Warum MFA-Best Practices ein Update brauchen

Da Angreifer KI nutzen, um Phishing, Anmeldedatendiebstahl, Identitätsvortäuschung und Social Engineering schneller und überzeugender denn je zu skalieren, ist es entscheidend, die Grenzen veralteter Multi-Faktor-Authentifizierungsstrategien (MFA) zu verstehen, die auf Passwörtern und universellen zweiten Faktoren basieren. In diesem Umfeld geht es bei MFA-Best Practices nicht mehr nur darum, beim Login eine weitere Abfrage hinzuzufügen. Es geht darum, stärkere, anpassungsfähigere Authentifizierung einzusetzen, die modernen Angriffen standhalten, unnötige Reibung reduzieren und bei jeder kritischen Benutzerinteraktion Vertrauen schaffen kann.

MFA blockiert nach wie vor die überwältigende Mehrheit passwortbasierter Kompromittierungen, doch KI hat die Erfolgsquote von Angriffen auf die menschliche und die Sitzungsebene erhöht. Daher sind phishing-resistente MFA und bedingter Zugriff inzwischen der eigentliche Standard.

Dieses Whitepaper untersucht, wie sich MFA-Best Practices als Reaktion auf KI-gesteuerte Bedrohungen weiterentwickeln. Es vergleicht die heute gängigsten Authentifizierungsmethoden, erklärt, wo jeder Ansatz den größten Mehrwert bietet, und zeigt auf, wie Unternehmen phishing-resistente Authentifizierung, kontextbezogene Signale und moderne Funktionen wie biometrische und gerätebasierte Verifizierung kombinieren können, um sowohl Sicherheit als auch Benutzerfreundlichkeit zu verbessern. Es zeigt außerdem, wie diese Entscheidungen zu einem umfassenderen Verified-Trust-Ansatz beitragen, bei dem Vertrauen kontinuierlich gestärkt wird, anstatt es nach dem Login einmalig vorauszusetzen.

Was moderne MFA-Best Practices leisten müssen

Traditionell wurden Authentifizierungsmechanismen bzw. -faktoren einer von drei Gruppen zugeordnet:

1. Etwas, das Sie wissen (zum Beispiel ein Passwort oder eine PIN).
2. Etwas, das Sie besitzen (zum Beispiel ein Mobiltelefon oder ein Token).
3. Etwas, das Sie sind (zum Beispiel ein Fingerabdruck oder andere biometrische Daten).

Diese drei Authentifizierungskategorien werden am häufigsten verwendet. Möglicherweise begegnen Ihnen auch zusätzliche Klassifizierungen wie etwas, das Sie tun, ein Ort, an dem Sie sich befinden, oder Zeit. Bedenken Sie jedoch, dass es sich dabei im Wesentlichen um Elemente oder Unterfaktoren der bestehenden drei Hauptkategorien handelt. Zum Beispiel ist der Standort bzw. der Ort, an dem Sie sich befinden (GPS), an ein Gerät oder Wearable in Ihrem Besitz gebunden, was letztlich etwas ist, das Sie besitzen.

Als Authentifizierungsfaktoren erstmals eingeführt wurden, boten sie ein zusätzliches Maß an Sicherheit dafür, dass der Benutzer tatsächlich die Person war, für die er sich ausgab. Doch kein Faktor ist für sich allein narrensicher, da jede Faktorart (und jeder Authentifizierungsmechanismus innerhalb dieses Faktors) eigene spezifische Stärken und Schwächen hat. Um zu verhindern, dass Angreifer diese Schwächen ausnutzen, begannen Unternehmen, Zwei-Faktor-Authentifizierung (2FA) einzuführen, bei der ein Benutzer zur Authentifizierung zwei unterschiedliche Faktoren angeben muss. Ziel war es, einen Angreifer zu zwingen, zwei verschiedene Kanäle zu kompromittieren, um ein Konto zu übernehmen, und dieser Mechanismus brachte im Vergleich zu früheren Authentifizierungsmethoden einen enormen Sicherheitsgewinn.

Leider blieben Angreifer nicht stehen und entwickelten verschiedene Möglichkeiten, mehrere Faktoren zu kompromittieren. Bevor wir darauf eingehen, wie sich diese Angriffe abwehren lassen, setzen wir diese neueren Risiken in den richtigen Kontext. 2FA – jede Form von 2FA, selbst Passwort+SMS – ist so viel sicherer als Benutzername/Passwort, dass Sie, falls Sie sie noch nicht implementiert haben, sofort aufhören sollten, dieses Whitepaper zu lesen, und dies umgehend nachholen sollten. Der Einsatz von 2FA anstelle von Single-Faktor-Authentifizierung (SFA) ist in der heutigen Umgebung eine Grundvoraussetzung für Authentifizierung, da sie den Aufwand für Angreifer erheblich erhöht und ihre Kompromittierungsrate deutlich niedriger ist als bei SFA bzw. rein passwortbasierter Authentifizierung.

Sobald Sie jedoch ein grundlegendes Schutzniveau etabliert haben, ist es an der Zeit, Ihr Denken von 2FA auf MFA umzustellen. Technisch bedeutet MFA lediglich „Multi-Faktor-Authentifizierung“ und könnte theoretisch einfach dieselbe 2FA sein, die Sie bereits verwenden. Es kann aber auch drei, vier oder praktisch jede beliebige Anzahl von Faktoren umfassen, ausgewählt aus den drei grundlegenden Kategorien.

