Konten nach möglichem Schaden priorisieren
Der Einstieg erfolgt meist bei Administratoren, E-Mail, Fernzugängen und geschäftskritischen Cloud-Diensten. Die Bestandsaufnahme unterscheidet persönliche Konten, Dienstkonten und gemeinsame Zugänge. Automatisierte Prozesse lassen sich nicht immer wie menschliche Benutzer behandeln und brauchen ein eigenes, begründetes Schutzkonzept.
Phishing-resistente Verfahren wie geeignete FIDO/WebAuthn-Lösungen sind besonders interessant, weil sie die Anmeldung an den vorgesehenen Dienst binden. Welche Umsetzung geeignet ist, hängt von der Plattform und den Geräten ab. Nicht jede angebotene zweite Bestätigung bietet dieselbe Widerstandsfähigkeit gegen Phishing.
Pilot und Wiederherstellung gemeinsam planen
Eine kleine Pilotgruppe erprobt Registrierung, täglichen Zugang und den Wechsel zwischen Arbeitsplätzen. Dabei werden auch Schichtarbeit, Außendienst und Geräteverlust berücksichtigt. Beschäftigte benötigen klare Hinweise dazu, welche Anmeldeanfragen sie erwarten dürfen und an wen sie verdächtige Bestätigungsaufforderungen melden.
Die Wiederherstellung darf nicht zum einfachen Umweg um MFA werden. Identitätsprüfung, Ersatzfaktoren und Freigaben müssen nachvollziehbar sein. Notfallkonten werden separat geschützt, überwacht und regelmäßig getestet, damit ein Ausfall der normalen Methode nicht zu unkontrollierten Sammelzugängen führt.
Einführung anhand der Nutzung prüfen
Entscheidend ist, ob MFA bei den relevanten Anmeldungen tatsächlich greift. Deshalb werden Ausnahmen, alte Anmeldeverfahren und administrative Sonderwege geprüft. Ein registrierter zweiter Faktor allein beweist noch nicht, dass alle wichtigen Zugriffe entsprechend abgesichert sind.
Die Übergabe umfasst erfasste Konten, aktivierte Methoden und verbleibende Sonderfälle. Für eine Anfrage nennen Sie die verwendeten Dienste, ungefähre Benutzerzahl und vorhandene Geräteverwaltung. Daraus lässt sich eine Einführung planen, die Schutzwirkung und Alltagstauglichkeit nachvollziehbar verbindet.
Ihre Checkliste für den nächsten Schritt
- Administratoren, E-Mail und Fernzugänge zuerst in den Umfang aufnehmen.
- Geräteverlust und Wiederherstellung vor dem breiten Rollout praktisch testen.
- Ausnahmen und ältere Anmeldewege auf tatsächlich wirksamen Schutz überprüfen.
Häufige Fragen
Ist jede Authenticator-App phishing-resistent?
Nein. Die genaue Methode ist entscheidend. Ein eingetippter Einmalcode oder eine einfache Bestätigung kann anders angegriffen werden als eine dienstgebundene Anmeldung.
Kann MFA einen bereits gestohlenen Sitzungstoken unschädlich machen?
Nicht allein. Bei einem Vorfall müssen aktive Sitzungen, Tokens und weitere Zugänge zusätzlich geprüft und gegebenenfalls widerrufen werden.
Quellen & weiterführende Informationen
CISA: Phishing-resistente MFA implementieren ↗Fachliche Orientierung, Stand 25.10.2026. Der konkrete Befund erfordert Zugriff auf die betroffene Umgebung und eine abgestimmte Prüfung.