- KYBERNA AI
-
ITSM & ESM Software
- ITSM & ESM Software ky2help®
- Lösung nach Branchen
- Bauunternehmen & Baugewerbe
- Finanzdienstleistungen & Banken
- Gesundheitswesen & Kliniken
- Hospitality & Hotelgruppen
- Industrie & Fertigung
- IT-Dienstleister, MSPs & Systemhäuser
- Öffentliche Verwaltung & Behörden
- Sicherheitsdienste & Leitstellen
- Telekommunikation & Netzbetreiber
- Versicherungen & Sozialversicherungen
- ky2help® Referenzen
- Kontakt
- ITSM & ESM Wissenswelt
- Glossar
- IT Services
- eAuktion
- Über uns
- News & Blog
- Support
Glossar
Fachbegriffe einfach erklärt
Multi-Faktor-Authentifizierung (MFA): Schutzniveau, Kontrolle und Nachweis
Multi-Faktor-Authentifizierung (MFA) bezeichnet eine Anmeldung, bei der die Identität einer Person mit mindestens zwei unabhängigen Faktoren aus verschiedenen Kategorien bestätigt wird: Wissen, Besitz oder ein biometrisches Merkmal. Damit verhindert sie, dass ein abgegriffenes Passwort allein für den Zugang genügt.
Aus Sicht von Governance und Revision ist die Frage «Haben wir MFA?» zu ungenau. Massgeblich ist, welches Schutzniveau für welche Konten gilt, welche Ausnahmen bestehen, wie Faktoren zurückgesetzt werden und ob sich das alles belegen lässt. Gerade in regulierten Branchen entscheidet die Nachvollziehbarkeit darüber, ob MFA als wirksame Kontrolle anerkannt wird.
Das Wichtigste in Kürze
- Schutzniveau: Das NIST unterscheidet drei Stufen. Ab der mittleren Stufe sind zwei Faktoren Pflicht, auf der höchsten zusätzlich phishingresistente Hardware mit nicht exportierbarem Schlüssel.
- Phishingresistenz: SMS- und App-Codes lassen sich in Echtzeit abgreifen. FIDO2-Schlüssel, Passkeys und Smartcards gelten als phishingresistent.
- Recht: DSG und FINMA-Rundschreiben 2023/1 nennen MFA nicht wörtlich, verlangen aber Massnahmen gegen unbefugte Nutzung und einen besonders geschützten Zugang zu Autorisierungssystemen.
- Nachweis: Ausnahmen, Resets und Methodenwechsel müssen dokumentiert und regelmässig überprüft werden.
Stand: November 2026 · Abgeglichen mit NIST SP 800-63B-4, Microsoft Learn, Fedlex, FINMA und BACS (Quellen am Ende des Artikels)
Was MFA nachweist und was nicht
MFA beantwortet eine einzige Frage: Ist die Person, die sich anmeldet, mit hoher Wahrscheinlichkeit die Inhaberin des Kontos? Sie sagt nichts darüber aus, worauf diese Person danach zugreifen darf. Das bleibt Aufgabe des Berechtigungskonzepts.
Drei Stufen der Vertrauenswürdigkeit
Die US-Richtlinie NIST SP 800-63B-4 ordnet Anmeldeverfahren in drei Authenticator Assurance Levels (AAL) ein. Sie ist für Schweizer Unternehmen nicht verbindlich, eignet sich aber als präzise Sprache für interne Vorgaben.
- AAL1: Ein Faktor genügt, etwa ein Passwort.
- AAL2: Zwei unterschiedliche Faktoren sind Pflicht. Ein phishingresistentes Verfahren muss angeboten werden.
- AAL3: Ein kryptografischer Authentifikator mit nicht exportierbarem privatem Schlüssel und Phishingresistenz ist zwingend.