Wichtig ist, dass moderne MFA-Best Practices fünf Prioritäten berücksichtigen:

1. Widerstandsfähigkeit gegen KI-gesteuertes Phishing, Anmeldedatendiebstahl, Identitätsvortäuschung und Social Engineering
2. Geringe Reibung für legitime Benutzer
3. Adaptive Reaktionen auf Basis von Kontext, Gerät und Risiko
4. Schutz über Authentifizierung, Registrierung, Wiederherstellung und hochwertige Transaktionen hinweg
5. Verifizierung mit höherer Sicherheit, wenn das Risiko steigt

Zunehmend setzen Unternehmen auch auf datenschutzfreundliche Verifizierungsansätze wie Zero-Knowledge-Biometrie als Teil eines umfassenderen Verified-Trust-Modells, das das Vertrauen in die Identität, das Gerät, das Verhalten und die Absicht eines Benutzers kontinuierlich bewertet, anstatt nach einem einmaligen Login von Vertrauen auszugehen.

Vergleich von MFA-Best Practices: Stärken und Schwächen

Etwas, das Sie wissen: Wissensfaktoren

Wissensfaktoren wie Passwörter, PINs und Sicherheitsfragen kommen zwar weiterhin in vielen Authentifizierungsabläufen vor, sind jedoch für sich allein nicht mehr stark genug, um als Grundlage für bewährte MFA-Verfahren zu dienen. Das bedeutet nicht, dass Unternehmen Passwörter über Nacht abschaffen können. Es bedeutet, dass moderne MFA-Best-Practices Wissensfaktoren als Ausgangspunkt behandeln und sie dann mit phishing-resistenten Methoden, Gerätesignalen, adaptiven Richtlinien und einer stärkeren Verifizierung bei steigendem Risiko ergänzen sollten.

Für die meisten Unternehmen besteht das Ziel nicht einfach darin, jedes Passwort sofort zu ersetzen. Vielmehr geht es darum, die Abhängigkeit von Wissensfaktoren in den entscheidenden Momenten zu verringern, darunter Anmeldung, Step-up-Authentifizierung, Kontowiederherstellung und hochwertige Aktionen. Die stärksten MFA-Strategien verbinden Benutzerfreundlichkeit mit höherer Sicherheit, indem sie den Routinezugriff reibungsarm halten und zusätzliche Verifizierung verlangen, wenn sich Kontext oder Risiko ändern.

Passwörter

Passwörter sind der am weitesten verbreitete wissensbasierte Faktor – und bekanntermaßen riskant. Oft sind nicht die Passwörter selbst das Problem, sondern vielmehr die Passwortpraktiken der Benutzer. Lange und zufällig generierte Einmal-Passwörter sind äußerst sicher, aber auch schwer zu merken. Hier kommen schlechte Praktiken ins Spiel, etwa die Verwendung leicht zu erratender Passwörter wie "123456" oder "letmein".

Zu den schlechten Praktiken gehört auch die Verwendung desselben Passworts oder anderer wissensbasierter Informationen auf mehreren Websites, was noch mehr Risiken eröffnet. Selbst wenn eine Website hervorragend gesichert ist, ist diese Sicherheit nur so stark wie das schwächste System, wenn auf anderen Websites verwendete Anmeldedaten kompromittiert werden. Darüber hinaus haben Wiederverwendung, Phishing, Credential Stuffing und KI-gestütztes Social Engineering es erleichtert, diese Daten in großem Maßstab zu stehlen und zu missbrauchen.

Gestohlene Anmeldedaten landen häufig zum Weiterverkauf im Dark Web, wo Angreifer sie beschaffen können. Dies hat zum Anstieg von Kontoübernahmen durch Botnet-Angriffe geführt, bei denen gestohlene Listen von Benutzernamen und Passwörtern erneut gegen Websites eingesetzt werden, um Treffer zu finden. Die Angreifer müssen nicht besonders oft erfolgreich sein, denn selbst eine Erfolgsquote von 2 % bedeutet, dass ein Angreifer in einem System mit 1.000 Benutzern möglicherweise 20 Konten kompromittieren kann. Um die Passwortsicherheit zu verbessern, empfiehlt es sich als Best Practice, neue oder aktualisierte Passwörter mit einer Liste bekannter gestohlener oder kompromittierter Passwörter abzugleichen.

Wichtig ist auch, wie ein Unternehmen Passwörter verwaltet. Selbst das am schwersten zu erratende Passwort kann anfällig sein, wenn es nicht mit einem privaten Seed gehasht, zentral gespeichert und vor dem System verborgen wird, bei dem sich der Benutzer anmeldet. Wenn Passwörter im Klartext übertragen oder gespeichert werden, ist das Risiko höher, dass sie gestohlen und für Kontoübernahmen genutzt werden. Das gilt nicht nur für Passwörter. Jeder gespeicherte wissensbasierte Faktor erhöht die Angriffsfläche. Deshalb verlagern stärkere MFA-Strategien die Vertrauensbasis hin zu phishing-resistenten Methoden, Gerätekontext, Biometrie und adaptiver Verifizierung.

