Ein kompromittiertes Microsoft-365-Konto kann reichen, um Rechnungen umzuleiten, vertrauliche E-Mails einzusehen oder sich im Namen der Geschäftsführung an Mitarbeitende zu wenden. Die Frage „Wann braucht ein Unternehmen MFA“ stellt sich daher nicht erst nach einem Sicherheitsvorfall. Für die meisten kleinen und mittelständischen Unternehmen lautet die praktische Antwort: spätestens dann, wenn Mitarbeitende auf E-Mails, Cloud-Daten, Fachanwendungen oder Systeme außerhalb eines einzelnen, kontrollierten Arbeitsplatzes zugreifen.
MFA steht für Multi-Faktor-Authentifizierung. Neben dem Passwort wird ein zweiter Nachweis verlangt, etwa eine Freigabe in einer Authenticator-App, ein Sicherheitsschlüssel oder ein biometrisches Merkmal. Das schützt nicht vor jedem Angriff. Es reduziert aber ein sehr häufiges Risiko deutlich: dass ein gestohlenes oder erratenes Passwort allein für den Zugriff auf ein Konto genügt.
Wann braucht ein Unternehmen MFA?
Sobald ein Konto über das Internet erreichbar ist, sollte MFA grundsätzlich vorgesehen werden. Das gilt besonders für Microsoft 365, Entra ID, VPN-Zugänge, Remote-Desktop-Verbindungen, Cloud-Speicher, Buchhaltungssoftware, CRM-Systeme und Passwortmanager. Wer E-Mails im Browser oder auf dem Smartphone abruft, nutzt bereits einen extern erreichbaren Zugang – unabhängig davon, ob das Unternehmen zehn oder zweihundert Mitarbeitende hat.
Auch interne Systeme sind kein automatischer Ausnahmefall. Viele Angriffe beginnen mit einer Phishing-Mail und führen anschließend über gestohlene Zugangsdaten zu weiteren Anwendungen. Hat ein Angreifer Zugriff auf ein E-Mail-Postfach, kann er Passwörter zurücksetzen, Lieferantenkommunikation lesen und sich glaubwürdig als Mitarbeitender ausgeben. MFA erschwert genau diesen Schritt.
Besonders dringlich ist die Einführung in vier Situationen: wenn sensible Kunden-, Personal- oder Gesundheitsdaten verarbeitet werden, wenn Mitarbeitende mobil oder im Homeoffice arbeiten, wenn externe Dienstleister administrativen Zugriff erhalten und wenn Führungskräfte oder die Buchhaltung besonders schützenswerte Konten nutzen. Gerade diese Rollen sind häufig Ziel von Betrugsversuchen, etwa bei geänderten Bankverbindungen oder Zahlungsfreigaben.
MFA ist kein Luxus für große Konzerne
Kleine Unternehmen gehen manchmal davon aus, dass sie für Kriminelle nicht interessant genug seien. In der Praxis werden Zugangsdaten oft automatisiert abgegriffen und ausprobiert. Entscheidend ist nicht die Bekanntheit eines Unternehmens, sondern ob ein Konto, ein Postfach oder eine Rechnungsfreigabe verwertbar ist.
Ein typisches Beispiel: Eine Mitarbeiterin erhält eine vermeintliche Microsoft-365-Anmeldung und gibt ihr Passwort auf einer täuschend echten Phishing-Seite ein. Ohne MFA kann der Angreifer das Konto unmittelbar übernehmen. Mit einer richtig eingerichteten Authenticator-App braucht er zusätzlich eine Bestätigung auf dem registrierten Gerät. Die Mitarbeiterin kann den unerwarteten Anmeldeversuch ablehnen, und die IT kann reagieren.
Dabei kommt es auf die Umsetzung an. Eine einfache SMS als zweiter Faktor ist besser als nur ein Passwort, aber anfälliger als eine Authenticator-App oder ein physischer Sicherheitsschlüssel. Für normale Benutzerkonten ist eine App häufig der praktikable Standard. Für besonders kritische Rollen wie globale Administratoren, Geschäftsführung oder Finanzverantwortliche sind phishing-resistente Methoden wie FIDO2-Sicherheitsschlüssel die bessere Wahl.