Faktoren und ihre Schwächen
Wissen kann ausgespäht, Besitz entwendet oder umgeleitet werden, etwa durch Übertragung einer Rufnummer auf eine fremde SIM-Karte. Biometrie dient in der Regel nur dazu, einen Schlüssel auf dem eigenen Gerät freizugeben. Bei Passkeys und Windows Hello for Business wird das Merkmal lokal auf dem Gerät geprüft. Die Kombination ist nur so stark wie der schwächste Weg, über den sich ein Faktor ersetzen lässt. Deshalb gehört das Zurücksetzen von Faktoren zur Bewertung jeder MFA-Lösung.
Was nach der Anmeldung geschieht
Nach erfolgreicher Prüfung stellt der Identitätsdienst ein Token aus. Ab diesem Zeitpunkt prüft MFA nichts mehr. Sitzungsdauer, Gerätestatus und erneute Abfragen bei sensiblen Vorgängen werden über Richtlinien gesteuert, in Microsoft Entra ID über den bedingten Zugriff.
Verfahren nach Schutzbedarf wählen
Nicht jedes Konto braucht dasselbe Verfahren. Eine Abstufung nach Schutzbedarf hält den Aufwand vertretbar und konzentriert die stärksten Verfahren dort, wo ein Missbrauch am meisten Schaden anrichtet.
| Geeignet | Zu vermeiden oder zu ergänzen |
|---|---|
| Normaler Schutzbedarf: Mitarbeitende, Standard-Anwendungen | |
| Authenticator-App mit Nummernabgleich, Passkey | SMS nur als befristete, dokumentierte Ausnahme |
| Hoher Schutzbedarf: Fernzugriff, besonders schützenswerte Personendaten | |
| FIDO2-Schlüssel, Passkey, Windows Hello for Business | Codes per SMS oder App, da gegen Phishing nicht resistent |
| Privilegierte Konten: Administratoren, Notfallkonten | |
| Gerätegebundener FIDO2-Schlüssel oder Smartcard | Konten getrennt vom Alltagskonto führen, Reset nur mit zweiter Person |
In Microsoft Entra ID lässt sich diese Abstufung mit Authentifizierungsstärken umsetzen. Microsoft unterscheidet integrierte Stärken für MFA, für kennwortlose MFA und für phishingresistente MFA. Die letzte lässt nur Windows Hello for Business oder Plattformanmeldeinformationen, FIDO2-Sicherheitsschlüssel und die mehrstufige zertifikatbasierte Authentifizierung zu.
Synchronisierte und gerätegebundene Passkeys
Synchronisierte Passkeys werden über die Cloud des Plattformanbieters zwischen Geräten abgeglichen. Gerätegebundene Passkeys verbleiben auf einem einzelnen Gerät, etwa einem FIDO2-Schlüssel. Für privilegierte Konten ist die gerätegebundene Variante vorzuziehen, weil der private Schlüssel das Gerät nicht verlässt und keine Kopie beim Plattformanbieter liegt. Diese Unterscheidung macht auch das deutsche BSI in seinem Vergleich der Verfahren.
Abgrenzung zu SSO
Single Sign-on verlagert die Anmeldung an einen zentralen Identitätsdienst. MFA bestimmt, wie stark diese Anmeldung ist. Zusammen entsteht ein einziger, gut kontrollierbarer Prüfpunkt für viele Anwendungen. Die Governance-Sicht auf SSO beschreibt der Glossarartikel Single Sign-on.
Ausnahmen, Resets und Nachweise steuern
Für eine Prüfung genügt der Hinweis nicht, dass MFA technisch aktiviert ist. Entscheidend ist, ob die Regeln vollständig gelten, wer davon ausgenommen ist und wie Änderungen zustande kommen. Drei Bereiche verdienen besondere Aufmerksamkeit.
Register der Ausnahmen
Jede Ausnahme von einer MFA-Richtlinie, etwa für ein Dienstkonto oder ein Altsystem, gehört in ein Register mit Begründung, verantwortlicher Person, Kompensationsmassnahme und Ablaufdatum. Ohne Ablaufdatum werden Ausnahmen zu Dauerzuständen.