Benutzerfreundlichkeit von Passwörtern

Passwörter sind weiterhin weit verbreitet, doch moderne MFA-Best-Practices erkennen sie als schwache Grundlage an, weil Phishing, Wiederverwendung, Credential Stuffing und KI-gestütztes Social Engineering ihre Kompromittierung in großem Maßstab erleichtert haben. Einfache, leicht zu merkende Passwörter sind benutzerfreundlich, aber zusätzlich zu den oben genannten Credential-Stuffing-Angriffen sind sie anfällig für Brute-Force-Angriffe mit Wörterbüchern oder Listen gängiger Passwörter. Lange Passwörter sind sicherer, aber weniger benutzerfreundlich, insbesondere wenn sie häufig aktualisiert werden müssen. Diese mangelnde Benutzerfreundlichkeit kann zu mehr Passwortzurücksetzungen, Supportanrufen, Passwortweitergabe zwischen Websites sowie zu den anderen Problemen bei Benutzerfreundlichkeit und Benutzerreibung führen, die wir zu Beginn dieses Dokuments erwähnt haben.

PIN

Eine PIN ist eine kürzere Form eines Wissensfaktors. Sie ist in der Regel rein numerisch und 4 bis 6 Stellen lang. Offensichtlich ist eine 4- oder 6-stellige PIN deutlich anfälliger für Brute-Force-Angriffe als Passwörter, da es jeweils nur 10.000 bzw. 1.000.000 mögliche Kombinationen gibt. Daher wäre eine PIN als alleiniger Faktor zum Schutz einer Website eine schlechte Wahl und sollte niemals zentral gespeichert werden. Wenn die PIN jedoch ausschließlich dazu dient, eine mobile Anwendung zu entsperren, würde es lange dauern, bis jemand die PIN per Brute Force errät. Wenn nach einer bestimmten Anzahl falscher Eingaben eine Sperre erfolgt oder sich die Verzögerungen zwischen den einzelnen Eingaben erhöhen, verbessert sich die Sicherheit noch weiter.

PINs sind relativ einfach zu implementieren, aber ihr Sicherheitswert hängt stark davon ab, ob sie lokal auf einem vertrauenswürdigen Gerät verwendet und durch Wiederholungsbegrenzungen oder Sperren geschützt werden. PINs können eine schnelle, vertraute Benutzererfahrung bieten, doch Benutzerfreundlichkeit allein reicht nicht mehr aus, um ihren Einsatz als aussagekräftigen Faktor in Authentifizierungsabläufen mit höherem Risiko zu rechtfertigen. Dennoch sind PINs im Allgemeinen ein solider, nur lokal gespeicherter erster Faktor in einem Multi-Faktor-Szenario mit geringem Risiko.

KBA

Eine weitere gängige Möglichkeit, die Identität einer Person zu bestätigen, ist die wissensbasierte Authentifizierung (KBA), bei der Verbraucher Antworten auf Fragen geben müssen, die ein Angreifer theoretisch nicht kennen würde. KBA sollte nicht länger als weitgehend austauschbar mit Passwörtern betrachtet werden, und wenn es überhaupt verwendet wird, dann nur in eng begrenzten Wiederherstellungs- oder Sonderfallszenarien, die durch stärkere Signale abgesichert sind. Es gibt zwei Arten von KBA: gemeinsame Antworten und dynamisches KBA. Bei gemeinsamen Antworten stellt das Unternehmen eine Liste von Fragen bereit, und der Benutzer gibt die Antwort im Rahmen eines Registrierungsprozesses an. Wird ihm die Frage später gestellt, muss der Benutzer die richtige Antwort eingeben. Wenn der Benutzer die falsche Antwort eingibt, wird ihm in der Regel eine andere Frage gestellt, da die wiederholte Abfrage derselben Frage es einem Angreifer zu leicht machen könnte, die Antwort zu erraten. Das Problem ist, dass Antworten – unabhängig davon, ob KBA auf gemeinsamen Antworten oder dynamischen Fragen basiert – häufig leicht zu finden, abzuleiten oder durch öffentlich zugängliche Informationen, Datenlecks und KI-gestützte Recherchen per Social Engineering zu erlangen sind.

Dynamisches KBA ist möglicherweise weniger vorhersehbar als Fragen mit gemeinsamen Antworten, hat jedoch weiterhin Schwierigkeiten, in einer Bedrohungslandschaft, die von großflächiger Datenoffenlegung und automatisiertem Betrug geprägt ist, eine belastbare Sicherheit zu bieten. Die Herausforderung bei dieser Methode besteht darin, Fragen zu finden, die weder öffentlich bekannt noch schwer zu beantworten sind. So führt es beispielsweise wahrscheinlich nicht zu einer positiven Kundenerfahrung, jemanden zu bitten, sich an die exakte Höhe seiner Hypothekenrate von vor zwei Umschuldungen zu erinnern.

KBA-Sicherheit

KBA ist keine starke moderne Authentifizierungsoption mehr, weil öffentliche Daten, Daten aus Sicherheitsverletzungen und KI-gestütztes Social Engineering viele Antworten leichter auffindbar oder ableitbar machen. Viele KBA-Fragen basieren auf Informationen, die Kriminelle mithilfe von KI leicht in sozialen Netzwerken oder anderen öffentlichen Quellen finden können. Da KBA-Antworten zentral gespeichert werden, müssen sie verschlüsselt und dürfen bei der Authentifizierung niemals im Klartext übertragen werden.

