MFA für KMU: Warum Passwörter allein nicht mehr reichen

Milliarden von Passwörtern kursieren im Darknet – gestohlen durch Datenpannen, Phishing oder schlichte Wiederverwendung. Wer sich nur auf ein Passwort verlässt, spielt mit dem Zugang zu seinen gesamten Unternehmensdaten. Multi-Faktor-Authentifizierung (MFA) schließt diese Lücke zuverlässig.

Warum Passwörter allein versagen

Laut einer Studie von Microsoft werden täglich über 300 Millionen betrügerische Anmeldeversuche auf deren Cloud-Dienste registriert. Viele davon nutzen gültige, aber gestohlene Zugangsdaten. Das Problem: Ein Passwort kann entwendet werden, ohne dass der Nutzer es bemerkt. Phishing-Angriffe, Datenlecks bei Drittanbietern oder Malware reichen dafür aus.

Selbst starke, einmalige Passwörter bieten keinen vollständigen Schutz, wenn der Angreifer sie durch Social Engineering oder einen Keylogger abgreift.

Was ist Multi-Faktor-Authentifizierung?

MFA ergänzt das Passwort um einen zweiten oder dritten Faktor. Das Prinzip: Etwas, das Sie wissen (Passwort), kombiniert mit etwas, das Sie besitzen (Smartphone, Hardware-Token) oder etwas, das Sie sind (Fingerabdruck, Gesichtserkennung). Ein Angreifer, der nur das Passwort kennt, kommt damit nicht weiter.

MFA-Methoden im Überblick

Authenticator App (empfohlen) Apps wie Microsoft Authenticator oder Google Authenticator generieren zeitbasierte Einmalcodes (TOTP). Kein SMS-Empfang nötig, funktioniert offline und ist kostenlos. Die App ist einfach einzurichten und für die meisten Mitarbeitenden intuitiv bedienbar.

SMS-Code Der Zugangscode wird per SMS auf eine hinterlegte Mobilnummer gesendet. Einsteigerfreundlich, aber weniger sicher als eine Authenticator App – SIM-Swapping und SS7-Angriffe sind bekannte Schwachstellen.

Hardware-Token (FIDO2/YubiKey) Physische Sicherheitsschlüssel bieten das höchste Sicherheitsniveau. Ideal für privilegierte Konten wie IT-Administratoren oder Geschäftsführung. Die Anschaffungskosten pro Schlüssel liegen bei 30–80 Euro.

MFA in Microsoft 365 aktivieren

Microsoft 365 enthält MFA standardmäßig – es muss nur aktiviert werden. Im Microsoft Entra Admin Center lässt sich MFA für alle Benutzer oder spezifische Gruppen erzwingen. Mit Conditional Access Policies (ab Business Premium) können differenzierte Regeln eingerichtet werden: etwa MFA nur bei Anmeldung außerhalb des Firmennetzwerks.

Eine schrittweise Einführung bietet sich an: Administratoren zuerst, dann schrittweise alle weiteren Nutzer – mit begleitender Kommunikation, damit der Rollout reibungslos verläuft.

Rollout-Strategie für KMU

1. Inventur: Welche Dienste werden genutzt? Microsoft 365, VPN, Cloud-Anwendungen?
2. Priorisieren: Privilegierte Konten (Admin, Geschäftsführung, Finanzen) zuerst absichern.
3. Methode wählen: Authenticator App als Standard, Hardware-Token für kritische Accounts.
4. Kommunikation: Mitarbeitende frühzeitig informieren, Schritt-für-Schritt-Anleitungen bereitstellen.
5. Rollout: In Wellen ausrollen, Helpdesk-Kapazitäten erhöhen.
6. Überwachen: Anmeldeprotokolle regelmäßig auswerten.

Der gesamte Prozess ist für ein Unternehmen mit 20–50 Mitarbeitenden in ein bis zwei Tagen umsetzbar – wenn er strukturiert angegangen wird.

MFA ist kein Luxus, sondern Basisschutz

Viele Cyberversicherungen fordern MFA mittlerweile als Mindestvoraussetzung. Ohne MFA riskieren Unternehmen nicht nur Datenverlust, sondern auch ihren Versicherungsschutz. Die Einführung ist kostengünstig und der ROI ist eindeutig: Eine verhinderte Kontoübernahme spart im Schnitt fünf bis sechsstellige Beträge an Schadensbehebungskosten.

VIOCOM unterstützt Unternehmen in Gladbeck und im Ruhrgebiet bei der vollständigen Einrichtung und dem Rollout von MFA in Microsoft 365 und weiteren Plattformen.

Jetzt IT-Betreuung anfragen