Reset mit Vier-Augen-Prinzip
Die US-Behörde CISA dokumentiert, wie die Gruppe Scattered Spider Helpdesks am Telefon dazu bringt, Passwörter zurückzusetzen und MFA auf Geräte der Angreifer zu übertragen. Ein Reset sollte deshalb über einen unabhängigen Kanal verifiziert und bei privilegierten Konten von einer zweiten Person freigegeben werden. Die Freigabe gehört in einen nachvollziehbaren Ablauf, nicht in einen Chat.
Periodische Überprüfung
Registrierte Methoden, Ausnahmen und Mitglieder privilegierter Rollen sollten in festen Abständen überprüft werden. Das FINMA-Rundschreiben 2023/1 verlangt von Banken ausdrücklich, die im Autorisierungssystem enthaltenen Berechtigungen regelmässig zu überprüfen.
Beispiel aus der Praxis
Angenommen, eine Privatbank in Zürich stellt ihre Administratoren auf FIDO2-Schlüssel um. Jeder Schlüssel wird gegen Unterschrift ausgegeben und im Ticket erfasst. Ein Ersatz nach Verlust erfordert die Freigabe der Teamleitung, die Sperre des alten Schlüssels wird im selben Vorgang dokumentiert. Bei der nächsten Prüfung genügt der Export der Tickets als Nachweis.
Wie lückenlos dokumentierte Prozesse in einer öffentlichen Verwaltung aussehen, zeigt das Personalamt des Kantons Thurgau: Dort laufen HR-Prozesse nachvollziehbar, dokumentiert und archiviert über ky2help®.
Rechtsrahmen und Risiken nach Priorität
Was Schweizer Vorgaben verlangen
- Datenschutzgesetz (DSG): Art. 8 DSG verlangt eine dem Risiko angemessene Datensicherheit. Die Datenschutzverordnung nennt in Art. 3 Abs. 1 Bst. c die Benutzerkontrolle, also den Schutz vor Nutzung der Systeme durch Unbefugte. MFA ist dafür eine naheliegende, aber nicht wörtlich vorgeschriebene Massnahme.
- FINMA-RS 2023/1: Banken müssen über ein Autorisierungssystem für den Zugriff auf kritische Daten verfügen. Der Zugang zu diesem System ist besonders zu schützen. Wie, lässt das Rundschreiben offen, MFA ist der übliche Weg.
- Meldepflicht: Betreiberinnen kritischer Infrastrukturen müssen dem BACS seit dem 1. April 2025 Cyberangriffe innert 24 Stunden melden, etwa wenn ein Angriff zu einem Abfluss von Informationen geführt hat. Eine Kontoübernahme trotz MFA kann darunter fallen.
Die verbindliche Auslegung im Einzelfall gehört zu den Aufgaben der Compliance-Verantwortlichen.
Priorität 1: Privilegierte Konten und Notfallkonten
Wer ein Administratorkonto mit den entsprechenden Rechten übernimmt, kann MFA-Richtlinien selbst abschalten. Diese Konten gehören auf phishingresistente Verfahren. Microsoft empfiehlt für Notfallzugriffskonten Passkeys (FIDO2) oder die zertifikatbasierte Authentifizierung.
Priorität 2: Wiederherstellung und Reset
Ein Reset per Anruf oder E-Mail ersetzt die starke Anmeldung durch einen einzigen, schwachen Faktor. Das BSI bezeichnet einstufige Wiederherstellungsverfahren als grundsätzlich kritisch.
Priorität 3: Lücken durch Altprotokolle und Ausnahmen
Ältere Authentifizierungsprotokolle unterstützen keine MFA. Microsoft empfiehlt, sie zu blockieren. Jede verbleibende Ausnahme braucht eine Kompensationsmassnahme.