Benutzerfreundlichkeit von KBA

Aus Sicht der Benutzerfreundlichkeit kommt es häufig vor, dass Verbraucher ihren eigenen KBA-Test nicht bestehen, was zu einer negativen Kundenerfahrung führt. Auch wenn KBA kanalübergreifend weiterhin verfügbar sein kann, reicht eine breite Verfügbarkeit allein nicht mehr aus, um seinen Einsatz als aussagekräftiges Vertrauenssignal zu rechtfertigen. Wenn es überhaupt verwendet wird, sollte es auf eng begrenzte Wiederherstellungs- oder Sonderfallszenarien beschränkt sein, die durch stärkere Signale oder Step-up-Methoden abgesichert sind. Daher kann KBA beispielsweise bei der Kontowiederherstellung seinen Platz haben.

Etwas, das Sie haben: Besitzfaktoren

Besitzfaktoren sind nur dann effektiv, wenn Unternehmen auch für Geräteverlust, Gerätewechsel und Wiederherstellung planen, ohne den gesamten Authentifizierungsablauf zu schwächen. Da dies häufig vorkommt, braucht jedes System, das einen Besitzfaktor verwendet, einen Fallback-Plan. Ein typisches Beispiel: Ein großer Beratungsdienstleister berichtet, dass an jedem beliebigen Tag mehrere Hundert bis mehr als tausend Mitarbeiter entweder ihre Telefone verlieren oder vergessen, sie zur Arbeit mitzubringen. Da das Unternehmen strenge Sicherheitsanforderungen für den Zugriff auf sensible Anwendungen hat, führt dies täglich zu Hunderten, wenn nicht Tausenden von Anrufen beim Helpdesk, um den Mitarbeiter manuell zu validieren und temporäre Anmeldedaten auszustellen.

Sicherheit von Besitzfaktoren

Besitzfaktoren können hohe Sicherheit bieten, doch ihre Wirksamkeit hängt von der Methode ab, da OTPs, Push-Benachrichtigungen und andere gerätebasierte Faktoren weiterhin Phishing, Relay-Angriffen, Approval Fatigue oder einer Kompromittierung des Geräts ausgesetzt sein können.

Benutzerfreundlichkeit von Besitzfaktoren

Aus Sicht der Benutzerfreundlichkeit werden Besitzfaktoren hoch bewertet. Auf eine Push-Benachrichtigung auf dem Smartphone zu reagieren, einen FIDO-Authentifikator in einen USB-Port einzustecken oder auf einen temporären Link in einer E-Mail zu klicken, ist alles relativ bequem. Welche Option die beste ist, hängt vom jeweiligen Szenario ab.

RSA- und OATH-Hardware-Token

RSA- und OATH-Token sind kleine Hardwaregeräte, die der Besitzer bei sich trägt, um den Zugriff auf einen Netzwerkdienst zu autorisieren. Das Gerät kann die Form einer Smartcard haben oder in einen leicht mitführbaren Gegenstand wie einen Schlüsselanhänger oder ein USB-Laufwerk integriert sein. Das Gerät selbst enthält einen Algorithmus (eine Uhr oder einen Zähler) und einen Seed-Datensatz, mit denen die pseudorandomisierte Zahl berechnet wird, und Benutzer geben diese Zahl ein, um nachzuweisen, dass sie den Token besitzen. Der Server, der den Benutzer authentifiziert, muss außerdem eine Kopie des Seed-Datensatzes jedes Schlüsselanhängers, den verwendeten Algorithmus und die korrekte Uhrzeit haben. Einige Hardware-Token sind mit einer USB-Schnittstelle ausgestattet, und diese Token werden in den USB-Steckplatz des PCs eingesteckt. Wenn sich der Benutzer authentifizieren muss, drückt er eine Taste auf dem Gerät, wodurch ein One-Time Passcode (OTP) erzeugt wird, und das Gerät emuliert eine Tastatur, um den Passcode an den Server zu senden, als hätte der Benutzer ihn manuell eingegeben.

Physische FIDO-Authentifizierungs-Token

Physische FIDO-Token sind ebenfalls kleine Hardwaregeräte. Sie können über USB, Near Field Communication (NFC) oder Bluetooth Low Energy (BLE) mit Ihrem Computer kommunizieren. FIDO-Authentifizierung ist sehr wirksam gegen Phishing-Angriffe und erfordert, dass der Benutzer den Authentifikator für jede Website registriert, bei der er sich authentifizieren möchte. Der Authentifikator erzeugt für eine bestimmte Website ein eindeutiges öffentliches/privates Schlüsselpaar und gibt den öffentlichen Schlüssel an diese Website zurück. Die Authentifizierung ist nur über TLS zulässig, und der Schlüssel ist an die Domain der Website gebunden. Wenn der Benutzer später auf eine gefälschte Website umgeleitet wird, schlägt die Authentifizierungsanfrage daher fehl, da der Angreifer nicht von der registrierten Website-Domain kommt. FIDO-Unterstützung ist inzwischen auf den wichtigsten Browsern, Betriebssystemen und Geräteplattformen breit verfügbar, wodurch ein Großteil der Kompatibilitätsprobleme beseitigt wurde, die die Einführung früher gebremst haben.

