Der häufigste Weg, auf dem ein kleines Unternehmen den Zugang zu seinem Postfach, seinem Geld oder seinen Kundendaten verliert, ist nicht spektakulär. Da ist kein Hacker im Kapuzenpulli. Da ist ein gestohlenes Passwort — von einem Mitarbeiter auf einer gefälschten Anmeldeseite eingegeben oder aus einem völlig anderen Dienst abgeflossen. MFA ist das eine günstige Mittel, das dieses Szenario schlicht abschaltet. Vorausgesetzt, du aktivierst es dort, wo es zählt, und nicht dort, wo es bequem ist.
MFA (Mehr-Faktor-Authentifizierung, umgangssprachlich „Zwei-Schritt-Anmeldung") ist die Anforderung, neben dem Passwort einen zweiten Nachweis zu erbringen: einen Code aus einer App, eine Bestätigung auf dem Handy oder eine Berührung eines Hardware-Schlüssels. Die Idee ist banal. Die Schwierigkeit liegt darin, dass die meisten Firmen sie in der falschen Reihenfolge, mit der falschen Methode und an Stellen aktivieren, an denen sie niemandem hilft — und genau die Konten überspringen, an denen sie tatsächlich wirken würde.
Warum ein Passwort allein nicht mehr reicht
Passwörter fließen massenhaft ab. Alle paar Monate verliert irgendein populärer Dienst seine Nutzerdatenbank, und Menschen verwenden dasselbe Passwort an acht Stellen — auch im Firmen-E-Mail. Dazu kommt Phishing: Ein Mitarbeiter bekommt eine überzeugende „Bestätige deine Microsoft-365-Anmeldung"-Mail, klickt und tippt das Passwort auf einer Seite ein, die identisch zur echten aussieht. Ab diesem Moment kennt ein Fremder sein Passwort.
Was macht der Angreifer damit? Selten etwas Lautes. Der häufigste reale Schaden in einem KMU ist die Übernahme des Postfachs mit anschließender stiller Beobachtung. Der Eindringling liest wochenlang die Korrespondenz, lernt, wie die Firma Rechnungen stellt und mit wem sie abrechnet, und schickt dann im richtigen Moment eine Nachricht an einen Kunden: „Wir haben unsere Kontonummer geändert, bitte zahlt auf die neue." Das Geld landet auf dem Konto des Betrügers. Das ist kein Filmstoff — es ist der häufigste Grund, aus dem Firmen uns im Nachhinein anrufen.
Ein Passwort ist einen Klick von dieser Katastrophe entfernt. Ein zweiter Faktor sorgt dafür, dass das Passwort allein nicht mehr ausreicht.
Wo MFA zuerst aktivieren
Die Regel ist einfach: die Kronjuwelen zuerst. Aktiviere MFA nicht überall auf einmal — du ertrinkst in der Konfiguration und verschreckst dein Team. Geh danach, was am meisten schmerzt, wenn es in die falschen Hände gerät:
- Firmen-E-Mail (Microsoft 365, Google Workspace). Das ist die absolute Priorität, denn über das Postfach werden die Passwörter für fast alles andere zurückgesetzt. Wer deine E-Mail hat, hat deine Firma.
- Fernzugriff — VPN, Remote-Desktop, Anmeldemasken für ins Internet ausgesetzte Systeme.
- Administratorkonten und Bankgeschäfte. Das Microsoft-365- oder Domänen-Adminkonto ist der Schlüssel zur gesamten Infrastruktur — hier ist MFA Pflicht, am besten in der stärksten Form.
- ERP und Systeme mit Daten — Comarch Optima, enova365, das Buchhaltungssystem, das CRM. Überall, wo von außen angemeldet wird.
Das klassische Sicherheitstheater, das wir immer wieder sehen: MFA wunderbar auf dem Gäste-WLAN-Portal eingerichtet, während das Microsoft-365-Adminkonto ohne jeden Schutz dasteht, mit dem Passwort Firma2019!. Das ist, als verriegelte man die Kellertür, während der Tresor offen steht.
Nicht jeder zweite Faktor ist gleich
„Wir haben SMS aktiviert, also haben wir MFA" ist eine halbe Wahrheit. Die Methoden unterscheiden sich in ihrer Widerstandsfähigkeit:
- SMS-Code — besser als nichts, aber anfällig für Rufnummern-Übernahme (SIM-Swap) und Abfangen. Vertretbar für gewöhnliche Konten, nicht für Admins oder Bankgeschäfte.
- TOTP-App (Microsoft Authenticator, Google Authenticator) — kostenlos, erzeugt alle 30 Sekunden einen Code, funktioniert sogar ohne Empfang. Eine vernünftige Standardwahl für das ganze Team.