Priorität 4: Abfangbare Verfahren
SMS, Anruf und Einmalcodes schützen nicht vor Phishing in Echtzeit. Wo hoher Schutzbedarf besteht, sollten sie schrittweise durch phishingresistente Verfahren ersetzt werden.
Häufige Fragen zu MFA
Was ist Multi-Faktor-Authentifizierung?
Ein Anmeldeverfahren, bei dem die Identität mit mindestens zwei unabhängigen Faktoren aus verschiedenen Kategorien bestätigt wird: etwas, das man weiss, besitzt oder ist. Ein gestohlenes Passwort allein reicht damit nicht für den Zugang.
Schreibt das Schweizer Datenschutzgesetz MFA vor?
Nicht wörtlich. Art. 8 DSG verlangt eine dem Risiko angemessene Datensicherheit, und die Datenschutzverordnung nennt die Benutzerkontrolle als Ziel. Bei Zugriffen auf Personendaten über das Internet ist MFA eine naheliegende Massnahme, um dieses Ziel zu erreichen.
Verlangt die FINMA eine Multi-Faktor-Authentifizierung?
Das FINMA-Rundschreiben 2023/1 nennt MFA nicht ausdrücklich. Es verlangt von Banken ein Autorisierungssystem für kritische Daten, dessen Zugang besonders zu schützen und regelmässig zu überprüfen ist. MFA ist dafür der übliche Weg.
Welche MFA-Verfahren gelten als phishingresistent?
FIDO2-Sicherheitsschlüssel, Passkeys, Windows Hello for Business und Smartcards mit Zertifikat. Bei ihnen ist der Nachweis kryptografisch an die echte Anmeldeseite gebunden. SMS-Codes, Einmalcodes aus Apps und Push-Bestätigungen gehören nicht dazu.
Wie dokumentiert man MFA-Ausnahmen nachvollziehbar?
In einem Register mit Begründung, verantwortlicher Person, Kompensationsmassnahme und Ablaufdatum. Neue Ausnahmen werden über einen Antrag mit Freigabe erfasst, bestehende periodisch überprüft und nach Ablauf aufgehoben oder bewusst verlängert.
Wie unterstützt ky2help® MFA-Prozesse?
ky2help® unterstützt Single Sign-on über Azure AD, heute Microsoft Entra ID. Bei dieser Anmeldung setzt Entra ID Ihre MFA-Richtlinien durch. Resets, Ausnahmen und Schlüsselausgaben lassen sich als Workflow mit automatischer Historisierung und integriertem Daten-Audit abbilden.
Quellen und weiterführende Artikel
Quellen
- Fedlex: Bundesgesetz über den Datenschutz (DSG)
- Fedlex: Verordnung über den Datenschutz (DSV)
- FINMA: Rundschreiben 2023/1 «Operationelle Risiken und Resilienz – Banken»
- BACS: Meldepflicht für Cyberangriffe auf kritische Infrastrukturen
- NIST: SP 800-63B-4 – Authentication and Authenticator Management
- Microsoft Learn: Authentifizierungsstärken
- Microsoft Learn: Notfallzugriffskonten verwalten
- Microsoft Learn: Legacy-Authentifizierung blockieren
- CISA: Advisory AA23-320A Scattered Spider
- BSI (Deutschland): Vergleich von Verfahren der Zwei-Faktor-Authentisierung
Weiterlesen
Alle Glossar-Artikel in der Übersicht
Erfahren Sie, wie Microsofts Verzeichnisdienst Benutzer, Geräte und Rechte zentral verwaltet – sicher & zukunftsfähig für Unternehmen.
Mehr zu Active Directory
Was ist eine API? Erfahren Sie, wie Programmierschnittstellen Anwendungen verbinden, Prozesse automatisieren und Innovation in der digitalen Wirtschaft ermöglichen.
Was ist Authentifizierung? Erfahren Sie, wie Identitäten geprüft, Konten geschützt und moderne Anmeldeverfahren wie Zwei-Faktor-Authentifizierung Ihre Sicherheit erhöhen.