Die Kosten für FIDO-Authentifikatoren waren traditionell ein Hindernis, und Unternehmen verlangen und verteilen FIDO-Authentifikatoren in der Regel nur für ausgewählte Personengruppen und für Anwendungen mit den höchsten Sicherheitsanforderungen. Große mobile Plattformen von Android und Apple integrieren jedoch Unterstützung für Soft-FIDO-Authentifikatoren, die softwarebasiert sind und die biometrischen Funktionen des Smartphones wie Fingerabdruck oder Gesichtserkennung nutzen können. Da für die Nutzung dieser Authentifikatoren keine zusätzlichen Kosten anfallen, ist die breite Einführung der FIDO-Authentifizierung wirtschaftlich deutlich besser realisierbar. Soft-FIDO-Authentifikatoren werden unten im Abschnitt zur biometrischen Authentifizierung behandelt.

Einmalpasscodes (OTP)

OTPs sind weiterhin weit verbreitet, weil sie flexibel und vertraut sind, doch moderne MFA-Best-Practices behandeln sie eher als komfortorientierte Option als als stärkste Form der Authentifizierung. Diese Methode hilft dabei, die Kontrolle über einen Übertragungskanal oder ein Gerät zu verifizieren, bietet jedoch für sich genommen keine starke Sicherheit dafür, dass die richtige Person anwesend ist. Sie sind außerdem zeitlich begrenzt, und Server können die Anzahl der Versuche einschränken, mit denen ein Benutzer den korrekten OTP eingeben kann. Sie können den Erfolg von Passwortwiederverwendung und Credential Stuffing reduzieren, sind aber weiterhin anfällig für Phishing, Relay-Angriffe und Echtzeitabfangung.

OTPs können weiterhin über Echtzeit-Phishing-Proxys abgefangen oder wiederverwendet werden. Deshalb priorisieren moderne MFA-Best-Practices für Zugriffe mit höherem Risiko zunehmend phishing-resistente Methoden. Phishing-Proxys ermöglichen es Angreifern, Phishing-Websites mit Domainnamen einzurichten, die echten Websites ähneln. Diese Websites sehen wie die echte Website aus, da sie den Datenverkehr zur und von der legitimen Website tatsächlich weiterleiten und beliebige Informationen in Echtzeit prüfen und verändern können. Ein Benutzer, der davon überzeugt wurde, dass eine Phishing-Website legitim ist, gibt den OTP auf der Phishing-Website ein, die den OTP-Code dann in Echtzeit verwenden kann, um sich bei einer legitimen Website anzumelden. Die Stärke eines OTP hängt weniger vom Code selbst ab als von der Sicherheit des Übertragungskanals, des Geräts und des umgebenden Authentifizierungsablaufs. Wir behandeln die Sicherheitsaspekte der verschiedenen OTP-Methoden in den einzelnen Abschnitten unten, beginnend mit Soft Tokens.

OTP-Anwendung / Soft Tokens

Soft Tokens sind eine reine Softwarevariante der RSA/OATH-Token. Sie verwenden dieselbe Schnittstelle wie die physischen Token, sodass eine einzige serverseitige Implementierung sowohl physische als auch Soft Tokens nutzen kann. Die Software stellt eine fortlaufende Reihe von OTPs bereit und kann als mobile oder Desktop-Anwendung ausgeführt werden.

In der Praxis sind Soft Tokens in puncto Sicherheit weniger verlustanfällig als physische Token. Mobile Benutzer verlieren eher ein Hardware-Token zur Einmalnutzung, als dass sie ihr Smartphone vergessen oder verlieren. Und wenn sie ein Smartphone verlieren, melden sie den Verlust eher, sodass der Soft Token deaktiviert werden kann. Soft Tokens sind außerdem einfacher und kostengünstiger zu verteilen als Hardware-Token, die versendet werden müssen.

Push-Benachrichtigung

Push-Benachrichtigungen können einen reibungsarmen zweiten Faktor bieten, doch moderne MFA-Best-Practices müssen Approval Fatigue, Prompt Bombing und das Risiko berücksichtigen, dass Benutzer betrügerische Anfragen genehmigen. Die Funktionen der Anwendungen können stark variieren.

Push-basiertes MFA ist einfach zu verwenden, muss jedoch so konzipiert sein, dass es Push-Bombing und versehentliche Genehmigungen durch stärkeren Kontext, Number Matching oder zusätzliche Verifizierungssignale abwehrt. Nutzer werden häufig mit Benachrichtigungsanfragen derart überhäuft, dass sie einfach jede einzelne bestätigen. Diese Eigenschaft spielt Hackern in die Hände, die den ersten Faktor während eines Anmeldeprozesses kompromittiert haben, weil sie wissen, dass ein gewisser Prozentsatz der Nutzer den zweiten Faktor im Namen des Angreifers übermittelt, wenn sie eine Push-Benachrichtigung erhalten.

OTP per SMS

SMS-OTP ist nach wie vor weit verbreitet, sollte heute jedoch aufgrund von SIM-Swapping, Rufnummernportierung und Phishing-Risiken am besten als Fallback mit geringerem Vertrauensniveau betrachtet werden. Zwar hat die SMS-OTP-Option den Vorteil, dass Nutzer kein modernes Smartphone mit Unterstützung für mobile Anwendungen besitzen müssen, sie bringt jedoch mehrere Nachteile im Zusammenhang mit Rufnummernportierung und SIM-Swapping mit sich. Dies ist so häufig geworden, dass NIST die Nutzung von SMS zurückgestuft hat. Daher ist es zwar eine gute Option, verbraucherorientiertes OTP per SMS für weniger sicherheitskritische Zugriffe anzubieten, Organisationen sollten jedoch prüfen, ob die Sicherheit für höherwertige Enterprise-Logins ausreicht.

