Mehrfaktorauthentifizierung richtig einführen

MFA im Arbeitsalltag sicher einführen

Ein gestohlenes Passwort kann für einen Angriff genügen. Mehrfaktorauthentifizierung, kurz MFA, verlangt neben dem Passwort einen weiteren Nachweis. Die Aktivierung ist technisch schnell erledigt; zuverlässig wird sie durch eine Einführung, die Geräte, Ausnahmen und verlorene Zugänge berücksichtigt. Klären Sie vor dem Rollout:

• welche Konten zuerst geschützt werden
• welche Methoden zu unterschiedlichen Arbeitsplätzen passen
• wer einen Faktor nach geprüfter Identifikation zurücksetzt

Beginnen Sie mit Administrationskonten, E-Mail, Fernzugriffen, Buchhaltung und Systemen mit Kundendaten. Erfassen Sie ältere Anwendungen, Scanner und Dienste, die nur Benutzername und Passwort kennen. Diese Fälle brauchen eine Alternative, einen beschränkten Zugang oder einen Ablösetermin. IT Security und Überwachung beginnt mit dieser Übersicht.

Methode und Wiederherstellung bewusst wählen

Eine Authenticator-App ist für viele Mitarbeitende ein guter Start. SMS bietet weniger Schutz und sollte höchstens als Übergang gelten. Für Konten mit hoher Berechtigung sind phishingresistente Methoden wie Sicherheitsschlüssel oder passwortlose Anmeldung vorzuziehen. Passwortlos anmelden mit Microsoft Entra ID vertieft diesen Weg.

Die Methode muss zum Alltag passen. Eine Person im Aussendienst hat meist ein Diensthandy und kann eine App bestätigen. In der Werkstatt oder in einer Umgebung mit gemeinsamer Schichtübergabe kann ein Sicherheitsschlüssel praktischer sein. Geben Sie zwei oder drei freigegebene Wege vor, statt für jeden Sonderfall eine dauerhafte Ausnahme zu schaffen. Die bequemste Methode ist nicht immer die sicherste, die strengste nicht immer die nutzbarste.

Der Verlustfall muss vor der Einführung gelöst sein: Wer darf zurücksetzen, wie wird die Identität geprüft, und wie wird der Vorgang protokolliert? Kritische Konten brauchen getrennte Wiederherstellungswege; auch die Administration benötigt eine Vertretung. Notfallcodes gehören nicht ins gleiche Postfach wie die Anmeldung. Wenn am Montagmorgen ein Handy verloren geht, verhindert ein dokumentierter Ablauf, dass eine Schutzmassnahme zum Betriebsunterbruch wird.

Rollout begleiten und Ausnahmen begrenzen

Kündigen Sie MFA verständlich an, bieten Sie eine kurze Anleitung und testen Sie mit unterschiedlichen Rollen. Der Pilot deckt Fragen zu Mobilfunk, privaten Telefonen und Schichtwechseln auf. Eine Aufforderung ohne Ankündigung wirkt wie eine Störung; ein klarer Ansprechpartner und ein kurzer Termin für Unterstützung sparen später Supportzeit. MFA ersetzt keine Aufmerksamkeit gegenüber Phishing; Phishing erkennen und richtig reagieren gehört deshalb dazu.

Ausnahmen benötigen Eigentümer, Begründung, kompensierende Massnahme und Ablaufdatum. Prüfen Sie Protokolle und Altverfahren regelmässig. Für KMU und Dienstleister sind die MFA-Abdeckung, offene Ausnahmen und die sichere Wiederherstellungszeit hilfreiche Messgrössen. So wird sichtbar, ob kritische Zugänge tatsächlich geschützt sind und ob eine vermeintlich vorläufige Ausnahme ersetzt werden muss.

Eine gute Einführung ist nicht fertig, wenn alle einen zweiten Faktor eingerichtet haben. Fragen Sie nach einigen Wochen, wo die Anmeldung stockt, welche Geräte Schwierigkeiten machen und ob der Wiederherstellungsprozess im Ernstfall verständlich wäre. Diese Rückmeldungen erlauben gezielte Anpassungen, ohne den Schutz wieder aufzuweichen.