Was ist ein Backlog? Erfahren Sie, wie priorisierte Aufgabenlisten Teams helfen, Projekte agil zu steuern, Prioritäten zu setzen und Fortschritte transparent zu machen.
Erfahren Sie, wie eine Balanced Scorecard Unternehmen hilft, Strategie, Ziele und Kennzahlen zu verbinden und Erfolge messbar zu machen.
Das Change Advisory Board (CAB) berät bei der Bewertung und Freigabe von Changes im IT Service Management. Erfahren Sie, wann ein CAB gebraucht wird und wie ITIL 4 die Freigabe regelt.
Mehr zum CAB
Gesteuerter Change-Prozess mit Risikoanalyse, CAB-Freigaben und Kommunikation, um Ausfallzeiten zu reduzieren und Releasessicher in Produktionsumgebungen zu bringen.
Erfahren Sie, wie KI-gestützte Chatbots Kommunikation automatisieren, Kundenservice verbessern und Prozesse effizienter gestalten.
Was ist Continuous Integration? Erfahren Sie, wie automatisierte Builds und Tests Entwicklungsprozesse beschleunigen, Fehler vermeiden und Softwarequalität steigern.
Zentrale Konfigurationsdatenbank mit CIs und Beziehungen für Transparenz, Abhängigkeits-/Impact-Analysen, Audit-Sicherheit und Change-/Incident-Beschleunigung.
Was ist CSI? Erfahren Sie, wie Continual Service Improvement in ITIL hilft, IT-Services dauerhaft zu optimieren, Qualität zu steigern und Kundenzufriedenheit zu sichern.
Der Customer Effort Score ist eine Kennzahl, die beschreibt, wie viel Aufwand ein Kunde betreiben muss, um sein Anliegen mit einem Unternehmen zu lösen.
Was ist DevOps? Erfahren Sie, wie Entwicklung und IT-Betrieb durch Automatisierung, Zusammenarbeit und CI/CD zu schnelleren, stabileren Software-Releases führen.
Was ist die DSGVO? Erfahren Sie, wie die Datenschutz-Grundverordnungpersonenbezogene Daten schützt, welche Pflichten Unternehmen haben und welche Rechte Betroffene haben.
Was ist ESM? Erfahren Sie, wie Enterprise Service Management Prozesse vereinheitlicht, Services digitalisiert und alle Abteilungen effizient miteinander verbindet.
Was ist Hardware Asset Management? Erfahren Sie, wie Unternehmen mit HAM ihre IT-Geräte effizient verwalten, Kosten senken und Sicherheit im gesamten Lebenszyklus sichern.
Ein Helpdesk ist die zentrale Schnittstelle zwischen den Anwendern eines Unternehmens und den dafür zuständigen Support-Teams.
Ein Incident ist eine Beeinträchtigung eines IT-Services, die dazu führt, dass der Service nicht wie vorgesehen genutzt werden kann.
Erfahren Sie, wie der internationale Standard Unternehmen hilft, Informationssicherheit systematisch aufzubauen, Risiken zu minimieren und Vertrauen zu schaffen.
Erfahren Sie, wie das Framework IT-Prozesse strukturiert, Qualität sichert und die IT an den Geschäftszielen ausrichtet – praxisnah und modern mit ITIL 4 oder ITIL 5.
IT Service Management (ITSM) beschreibt die Gesamtheit spezialisierter organisatorischer Fähigkeiten, um IT-Services effizient zu betreiben.
Erfahren Sie, wie die japanische Kaizen-Methode durch kleine, stetige Verbesserungen Prozesse optimiert, Qualität steigert und Mitarbeitende einbindet.
Erfahren Sie, wie die Kanban-Methode durch Visualisierung, Flusssteuerung und kleine Verbesserungen Teams effizienter und flexibler arbeiten lässt.
Key Performance Indicators (KPIs) machen Ziele messbar, bewerten Leistung und unterstützen datenbasierte Entscheidungen im Unternehmen.