OTP per Sprachanruf

Eine Methode zur Zustellung von OTP erfolgt per Anruf an eine Nummer, die bereits einem Nutzer zugeordnet ist. Diese Methode ist hochverfügbar, da sie lediglich ein Telefon erfordert. Sie funktioniert auch dann, wenn kein Mobiltelefon vorhanden ist, oder über das Festnetz, wenn keine Mobilfunkabdeckung besteht. Aus Sicherheitssicht ist sie jedoch bei mobilen Geräten anfällig für SIM-Swapping oder für potenziellen Missbrauch, wenn ein Telefon von mehreren Personen gemeinsam genutzt wird.

OTP per E-Mail

Per E-Mail zugestelltes OTP ist ein praktikabler zweiter Faktor. Bei der Benutzerfreundlichkeit schneidet es schlechter ab, da der Nutzer aus der Anwendung, bei der er sich gerade authentifiziert, in seine E-Mail-Anwendung wechseln und den OTP-Code entweder behalten oder in die authentifizierende Anwendung kopieren und einfügen muss. Aufgrund dieser Einschränkungen wird E-Mail-basiertes OTP typischerweise zum Zurücksetzen vergessener Passwörter verwendet, wobei der Nutzer nachweisen kann, dass ihm das E-Mail-Konto gehört, indem er auf einen zeitlich begrenzten Link in der E-Mail reagiert.

Aus Sicherheitssicht ist E-Mail nur so sicher wie die Zugangsdaten, mit denen darauf zugegriffen wird. Sie sollten E-Mail niemals als Backup-Mechanismus für mehrere MFA-Faktoren zulassen. Angenommen, Sie würden E-Mail-OTP sowohl als Fallback für ein vergessenes Passwort als auch als Fallback-Option für ein verlorenes Gerät zulassen, während die E-Mail nur durch einen einzelnen Faktor geschützt ist. In diesem Fall hätten Sie keine echte Multi-Faktor-Authentifizierung, da der Angreifer nur eine einzige Sache kompromittieren muss (das E-Mail-Konto), um in das Konto des Nutzers einzudringen.

Etwas, das Sie sind: Biometrische Faktoren

Biometrische Faktoren bleiben beliebt, weil sie starke Sicherheit mit geringer Reibung verbinden können, insbesondere da neuere Ansätze wie Zero-Knowledge-Biometrie es ermöglichen, datenschutzfreundliche biometrische Authentifizierung und erneute Verifizierung in kritischen Momenten wie Anmeldung, Step-up, Transaktionsfreigabe und Kontowiederherstellung hinzuzufügen. Fingerabdruckleser sind inzwischen bei nahezu jedem Smartphone und Laptop Standard. Windows Hello bietet die Integration mit biometrischen Geräten, während neuere Geräte wie das iPhone X und das Microsoft Surface Book 2 integrierte Gesichtserkennungsfunktionen bereitstellen. Diese von der Plattform bereitgestellten Funktionen lassen sich einfach als Teil eines Authentifizierungsablaufs nutzen.

Biometrische Sicherheit

Biometrie kann ein hohes Vertrauensniveau bieten, doch moderne MFA-Best-Practices hängen zunehmend davon ab, wie die biometrische Verifizierung implementiert, geschützt und mit Geräte- und Kontextsignalen kombiniert wird. Die Fingerabdruckverifizierung kann sehr präzise sein, doch die wichtigere Frage ist heute, ob der biometrische Ablauf unter realen Bedingungen Spoofing, kompromittierten Geräten und Presentation Attacks standhalten kann. Auch die Gesichtserkennungstechnologie hat enorme Fortschritte bei der Genauigkeit gemacht, doch moderne Implementierungen müssen KI-gestütztes Spoofing und Deepfake-gestützte Identitätsvortäuschung mit starker Liveness Detection und Verifizierungskontrollen mit höherem Vertrauensniveau berücksichtigen.

Biometrie hat jedoch einige Schwächen. Aus Sicherheitssicht unterliegt sie, wenn die Biometrie beispielsweise an ein Gerät gebunden ist, denselben Problemen bei vergessenen Geräten wie ein Besitzfaktor. Die Speicherung der Biometrie auf einem zentralen Server beseitigt dieses Problem, doch bei dieser Art von Daten ist Vorsicht geboten, da sie unter Vorschriften wie GDPR und CCPA als personenbezogene Daten (PII) gelten. Viele Organisationen prüfen datenschutzfreundliche Ansätze wie Zero-Knowledge-Biometrie, bei denen biometrische Informationen niemals in abrufbarer oder rekonstruierbarer Form gespeichert werden, um regulatorische Compliance-Anforderungen zu erfüllen oder zu übertreffen. In den Vereinigten Staaten haben Texas, Illinois und Washington Gesetze zur Erhebung und Weitergabe biometrischer Informationen verabschiedet, und mehrere andere Bundesstaaten haben ähnliche Vorschriften vorgeschlagen.

Benutzerfreundlichkeit von Biometrie

Auch die Benutzerfreundlichkeitsprobleme bei Biometrie variieren stark je nach Anwendungsfall. So wäre ein Fingerabdruckleser beispielsweise eine schlechte Wahl zur Verifizierung von Patienten in einer Grippeambulanz. Ebenso ist Gesichtserkennung nicht zuverlässig, wenn die Beleuchtung nicht kontrolliert werden kann. Eine Studie zu Geldautomaten mit Gesichtserkennung ergab, dass die Genauigkeit am Nachmittag bei Geräten mit westlich ausgerichteten Fenstern dramatisch sank, weil die Spiegelung der untergehenden Sonne auf diesen Fenstern die Bilder für die Gesichtserkennung vollständig überstrahlte.

