Schadensfall. Die NIS2-Richtlinie führt Multi-Faktor-Authentifizierung ausdrücklich als geforderte Basismaßnahme. Und wer Kunden Sicherheitsnachweise liefern muss, wird nach MFA als Erstes gefragt. Kurz: MFA ist heute Grundschutz.