Multi-Faktor-Authentifizierung (MFA) – auch Zwei-Faktor-Authentifizierung (2FA) wenn genau zwei Faktoren genutzt werden – ist eine Authentifizierungsmethode, bei der ein Nutzer seine Identität durch mindestens zwei unabhängige Faktoren aus verschiedenen Kategorien nachweisen muss. Die Grundidee: Selbst wenn ein Faktor kompromittiert ist (z. B. Passwort gestohlen), reicht das allein nicht aus – der Angreifer braucht zusätzlich den zweiten Faktor.
MFA ist die wirksamste einzelne Maßnahme gegen Kontoübernahmen durch gestohlene Passwörter, Phishing und Credential-Stuffing-Angriffe. Microsoft schätzt, dass MFA über 99 Prozent aller passwortbasierten Angriffe blockiert. Für Automatisierungsinfrastrukturen ist MFA auf allen administrativen Zugängen – Automationsplattform, Server-SSH, Cloud-Konsolen, Code-Repositories – eine Mindestanforderung.
Die drei Faktor-Kategorien
Wissen
Etwas, das nur der Nutzer weiß. Passwort, PIN, Sicherheitsfrage. Kompromittierbar durch Phishing, Leaks, Brute Force.
Besitz
Etwas, das der Nutzer hat. TOTP-App (Authenticator), Hardware-Token (YubiKey), SMS-Code, Smartcard. Phishing-resistent wenn Hardware-Key.
Biometrie
Etwas, das der Nutzer ist. Fingerabdruck, Gesichtserkennung, Iris-Scan. Bequem, aber lokal – nur auf dem Gerät, nicht auf dem Server.
MFA-Methoden im Sicherheitsvergleich
- Hardware-Security-Keys (YubiKey, FIDO2): Phishing-resistent – der Key kommuniziert nur mit der legitimen Domain. Stärkste verfügbare MFA-Methode. Empfohlen für hochprivilegierte Zugänge
- TOTP-Apps (Google Authenticator, Authy, 1Password): Zeitbasierte Einmalcodes. Sehr sicher, kostenlos, funktioniert offline. Standard für die meisten Szenarien
- Push-Benachrichtigungen (Duo, Okta Verify): Benutzerfreundlich – Genehmigung per Tap auf Smartphone. Anfällig für MFA-Fatigue-Angriffe (viele Anfragen bis Nutzer versehentlich genehmigt)
- SMS-Codes: Schwächste MFA-Form – anfällig für SIM-Swapping. Besser als kein MFA, aber wenn möglich durch App ersetzen
Praxisbeispiel
Ein Automationsdienstleister führt MFA für alle administrativen Zugänge ein. Umsetzung in einer Woche: n8n-Admin-Interface: TOTP (Google Authenticator) – 5 Minuten Setup. AWS-Konsole: bereits aktiv für 8 von 12 Nutzern, für die verbleibenden 4 aktiviert. GitHub: MFA-Pflicht auf Organisationsebene aktiviert – alle Mitglieder müssen MFA einrichten. Server-SSH: Passwort-Auth deaktiviert, nur SSH-Keys erlaubt (ist äquivalent zu MFA durch asymmetrische Kryptographie). VPN-Zugang: TOTP als zweiter Faktor integriert. Ergebnis: Alle 9 administrativen Zugangspunkte mit MFA abgesichert. Gesamtaufwand Setup: 4 Stunden. Laufender Mehraufwand für Mitarbeiter: ca. 10 Sekunden pro Login. Sicherheitsgewinn: kompromittiertes Passwort reicht für keinen einzigen Systemzugang mehr aus.
