MFA einführen: der Praxis-Guide für Unternehmen
MFA im Unternehmen einführen: warum Passwörter allein nicht mehr reichen, welche Methode am sichersten ist und der Rollout in 5 Schritten mit Microsoft Entra ID.
- Multi-Faktor-Authentifizierung (MFA) ergänzt das Passwort um einen zweiten Faktor und blockiert laut Microsoft über 99 Prozent der automatisierten Angriffe auf Konten.
- Nicht jede MFA-Methode ist gleich sicher: Authenticator-Apps und Passkeys schlagen SMS-Codes deutlich.
- Im Microsoft-Umfeld wird MFA über Entra ID und Conditional Access ausgerollt und situationsabhängig erzwungen.
- Wichtig sind ein Break-Glass-Konto für den Notfall und klare Ausnahmen, damit sich niemand aussperrt.
- Die größte Hürde ist selten die Technik, sondern die Akzeptanz – gute Kommunikation entscheidet über den Erfolg.
Ein gestohlenes Passwort ist im Jahr 2026 keine Frage des Ob, sondern des Wann. Milliarden Zugangsdaten kursieren aus Datenlecks, und automatisierte Angriffe probieren sie im Sekundentakt durch. Die einzige wirklich wirksame Antwort darauf ist Multi-Faktor-Authentifizierung (MFA): Selbst ein korrektes Passwort nützt dem Angreifer nichts, wenn ihm der zweite Faktor fehlt. Dieser Leitfaden zeigt, warum MFA heute unverzichtbar ist, welche MFA-Lösung Sie wählen sollten und wie Sie MFA in fünf Schritten mit Microsoft Entra ID zum Sicherheitsstandard in Ihrem Unternehmen machen. Was MFA grundsätzlich ist, erklärt der Wissens-Eintrag zur Multi-Faktor-Authentifizierung – hier geht es um die Einführung.
Warum das Passwort allein fahrlässig ist
Die Zahl ist eindeutig: Laut Microsoft blockiert MFA über 99 Prozent der automatisierten Angriffe auf Konten. Anders gesagt: Wer heute nur mit Passwort arbeitet, lässt die mit Abstand größte Sicherheitslücke offen, obwohl die Lösung seit Jahren verfügbar und meist kostenlos ist.
Der Grund ist einfach: MFA kombiniert etwas, das man weiß (das Passwort), mit etwas, das man besitzt (das Smartphone) oder ist (ein biometrisches Merkmal). Ein Angreifer, der nur das Passwort hat, scheitert am zweiten Faktor.
Nicht jede Methode ist gleich sicher
MFA ist nicht gleich MFA. Die Methoden unterscheiden sich deutlich im Schutzniveau:
- Passkeys und biometrische Verfahren: das Ziel. Nicht abfangbar, nicht abphishbar, freigegeben per Fingerabdruck oder Gesicht – mehr dazu im Wissens-Eintrag zu Passkey.
- Authenticator-App mit Nummernabgleich: der sichere Standard für die meisten Unternehmen, etwa über den kostenlosen Microsoft Authenticator.
- Hardware-Token (FIDO2-Sicherheitsschlüssel): sehr sicher, etwas aufwendiger im Handling – sinnvoll für besonders kritische Konten.
- Push-Benachrichtigung (einfach bestätigen): bequem, aber anfällig für „MFA-Fatigue”-Angriffe.
- SMS-Code: besser als nichts, aber die schwächste Methode – SMS können umgeleitet werden.
Für kleine und mittlere Unternehmen (KMU) ist MFA der größte einzelne Sprung in der Cybersicherheit: Ein Angreifer, der auf ein Benutzerkonto zugreifen will, scheitert am zweiten Faktor, selbst wenn er das Passwort bereits kennt.
Die Empfehlung für den Mittelstand: Authenticator-App als Standard einführen, Passkeys als nächsten Schritt planen, SMS nur als Notlösung zulassen.
MFA ausrollen: 5 Schritte mit Entra ID
Im Microsoft-Umfeld läuft der Rollout über Microsoft Entra ID (früher Azure AD) und dessen Steuerungswerkzeug Conditional Access.
- Bestand und Ziel klären. Welche Konten gibt es, welche sind besonders kritisch (Admins zuerst)? Microsoft verlangt MFA für administrative Zugänge inzwischen ohnehin verpflichtend.
