Multi-Faktor-Authentifizierung (MFA): Vollständiger Leitfaden | Decripte

Die Multi-Faktor-Authentifizierung (MFA) ist eine der wirksamsten verfügbaren Sicherheitsmaßnahmen heutzutage und senkt das Risiko einer Kontokompromittierung um bis zu 99,9 %, selbst wenn Zugangsdaten geleakt, per Phishing gestohlen oder durch Brute-Force-Angriffe erlangt werden. MFA funktioniert, indem von Benutzern verlangt wird, mehrere Authentifizierungsfaktoren aus unterschiedlichen Kategorien vorzulegen: etwas, das man weiß (Passwort, PIN), etwas, das man besitzt (Smartphone, Hardware-Token, Smartcard), und etwas, das man ist (Gesichtsbiometrie, Fingerabdruck, Spracherkennung). So muss ein Angreifer mehrere unabhängige Systeme kompromittieren, um unbefugten Zugriff zu erlangen. Trotz ihrer nachgewiesenen Wirksamkeit steht die MFA-Implementierung vor erheblichen Herausforderungen in Bezug auf die Benutzererfahrung, den organisatorischen Widerstand gegen Veränderungen, die Deployment-Kosten von Hardware-Tokens, die Integrationskomplexität mit Legacy-Systemen und das Aufkommen neuer Angriffstechniken wie MFA Fatigue, Session Hijacking und Bypass durch ausgefeiltes Social Engineering. Dieser Artikel untersucht die verschiedenen verfügbaren MFA-Methoden, von SMS-based (am wenigsten sicher) bis FIDO2/WebAuthn phishing-resistant (am sichersten), analysiert aufkommende Angriffsvektoren gegen MFA, stellt gestaffelte Implementierungsstrategien vor, um die Akzeptanz zu maximieren und die Reibung zu minimieren, und legt Best Practices für Konfiguration, Monitoring und die Reaktion auf Bypass-Versuche der Multi-Faktor-Authentifizierung in Unternehmens- und Verbraucherumgebungen fest.

Authentifizierungsfaktoren

MFA-Methoden (nach Sicherheit)

1. FIDO2/WebAuthn (Am sichersten)

      # Hardware Security Keys (YubiKey, Titan Key)
      - Phishing-resistant (keine Codes zum Abfangen)
      - Cryptographic challenge-response
      - Unterstützt Passkeys (passwordless)
      - Langlebig, keine Batterie erforderlich
      # Verwendung
      1. Benutzer gibt das Passwort ein
      2. Browser fordert den physischen Token an
      3. Benutzer berührt den Hardware Key
      4. Asymmetrische Kryptografie validiert das Gerät
      5. Zugriff gewährt
      # Vorteile:
      - Phishing unmöglich (Domain kryptografisch verifiziert)
      - Keine Codes zum Abfangen
      - Funktioniert offline
      - Resistent gegen MFA Fatigue
      # Nachteile:
      - Hardware-Kosten ($20-$70/key)
      - Kann verloren gehen (erfordert Backup Key)
      - Akzeptanz erfordert Schulung
      

2. Authenticator Apps - TOTP

      # Time-based One-Time Password
      Apps: Google Authenticator, Microsoft Authenticator, Authy
      # Funktionsweise:
      1. Setup: Der Server generiert einen Secret Key, der Benutzer scannt den QR-Code
      2. Die App generiert einen 6-stelligen Code basierend auf:
      - Geteiltem Secret Key
      - Aktuellem Timestamp (30s-Fenster)
      3. Benutzer gibt den Code beim Login ein
      4. Server validiert mit eigener Berechnung
      # Algorithmus:
      TOTP = HOTP(K, T)
      wobei K = secret key, T = floor(unix_time / 30)
      # Vorteile:
      - Offline (kein Internet erforderlich)
      - Sicherer als SMS
      - Kostenlos
      - Mehrere Dienste in derselben App
      # Nachteile:
      - Codes können per Phishing abgefangen werden
      - Clock Sync ist kritisch
      - Verlust des Geräts = Verlust des Zugriffs (Backup Codes!)
      

3. Push Notifications

      # Apps: Duo Push, Microsoft Authenticator
      1. Benutzer versucht sich anzumelden
      2. Push wird an das Smartphone gesendet
      3. Benutzer genehmigt/lehnt in der Benachrichtigung ab
      4. Antwort geht zurück an den Server
      # Vorteile:
      - Exzellente UX (ein Tap)
      - Reicher Kontext (Standort, device info)
      - Offline-Erkennung
      # Nachteile:
      - MFA FATIGUE: Benutzer genehmigen ohne nachzudenken
      (Angreifer spammen Pushes bis zur Genehmigung)
      - Erfordert Internet
      - Phishing möglich, wenn der Benutzer den Kontext nicht prüft
      