Biometrie und der Plattform-FIDO-Authenticator

FIDO bleibt eine der stärksten Abwehrmaßnahmen gegen Phishing, weil Authenticatoren an vertrauenswürdige Domains gebunden sind und sich nicht einfach über täuschend echte Websites oder Echtzeit-Phishing-Proxys wiederverwenden lassen.

Plattform-FIDO-Authenticatoren sind inzwischen in die wichtigsten Betriebssysteme und Geräte integriert, was den Bereitstellungsaufwand deutlich reduziert und die Zugänglichkeit verbessert hat. Der Nutzer registriert den FIDO-Authenticator über den Browser bei Websites, die den WebAuthn-Standard unterstützen. Wenn die Website eine Authentifizierung anfordert, authentifiziert sich der Nutzer gegenüber dem Telefon auf die gleiche Weise wie immer: mit PIN, Fingerabdruck oder Gesichtserkennung. Das bietet eine starke Kombination aus Sicherheit und Benutzerfreundlichkeit. Apple unterstützt die Verwendung externer FIDO-Authenticatoren (physische FIDO-Token) zur Authentifizierung per WebAuthn bei browserbasierten Anwendungen, die auf dem Mac und iPhone über Bluetooth Low Energy oder USB ausgeführt werden. Apple, Google und Microsoft unterstützen inzwischen plattformbasierte FIDO-Erlebnisse, mit denen sich Nutzer über integrierte biometrische Verfahren wie Face ID, Touch ID oder gerätenative Biometrie in unterstützten Apps und Browsern authentifizieren können. Dadurch können sich Nutzer bei Websites anmelden, die den WebAuthn-Standard unterstützen.

FIDO hat sich dank breiterer Plattformunterstützung und reibungsärmerer Nutzererlebnisse zu einer in der Praxis breit nutzbaren, phishing-resistenten Authentifizierungsoption für Workforce- und Customer-Anwendungsfälle entwickelt.

So wählen Sie die richtigen MFA-Methoden aus

Die Auswahl der MFA-Mechanismen, die für Ihre konkrete Situation am besten geeignet sind, erfordert eine ausgewogene Abwägung von Sicherheit, Benutzerfreundlichkeit und Kosten. Die folgende Tabelle versucht, die Stärken und Schwächen verschiedener MFA-Mechanismen zusammenzufassen.

Wie Adaptive MFA die Sicherheit stärkt

Wir haben viel über Authentifizierungskategorien und die verschiedenen Mechanismen innerhalb dieser Kategorien gesprochen. Moderne MFA bedeutet nicht mehr nur, bei der Anmeldung Faktoren zu erfassen; es geht darum, zum richtigen Zeitpunkt das richtige Vertrauensniveau anzuwenden. Durch die Kombination von MFA mit Kontext-, Geräte-, Verhaltens- und Transaktionssignalen können Unternehmen auf ein umfassenderes Verified-Trust-Modell hinarbeiten, das die Authentifizierung an das Risiko jeder Interaktion anpasst. Grundlage ist die dynamische Bewertung des Risikos eines bestimmten Vorgangs anhand von:

1. Dem aktuellen Authentifizierungsstatus des Benutzers
2. Dem mit der betreffenden Ressource verbundenen Risiko
3. Dem Kontext der Anfrage

Dadurch können wir die Benutzerfreundlichkeit und den Nutzungskomfort verbessern, indem zusätzliche Authentifizierungsfaktoren übersprungen werden, wenn das Risiko gering ist, z. B. wenn sich ein Benutzer auf einem verwalteten Gerät von einer häufig verwendeten IP-Adresse aus zu derselben Tageszeit anmeldet, zu der er sich normalerweise anmeldet.

Adaptive MFA verwendet kontextbezogene Signale, um zu erkennen, wenn Verhalten, Gerätestatus oder Transaktionsdetails außerhalb der Norm liegen, und fordert zusätzliche Verifizierung nur dann an, wenn das Vertrauen sinkt. Beispiele sind Benutzer, die sich zum ersten Mal von einem nicht verwalteten Gerät anmelden, sich in San Francisco anmelden, eine Stunde nachdem sie sich in Paris angemeldet haben, sich von einer IP-Adresse mit schlechter IP-Reputation anmelden oder versuchen, eine Transaktion über $100,000 abzuschließen. In diesen Momenten können Unternehmen das Sicherheitsniveau durch zusätzliche Verifizierung erhöhen, die dem Risiko entspricht, ohne jeden Benutzer demselben Maß an Reibung auszusetzen.

Wie in der Abbildung unten gezeigt, authentifiziert sich ein Benutzer für den Zugriff auf eine Ressource mit einem Faktor wie etwa einem Passwort. Zum Zeitpunkt der Authentifizierung erfasst und prüft das System außerdem Authentifizierungssignale. Nur wenn diese Prüfungen etwas Unerwartetes oder Anomales erkennen, wird der Benutzer aufgefordert, sich mit einem zweiten Faktor zu authentifizieren, bevor der Zugriff gewährt wird. Und wenn das Risiko zu hoch ist, kann Ihre Authentifizierungsrichtlinie entscheiden, den Zugriff überhaupt nicht zuzulassen oder ihn nur mit eingeschränkten Berechtigungen zu gewähren.

