MFA (Multi-Faktor-Authentifizierung)

Multi-Faktor-Authentifizierung (MFA) bezeichnet ein Anmeldeverfahren, bei dem Sie Ihre Identität mit mindestens zwei voneinander unabhängigen Nachweisen belegen, sodass ein gestohlenes Passwort allein nicht mehr genügt. Umgangssprachlich wird der Begriff mit Zwei-Faktor-Authentifizierung (2FA) gleichgesetzt, die schlicht der Fall mit genau zwei Faktoren ist.

Was bedeutet der Begriff

Faktoren lassen sich in drei Kategorien einteilen. Wissen ist etwas, das Sie kennen, etwa ein Passwort oder eine PIN. Besitz ist etwas, das Sie bei sich haben, etwa ein Telefon, eine Smartcard oder einen Hardware-Schlüssel. Inhärenz ist etwas, das Sie sind, etwa ein Fingerabdruck oder ein Gesichtsscan. Von echter MFA spricht man erst, wenn die Faktoren aus verschiedenen Kategorien stammen: Ein Passwort plus eine Sicherheitsfrage bleibt zweimal Wissen und schafft keine zweite Ebene. Standort, Uhrzeit und Gerätezustand fließen allenfalls in eine Risikobewertung ein, Faktoren sind sie nicht.

Warum es wichtig ist

Angriffe, die allein auf das Passwort zielen, etwa Credential Stuffing nach einem Datenleck an anderer Stelle oder Brute Force gegen die Anmeldeseite, laufen gegen einen sauber umgesetzten zweiten Faktor ins Leere. Was MFA nicht leistet: alle Verfahren gleich stark zu machen.

Einmalcodes per SMS sind die schwächste gängige Variante, denn die Rufnummer ist nicht das Telefon. Sie lässt sich beim Anbieter per SIM-Swapping auf den Angreifer übertragen oder im Mobilfunknetz abfangen, und bei der Neuvergabe einer stillgelegten Nummer landet sie bei Fremden. Push-Bestätigungen versagen auf andere Weise: Wer das Passwort bereits hat, löst so lange eine Anfrage nach der anderen aus, bis jemand entnervt bestätigt (MFA-Fatigue). Hinzu kommt, dass sich jeder code- oder pushbasierte Faktor, auch aus einer Authenticator-App, in Echtzeit weiterreichen lässt: Ein Phishing-Kit als Reverse Proxy leitet Ihre Eingaben an die echte Seite weiter und nimmt das Session-Cookie mit.

FIDO2 und WebAuthn, die Standards hinter Passkeys und Hardware-Schlüsseln, schließen diese Lücke prinzipbedingt. Der private Schlüssel verlässt das Gerät nie, und die erzeugte Signatur ist an die Origin gebunden, die sie angefordert hat. Der Browser bietet ausschließlich einen für genau diese Origin registrierten Schlüssel an, eine nachgebaute Domain erhält also nichts Verwertbares. Serverseitig liegt zudem kein gemeinsames Geheimnis, das gestohlen werden könnte.

Beispiel

Ein Administratorkonto ist mit Passwort und Push-Bestätigung geschützt. Das Passwort taucht in einer Sammlung geleakter Zugangsdaten auf, und der Angreifer schickt am späten Abend eine Anfrage nach der anderen, bis eine davon bestätigt wird. Es kam weder Schadsoftware zum Einsatz noch wurde eine Schwachstelle ausgenutzt. Mit einem Passkey wäre derselbe Versuch bereits im ersten Schritt gescheitert.