4. SMS (Am wenigsten sicher - Vermeiden)

      # 6-stelliger Code per SMS
      1. Benutzer versucht sich anzumelden
      2. Code wird per SMS gesendet
      3. Benutzer gibt den Code ein
      # Schwachstellen:
      - SIM swapping: Angreifer überträgt die Nummer auf seine SIM
      - SS7 exploits: Abfangen von SMS im Telefonnetz
      - Phishing: Benutzer gibt den Code an den Angreifer weiter
      - Social Engineering: Angreifer überzeugt den Provider
      # Wann verwenden:
      - Besser als nichts
      - Fallback für Benutzer ohne Smartphone
      - Märkte, in denen SMS die einzige praktikable Option ist
      # Mitigationen:
      - Number-Portability-Sperren beim Provider
      - Zusätzliche Verifizierung bei SIM-Wechseln
      - Warnungen bei SIM-Swap-Versuchen
      

Angriffe gegen MFA

MFA Fatigue Attack

      # Angriff:
      1. Angreifer hat das Passwort des Opfers
      2. Versucht wiederholt sich anzumelden
      3. Jeder Versuch sendet eine Push Notification
      4. Bombardiert das Opfer mit über 100 Pushes
      5. Opfer genehmigt, um die Benachrichtigungen zu stoppen
      6. Angreifer greift auf das Konto zu
      # Verteidigung:
      - Rate Limiting von MFA Prompts (max 3/Stunde)
      - Number matching: Benutzer gibt die in der App angezeigte Nummer ein
      - Detaillierter Kontext: Standort, IP, Gerät
      - Warnung bei mehreren Versuchen
      - Benutzer schulen: NIEMALS einen unerwarteten Push genehmigen
      

Man-in-the-Middle (MitM)

      # Evilginx2 - Phishing MFA bypass
      1. Angreifer erstellt einen Reverse Proxy der legitimen Website
      2. Opfer ruft die gefälschte Website per Phishing auf
      3. Opfer meldet sich mit Passwort + MFA an
      4. Proxy fängt das Session Cookie ab
      5. Angreifer nutzt das Cookie, um auf das echte Konto zuzugreifen
      # Verteidigung:
      - FIDO2/WebAuthn (domain-bound)
      - Device trust/fingerprinting
      - Anomaly detection (neues Gerät, IP)
      - Kurzlebige Sessions
      - Re-Authentifizierung für kritische Aktionen
      

SIM Swapping

      # Angriff gegen SMS MFA:
      1. Angreifer betreibt Social Engineering beim Provider-Support
      2. Überträgt die Nummer auf die SIM des Angreifers
      3. SMS MFA geht an den Angreifer
      4. Password-Reset-Flows kompromittiert
      # Mitigation:
      - SMS MFA NICHT verwenden
      - Port Freeze beim Provider
      - Zusätzliche PIN für Kontoänderungen
      - Port-Out-Versuche überwachen
      - Auf TOTP/FIDO2 migrieren
      

Implementierung im Unternehmen

Rollout Strategy

      # Phase 1: Pilot (1 Monat)
      - IT-Team und Early Adopters
      - Verschiedene Methoden testen
      - UX-Feedback sammeln
      # Phase 2: Privileged Users (2 Monate)
      - Admins, Führungskräfte, Finanzen
      - Hardware Tokens für High-Risk-Rollen
      - Spezifische Schulung
      # Phase 3: General Rollout (6 Monate)
      - Schrittweise nach Abteilung
      - TOTP Apps als Standard
      - SMS als temporärer Fallback
      - Support Desk vorbereitet
      # Phase 4: Mandatory (12 Monate)
      - SMS MFA deaktivieren
      - Vollständiges Enforcement
      - Ausnahmen nur mit Approval
      

MFA-Plattformen

Passwordless Authentication

      # Passkeys (FIDO2) - Die Zukunft der MFA
      1. Registrierung:
      - Server erstellt einen Challenge
      - Gerät generiert ein Schlüsselpaar (der private Schlüssel bleibt auf dem Gerät)
      - Öffentlicher Schlüssel wird auf dem Server registriert
      2. Login:
      - Nur Biometrie/PIN auf dem Gerät
      - Kein traditionelles Passwort
      - Phishing unmöglich
      # Vorteile:
      - Überlegene UX (lokale Biometrie)
      - Phishing-resistant
      - Keine Passwörter, die geleakt werden können
      - Cross-platform (iCloud Keychain, Google Password Manager)
      # Akzeptanz:
      - Google, Microsoft, Apple treiben Passkeys voran
      - Schrittweise Ablösung von Passwörtern
      

Best Practices

• Priorisieren Sie FIDO2/WebAuthn für High-Risk-Benutzer
• TOTP Apps als Standard für allgemeine Benutzer
• Eliminieren Sie SMS MFA schrittweise
• Backup Codes: Generieren Sie über 10 Recovery Codes
• Device Trust: Bekannte Geräte merken
• Conditional MFA: Nur wenn der Risk Score hoch ist
• Anomalien überwachen: Impossible Travel, neues Gerät
• Kontinuierliche Schulung: MFA Fatigue, Phishing Awareness