Probleme · Sicherheit, Backup & Datenschutz
Wie führe ich MFA im KMU richtig ein?
Kurz gesagt
Beginne mit Administrationskonten, E-Mail, Fernzugriffen, Buchhaltung und Systemen mit Kundendaten. Gib zwei oder drei Methoden vor, die zum Arbeitsalltag passen, etwa Authenticator-App oder Sicherheitsschlüssel. Regle den Verlustfall vor dem Rollout. Teste mit verschiedenen Rollen, kündige verständlich an und begrenze Ausnahmen mit Eigentümer und Ablaufdatum.
Für wen das gilt
Für jedes KMU, das Microsoft 365, Fernzugriffe oder Cloud-Dienste nutzt. Ein gestohlenes Passwort kann für einen Angriff genügen. Mehrfaktorauthentifizierung (MFA) verlangt neben dem Passwort einen weiteren Nachweis. Die Aktivierung ist technisch schnell erledigt. Zuverlässig wird MFA aber erst durch eine Einführung, die Geräte, Ausnahmen und verlorene Zugänge mitdenkt.
Die Methoden im Überblick
| Methode | Einsatz |
|---|---|
| Authenticator-App | guter Start für viele Mitarbeitende, zum Beispiel im Aussendienst mit Diensthandy |
| Sicherheitsschlüssel | Konten mit hoher Berechtigung; praktisch in der Werkstatt oder bei gemeinsamer Schichtübergabe |
| Passwortlose Anmeldung | phishingresistent, für Konten mit hoher Berechtigung vorzuziehen |
| SMS | weniger Schutz, höchstens als Übergang |
Die bequemste Methode ist nicht immer die sicherste, die strengste nicht immer die nutzbarste. Gib zwei oder drei freigegebene Wege vor, statt für jeden Sonderfall eine dauerhafte Ausnahme zu schaffen.
Vor dem Rollout klären
- welche Konten zuerst geschützt werden
- welche Methoden zu welchen Arbeitsplätzen passen
- wer einen Faktor nach geprüfter Identifikation zurücksetzt
- welche älteren Anwendungen, Scanner und Dienste nur Benutzername und Passwort kennen
Aus der Praxis
Wenn am Montagmorgen ein Handy verloren geht, entscheidet ein dokumentierter Ablauf, ob die Schutzmassnahme zum Betriebsunterbruch wird. Deshalb regeln wir den Verlustfall immer vor der Einführung.
Ein Pilot mit unterschiedlichen Rollen deckt Fragen zu Mobilfunk, privaten Telefonen und Schichtwechseln auf. Eine MFA-Aufforderung ohne Ankündigung wirkt wie eine Störung. Eine verständliche Ankündigung, eine kurze Anleitung, ein klarer Ansprechpartner und ein kurzer Termin für Unterstützung sparen später Supportzeit.
Nach einigen Wochen fragen wir nach: Wo stockt die Anmeldung? Welche Geräte machen Schwierigkeiten? Wäre der Wiederherstellungsprozess im Ernstfall verständlich? Das erlaubt gezielte Anpassungen, ohne den Schutz wieder aufzuweichen.
Ehrlich gesagt: wann es sich nicht lohnt
Dauerhafte Ausnahmen für jeden Sonderfall lohnen sich nicht. Sie höhlen den Schutz aus und werden schnell vergessen. Und MFA allein ist kein Allheilmittel: Sie ersetzt keine Aufmerksamkeit gegenüber Phishing. Eine Einführung ist auch nicht fertig, wenn alle einen zweiten Faktor eingerichtet haben.
So gehst du vor
- Kritische Konten zuerst: Administration, E-Mail, Fernzugriffe, Buchhaltung, Systeme mit Kundendaten.
- Altverfahren erfassen und je Fall Alternative, beschränkten Zugang oder Ablösetermin festlegen.
- Zwei bis drei Methoden freigeben, passend zu Büro, Aussendienst und Werkstatt.
- Verlustfall regeln: Zurücksetzen, Identitätsprüfung, Protokoll, getrennte Wege für kritische Konten, Notfallcodes getrennt aufbewahren.
- Pilot mit verschiedenen Rollen, dann verständlich ankündigen und ausrollen.
- Ausnahmen begrenzen: Eigentümer, Begründung, kompensierende Massnahme, Ablaufdatum.
- Messen: MFA-Abdeckung, offene Ausnahmen, Wiederherstellungszeit.
MFA ist eine von zwölf Grundmassnahmen, siehe Welche Massnahmen schützen ein KMU vor Cyberangriffen?. Auch Versicherer fragen danach: Welche IT-Sicherheit verlangt eine Cyberversicherung?. Mehr unter Sicherheit, Backup & Datenschutz, unsere Festpreise auf der Preisseite.
Häufige Fragen
Ist SMS als zweiter Faktor in Ordnung?
SMS bietet weniger Schutz und sollte höchstens als Übergang gelten. Für viele Mitarbeitende ist eine Authenticator-App ein guter Start. Konten mit hoher Berechtigung sollten phishingresistente Methoden wie Sicherheitsschlüssel oder passwortlose Anmeldung nutzen.
Was passiert, wenn jemand sein Handy verliert?
Das muss vor der Einführung geregelt sein: wer zurücksetzen darf, wie die Identität geprüft und wie der Vorgang protokolliert wird. Kritische Konten brauchen getrennte Wiederherstellungswege, auch die Administration braucht eine Vertretung. Notfallcodes gehören nicht ins gleiche Postfach wie die Anmeldung.
Was mache ich mit alten Geräten wie Scannern ohne MFA?
Ältere Anwendungen, Scanner und Dienste, die nur Benutzername und Passwort kennen, brauchen eine Alternative, einen beschränkten Zugang oder einen Ablösetermin.
Schützt MFA auch vor Phishing?
Nicht vollständig. MFA ersetzt keine Aufmerksamkeit gegenüber Phishing. Schulung zum Erkennen verdächtiger Nachrichten gehört deshalb dazu.