Erfahren Sie, wie KI funktioniert, wo sie eingesetzt wird und warum sie unsere Arbeitswelt verändert – zwischen Innovation und Verantwortung.
Machine Learning ist ein Teilgebiet der Künstlichen Intelligenz (KI). Es ermöglicht Systemen, Muster und Zusammenhänge in Daten eigenständig zu erkennen.
Erfahren Sie, wie Multi-Faktor-Authentifizierung funktioniert, warum sie Konten wirksam schützt und welche Methoden besonders sicher und benutzerfreundlich sind.
Erfahren Sie, wie die systematische Überwachung von IT-Systemen Leistung, Sicherheit und Verfügbarkeit verbessert – für stabile und effiziente Prozesse.
Erfahren Sie, wie Natural Language Processing funktioniert, wo es eingesetzt wird und warum es Kommunikation, Analyse und Serviceprozesse revolutioniert.
Der Net Promoter Score (NPS) gehört zu den bekanntesten Kennzahlen zur Messung von Kundenzufriedenheit und -loyalität im Umfeld von IT-Ticket-Systemen.
Der Net Promoter Score (NPS) gehört zu den bekanntesten Kennzahlen zur Messung von Kundenzufriedenheit und -loyalität im Umfeld von IT-Ticket-Systemen.
Operational Level Agreements (OLA) regelt interne Zusammenarbeit, unterstützt SLA-Ziele unterstützen und macht Serviceprozesse verlässlicher.
Operational Performance Indicator (OPI) sind ein zentrales Instrument, um die Leistungsfähigkeit operativer Prozesse in Unternehmen messbar zu machen.
Predictive Maintenance ist ein moderner Instandhaltungsansatz, der nicht auf starre Intervalle setzt, sondern auf datenbasierte Vorhersagen.
Die Root Cause Analysis (RCA) ist eine strukturierte Methode, um Ursachen eines Problems oder einer Störung zu identifizieren und zu beseitigen.
Was ist eine REST API? Erfahren Sie, wie REST-Schnittstellen Systeme verbinden, Daten austauschen und moderne Anwendungen schnell, flexibel und skalierbar machen.
Was ist eine Root Cause Analysis? Lernen Sie Methoden wie 5 Why, Ishikawa und Fehlerbaum kennen und erfahren Sie, welche Methode zu welcher Störung passt.
Was ist Scrum? Erfahren Sie, wie das agile Framework Teams hilft, flexibel zu arbeiten, schneller Ergebnisse zu liefern und Projekte kontinuierlich zu verbessern.
Verständlich erklärt: Wie Service Level Agreements Leistungen definieren, Qualität messbar machen und Servicebeziehungen strukturieren.
Was ist SSO? Erfahren Sie, wie Single Sign-On funktioniert, wie es Sicherheit und Komfort verbindet und warum es in modernen IT-Landschaften unverzichtbar ist.
Erfahren Sie, wie das Software Asset Management (SAM) Softwarebestände transparent macht, Kosten optimiert und Compliance sowie IT-Sicherheit stärkt.
Kompakt erklärt: Wie Sprints Teams helfen, in kurzen Zyklen zu planen, zu liefern und sich kontinuierlich zu verbessern.
Was ist eine SOP? Erfahren Sie, wie Standard Operating Procedures Abläufe standardisieren, Qualität sichern und Organisationen zuverlässiger machen.
Erfahren Sie, wie User Experience entsteht, warum sie entscheidend für Erfolg und Zufriedenheit ist und wie gute Nutzererlebnisse gestaltet werden.
Webhooks ermöglichen es, Ereignisse aus einem System in Echtzeit an ein anderes zu übermitteln, ohne dass ständige Abfragen erforderlich sind.
Was ist ein Workflow? Erfahren Sie, wie strukturierte Abläufe Prozesse vereinfachen, Qualität sichern und Unternehmen effizienter machen.
KYBERNA AG