Welche Konten zuerst geschützt werden sollten
Nicht jedes Konto muss am ersten Tag gleich behandelt werden. Wer MFA einführt, sollte die Reihenfolge nach Risiko festlegen. Administratoren haben Priorität, weil sie Benutzer, Berechtigungen und Sicherheitseinstellungen verändern können. Danach folgen Konten mit Zugriff auf E-Mails, Finanzprozesse, personenbezogene Daten, Kundenakten und zentrale Cloud-Speicher.
Folgende Zugänge sollten in einem mittelständischen Unternehmen nicht ohne MFA betrieben werden:
- Microsoft-365- und Entra-ID-Benutzerkonten, insbesondere Administratoren
- VPN-, Firewall- und Fernwartungszugänge
- Cloud-Anwendungen für Buchhaltung, CRM, Personal und Projektmanagement
- Passwortmanager sowie Backup- und Verwaltungsportale
- Konten externer IT-Dienstleister mit administrativen Berechtigungen
Bei gemeinsam genutzten Konten lohnt sich ein genauer Blick. Ein allgemeines Konto wie „buchhaltung@“ oder „technik@“ erschwert die Nachvollziehbarkeit und macht MFA unnötig kompliziert. Besser sind persönliche Benutzerkonten mit klaren Rollen und Berechtigungen. Funktionspostfächer können zusätzlich bestehen, sollten aber nicht als gemeinsamer Login dienen.
Rechtliche Anforderungen: MFA ist nicht immer ausdrücklich vorgeschrieben
Die DSGVO nennt MFA nicht als pauschale Pflicht. Sie verlangt jedoch angemessene technische und organisatorische Maßnahmen, die sich am Risiko der Verarbeitung orientieren. Wenn ein Unternehmen sensible oder umfangreiche personenbezogene Daten in Cloud-Diensten verarbeitet, ist ein Login nur mit Passwort oft schwer zu begründen.
Auch Kundenanforderungen, Versicherungsbedingungen und branchenspezifische Vorgaben können MFA praktisch erforderlich machen. Manche Auftraggeber erwarten sie bei Zugriffen auf ihre Daten, bei externen Administratoren oder im Rahmen von Informationssicherheitsfragebögen. Unternehmen, die unter besondere regulatorische Anforderungen fallen, etwa KRITIS-nahe Organisationen oder bestimmte NIS2-betroffene Einrichtungen, müssen ihre Anforderungen gesondert prüfen lassen.
Wichtig ist die Einordnung: MFA ersetzt weder ein Berechtigungskonzept noch Backup, Geräteschutz oder Schulungen. Sie ist ein Baustein. Fehlen aktuelle Geräte, sichere E-Mail-Konfigurationen oder klare Prozesse für Austritte, bleibt das Sicherheitsniveau lückenhaft.
MFA einführen, ohne den Betrieb zu bremsen
Der häufigste Einwand lautet: „Das ist für unsere Mitarbeitenden zu umständlich.“ Das Risiko besteht, wenn die Einführung unvorbereitet erfolgt. Mit einer sauberen Planung ist MFA im Arbeitsalltag meist nur bei neuen Geräten, Browsern oder auffälligen Anmeldungen spürbar.
Am Anfang steht eine Bestandsaufnahme. Welche Anwendungen gibt es, welche Konten sind extern erreichbar und wer hat administrative Rechte? Dabei sollten auch alte Dienstleisterkonten, private Weiterleitungen, Servicekonten und nicht mehr genutzte Lizenzen geprüft werden. Diese Punkte fallen in vielen Unternehmen erst auf, wenn ein Vorfall oder ein Mitarbeiterwechsel sie sichtbar macht.