Risikobasierte zusätzliche MFA-Verifizierung wird durch untypischen und anomalen Kontext oder durch solches Verhalten ausgelöst. Nur wenn der über den ersten Authentifizierungsfaktor erfasste Kontext auf etwas Unerwartetes hinweist, wird vor der Zugriffsgewährung ein zweiter Authentifizierungsfaktor angefordert.

Best Practices für moderne MFA stützen sich auf mehr als nur statische Faktoren, indem sie Kontext- und Risikosignale nutzen, um das Vertrauen in Benutzer, Gerät und Sitzung kontinuierlich zu bewerten.

Empfehlungen für Best Practices bei moderner MFA

Es ist klar, dass Unternehmen sich weiter über passwortzentrierte und veraltete MFA-Ansätze hinausentwickeln müssen. In der heutigen Bedrohungslandschaft bleibt grundlegende 2FA zwar die Untergrenze, doch Best Practices für moderne MFA erfordern zunehmend phishing-resistente Authentifizierung, adaptive Richtlinien und stärkere Verifizierung bei steigendem Risiko. Auf Grundlage unserer Bewertung aktueller und neuer Technologien sowie Gesprächen mit Kunden, Partnern und anderen Stakeholdern geben wir die folgenden Empfehlungen:

1. Phishing-resistente Authentifizierung priorisieren. Da KI-gestützte Phishing- und Identitätsbetrugsangriffe immer überzeugender und skalierbarer werden, sollten Unternehmen über OTP-abhängige Strategien hinausgehen und nach Möglichkeit FIDO-basierte Authentifizierung, Passkey-Erlebnisse und Plattform-Authentifikatoren einführen.
2. Biometrische Authentifizierung dort einsetzen, wo sie sowohl das Sicherheitsniveau als auch das Benutzererlebnis spürbar verbessert, insbesondere in Kombination mit FIDO oder anderen phishing-resistenten Methoden. Datenschutzfreundliche Ansätze wie Zero-Knowledge-Biometrie können Unternehmen zudem dabei helfen, Anmelde-, zusätzliche Verifizierungs-, Transaktionsfreigabe- und Wiederherstellungsprozesse zu stärken, ohne die Abhängigkeit von zentral gespeicherten Geheimnissen oder rekonstruierbaren biometrischen Daten zu erhöhen.
3. Mehrere Authentifizierungsoptionen anbieten, aber nicht alle Optionen sollten dasselbe Vertrauensniveau haben. Die stärksten MFA-Strategien bieten Benutzern flexible Wege für Zugriff und Wiederherstellung und behalten Verfahren mit höherem Sicherheitsniveau für Interaktionen mit höherem Risiko vor.
4. Sicherstellen, dass Wiederherstellungspfade das Sicherheitsniveau nicht schwächen. Wenn Benutzer mehrere Faktoren über denselben Kanal mit geringem Sicherheitsniveau zurücksetzen oder wiederherstellen können, haben Sie MFA faktisch wieder auf einen einzelnen Ausfallpunkt reduziert.
5. Nicht-mobile und Szenarien mit eingeschränktem Zugriff berücksichtigen. Stellen Sie Authentifizierungsoptionen bereit, die auch dann funktionieren, wenn Benutzer keinen zuverlässigen mobilen Zugriff haben, keine Nachrichten empfangen können oder in Offline- oder eingeschränkten Umgebungen arbeiten.
6. Adaptive MFA-Richtlinien verwenden, um Kontext, Gerät, Verhalten und Transaktionsrisiko in Echtzeit zu bewerten. Damit entwickelt sich MFA in Richtung eines umfassenderen Verified-Trust-Modells, bei dem Unternehmen unnötige Reibung bei Aktivitäten mit geringem Risiko reduzieren und die Sicherheitsstufe nur dann erhöhen, wenn sich das Vertrauen in den Benutzer, das Gerät oder die Absicht ändert.

Betrugsprävention ist mehr als nur MFA

Erfahren Sie, wie Sie Ihre gesamte Sicherheitsstrategie zukunftssicher machen. Holen Sie sich den ultimativen Leitfaden zur Online-Betrugsprävention.

¹ Harvard Business Review, KI wird die Anzahl – und die Qualität – von Phishing-Betrugsversuchen erhöhen

Bei Ping Identity ermöglichen wir es, jedem digitalen Moment über Kunden, Mitarbeiter, Partner und nicht-menschliche Identitäten hinweg zu vertrauen. Ganz gleich, ob Sie Millionen von Nutzern absichern, Betrug bekämpfen, den Zugriff für Dritte vereinfachen oder passwortlos arbeiten möchten – der Aufbau von Vertrauen sollte Sie nicht ausbremsen. Unsere Identity-Plattform für Unternehmen ist auf Skalierbarkeit, Geschwindigkeit und Flexibilität ausgelegt und funktioniert nahtlos mit Ihren bestehenden Cloud-, Hybrid- und On-Prem-Umgebungen. Mit Runtime Identity helfen wir Ihnen, AI und Automatisierung souverän zu nutzen, damit Sie die Identität, den Kontext und die Absicht jedes AI-Agenten kontinuierlich überprüfen und seine Aktionen in Echtzeit steuern können. Mit Ping beginnt jedes digitale Erlebnis mit Vertrauen. Erfahren Sie mehr unter pingidentity.com.