- Push-Benachrichtigung mit Bestätigung — bequem, aber Vorsicht vor „MFA-Müdigkeit": Ein Angreifer überflutet den Mitarbeiter mit Bestätigungsanfragen, bis dieser aus Genervtheit auf „ja" tippt. Wähle die Variante mit Nummernabgleich (man muss Ziffern vom Bildschirm abtippen).
- Passkeys und Hardware-Schlüssel (FIDO2, z. B. YubiKey) — phishing-resistent, weil man sie auf einer gefälschten Seite nicht „herausgeben" kann. Kosten etwa 150–250 PLN pro Schlüssel. Lohnt sich für Administratorkonten und den Bankzugang.
In der Praxis empfehlen wir für ein 20-Personen-Unternehmen meist: eine TOTP-App für alle und Hardware-Schlüssel für die zwei bis drei Adminkonten und die Person, die die Überweisungen bearbeitet.
Ein Beispiel aus der Praxis
Bei einem unserer Kunden — einer Steuerberatungskanzlei mit 18 Mitarbeitenden — gab eine Mitarbeiterin ihr Microsoft-365-Passwort auf einer gefälschten Anmeldeseite ein, die in einer Mail „vom Lieferanten" verlinkt war. Der Angreifer hatte das richtige Passwort. Und konnte nichts damit anfangen.
Beim Anmeldeversuch aus einem ungewöhnlichen Standort verlangte das System einen Code aus der Authenticator-App, den der Eindringling nicht hatte. Die Anmeldung wurde blockiert, die Kanzlei erhielt eine Warnung über den verdächtigen Versuch und änderte in Ruhe das Passwort. Das klassische Szenario — Postfachübernahme, wochenlange Beobachtung und eine ausgetauschte Kontonummer auf einer Kundenrechnung — wurde gleich beim ersten Schritt abgeschaltet.
Die Kosten der gesamten MFA-Einführung auf E-Mail und VPN für 18 Personen: ein Nachmittag Arbeit und 0 PLN an Lizenzen, denn Microsoft Authenticator ist kostenlos. Zum Vergleich: Ein einzelner erfolgreicher Rechnungsbetrug in dieser Branche liegt typischerweise bei mehreren zehntausend Zloty, die man fast nie zurückbekommt.
Wie du dein eigenes Team nicht aussperrst
MFA kann sich gegen dich wenden, wenn du es ohne Plan für Notfälle einführst. Vier Dinge, die du vorab durchdenken solltest:
- Backup-Codes. Jedes MFA-System erzeugt einmalige Notfallcodes. Druck sie aus und verwahre sie im Tresor — das ist deine Rettung, wenn jemand ein Handy verliert.
- Mindestens zwei Administratorkonten mit getrennter MFA. Wenn die ganze Firma an einem einzigen Adminkonto hängt und dieser Admin am Freitagabend sein Handy verliert, hast du ein Problem für das ganze Wochenende.
- Eine Prozedur für den Handywechsel. Mitarbeitende wechseln Telefone. Lege vorab fest, wer ihre MFA neu einrichtet und wie, bevor sie sich selbst aussperren.
- Bedingter Zugriff. Frag nicht achtmal am Tag aus dem Büro nach einem Code — frag, wenn sich jemand von einem neuen Gerät oder einem ungewöhnlichen Standort anmeldet. Wenn MFA die Leute bei jedem Klick nervt, beginnen sie, es zu umgehen, und die ganze Investition landet im Müll.
Womit du nächste Woche anfängst
Du brauchst kein Halbjahresprojekt. Du brauchst einen Nachmittag und eine Liste:
- Schreib die Konten auf, die Zugriff auf E-Mail, Geld und Kundendaten haben.
- Aktiviere MFA auf der E-Mail für alle — beginn mit deinem eigenen Konto und den Adminkonten.
- Wo du SMS auf Adminkonten und im Banking nutzt, ersetze sie durch eine App oder einen Hardware-Schlüssel.
- Druck die Backup-Codes aus und richte einen zweiten Administrator ein.
- Konfiguriere Regeln für bedingten Zugriff, damit das Team nicht hundertmal am Tag einen Code eintippt.
Das ist keine Arbeit, mit der du auf einer Konferenz angibst. Aber es ist das Günstigste, was du diese Woche tun kannst, damit ein gestohlenes Passwort kein Todesurteil mehr für deine Firma ist.
Wenn du nicht weißt, mit welchem Konto du anfangen sollst oder wie du bedingten Zugriff einrichtest, ohne durchzudrehen — sprich mit jemandem, der das täglich in kleinen Firmen einführt. Das erste Gespräch ist kostenlos und dauert eine halbe Stunde.
MFA ist kein Zusatz zur Sicherheit. Es ist der Schalter, der ein gestohlenes Passwort wertlos macht.