Danach wird ein verbindlicher Standard festgelegt: Welche Methode ist für Mitarbeitende vorgesehen? Welche strengere Methode gilt für Administratoren? Was passiert bei einem verlorenen Smartphone? Wer darf eine neue Authentifizierungsmethode registrieren? Diese Fragen gehören in einen dokumentierten Prozess, nicht in spontane Einzelentscheidungen.
Eine gestaffelte Einführung reduziert Reibung. Zuerst werden Administratoren und besonders kritische Konten abgesichert. Danach folgt eine Pilotgruppe, beispielsweise Office-Management, Buchhaltung und Teamleitungen. Erst wenn Rückfragen, Gerätewechsel und Wiederherstellungsabläufe funktionieren, wird MFA für alle ausgerollt. Eine kurze, verständliche Anleitung verhindert viele Supportfälle.
Conditional Access: MFA gezielt und nachvollziehbar steuern
In Microsoft 365 und Entra ID lässt sich MFA mit Zugriffsregeln kombinieren. Solche Regeln können verlangen, dass ein Gerät verwaltet und aktuell ist, wenn auf sensible Daten zugegriffen wird. Sie können Anmeldungen aus ungewöhnlichen Ländern blockieren oder für Administratoren immer eine stärkere Anmeldung fordern.
Das ist sinnvoll, aber kein Bereich für Einstellungen nach Bauchgefühl. Eine zu weit gefasste Regel kann Mitarbeitende von wichtigen Anwendungen ausschließen. Eine zu großzügige Ausnahme kann den Schutz wieder aushebeln. Vor jeder Aktivierung sollten Testkonten eingerichtet und die Auswirkungen auf Outlook, Mobilgeräte, Drittanbieter-Apps und externe Dienstleister geprüft werden.
Besondere Aufmerksamkeit brauchen Notfallzugänge. Wenn ein Fehler in den Regeln alle Administratoren aussperrt, muss ein streng geschütztes, dokumentiertes Notfallkonto vorhanden sein. Es wird nicht im Alltag verwendet, regelmäßig kontrolliert und mit einer besonders sicheren Anmeldemethode abgesichert. Das wirkt zunächst aufwendig, verhindert im Ernstfall jedoch einen längeren Stillstand.
Typische Fehler bei der Umsetzung
Ein verbreiteter Fehler ist MFA nur für einzelne Führungskräfte zu aktivieren. Angreifer wählen dann einfach ein weniger geschütztes Konto und arbeiten sich weiter vor. Ebenso problematisch sind dauerhafte Ausnahmen für ältere Anwendungen, weil diese „sonst nicht funktionieren“. Hier muss geprüft werden, ob die Anwendung modernisiert, anders angebunden oder ersetzt werden sollte.
Auch die Kommunikation wird oft unterschätzt. Wenn Mitarbeitende nicht wissen, warum plötzlich eine Freigabe auf dem Smartphone erscheint, bestätigen sie Anfragen möglicherweise aus Unsicherheit oder Gewohnheit. Erklären Sie deshalb klar: Eine unerwartete MFA-Abfrage wird abgelehnt und sofort gemeldet. Niemand aus der IT sollte telefonisch oder per E-Mail zur Bestätigung einer fremden Anmeldung auffordern.
Schließlich darf MFA nicht vom privaten Smartphone einzelner Mitarbeitender abhängen, ohne eine Alternative vorzusehen. Ein Sicherheitsschlüssel oder ein klarer Prozess für Dienstgeräte kann für bestimmte Rollen sinnvoller sein. Datenschutz, Betriebsvereinbarungen und die tatsächliche Arbeitsweise des Teams gehören in die Entscheidung.
MFA ist dann richtig eingeführt, wenn sie nicht nur aktiviert ist, sondern zu Ihren Konten, Geräten und Arbeitsabläufen passt. Wer die Einführung strukturiert plant, schützt kritische Zugänge und hält zugleich den Aufwand für Mitarbeitende überschaubar. So bleibt Ihre IT handlungsfähig – und Sie können sich darauf konzentrieren, Ihr Unternehmen zu führen.