- Methode festlegen. Die Authenticator-App als Standard definieren und den Nutzern die Einrichtung erklären.
- Conditional Access konfigurieren. Über Conditional Access wird MFA situationsabhängig erzwungen – etwa immer bei Zugriff von außerhalb des Firmennetzes oder auf sensible Anwendungen.
- Break-Glass-Konto und Ausnahmen einrichten. Ein Notfall-Administratorkonto, das nicht ausgesperrt werden kann, plus klar definierte Ausnahmen – damit ein Fehler nicht das ganze Unternehmen lahmlegt.
- Gestaffelt ausrollen. Erst eine Pilotgruppe, dann wellenweise der Rest – begleitet von Kommunikation, nicht als Überraschung.
Welche Microsoft-365-Anwendungen moderne Authentifizierung unterstützen, führt Microsoft in einer Übersicht der Client-Unterstützung auf — hilfreich, wenn ältere Programme im Einsatz sind.
Technik, Standards und Voraussetzungen
Hinter MFA stehen etablierte Standards. Die meisten Authenticator-Apps – neben dem Microsoft Authenticator etwa auch der Google Authenticator – erzeugen zeitbasierte Einmalpasswörter (TOTP): sechsstellige Codes, die alle 30 Sekunden wechseln. Andere Verfahren nutzen Push-Benachrichtigungen oder biometrische Daten wie den Fingerabdruck. Gemeinsam ist ihnen das Prinzip: mehrere Faktoren statt nur ein Passwort, was für mehr Sicherheit beim Login sorgt und Unbefugte aussperrt.
Im Microsoft-Umfeld ist die mehrstufige Authentifizierung (so der deutsche Begriff) in Microsoft 365 bereits enthalten; die erweiterte Steuerung über Conditional Access setzt Entra ID P1 oder P2 voraus. Das BSI empfiehlt MFA ausdrücklich als Stand der Technik, und das NIS-2-Umsetzungsgesetz macht die mehrstufige Authentifizierung faktisch zur Pflicht. Ein durchdachter Rollout in Microsoft 365 umfasst deshalb eine Pilotphase und eine Mitarbeiterschulung – denn die beste Technik nützt wenig, wenn die Nutzer sie nicht verstehen. So schützt die Multi-Faktor-Authentifizierung Unternehmensdaten und sensible Finanzdaten selbst dann, wenn Cyberkriminelle bereits ein Passwort erbeutet haben.
Akzeptanz: die eigentliche Hürde
Technisch ist MFA schnell aktiviert. Die eigentliche Herausforderung ist die Belegschaft. Ein zusätzlicher Schritt bei jeder Anmeldung stößt zunächst auf Widerstand – bis klar wird, dass er nach kurzer Zeit zur Routine wird und im Hintergrund viel Ärger verhindert. Gute Kommunikation macht den Unterschied: Erklären Sie das Warum, bieten Sie Hilfe bei der Einrichtung an und starten Sie mit Freiwilligen. Passkeys können die Akzeptanz zusätzlich steigern, weil sie die Anmeldung sogar bequemer machen als das Passwort.
Fazit: die wirksamste Maßnahme mit dem kleinsten Aufwand
Als zentraler Baustein der Identity-Sicherheit ist MFA heute Stand der Technik: ein vertrauenswürdiges Sicherheitsverfahren, das den Zugang zu Cloud-Diensten und zum lokalen Active Directory gleichermaßen absichert und Phishing-Mails einen Großteil ihrer Wirkung nimmt. Kaum eine Sicherheitsmaßnahme hat ein besseres Verhältnis von Aufwand zu Wirkung als MFA. Sie ist in Microsoft 365 bereits enthalten, in wenigen Wochen ausgerollt und verhindert die überwältigende Mehrheit aller Kontoübernahmen. Entscheidend ist ein sauberer Rollout: mit der richtigen Methode, Conditional Access, einem Break-Glass-Konto und guter Kommunikation. Wie kjello Identität und Zugänge zentral verwaltet – von MFA über Single Sign-on bis zum Konten-Lebenszyklus – zeigt das Portal, eingebettet in Sicherheit & Compliance.
Geschrieben von
Jens Hagel
Gründer & Geschäftsführer
Jens Hagel gründete 2004 das Systemhaus hinter kjello und betreut mit seinem Team über 150 mittelständische Unternehmen. Er schreibt über das, was er in echten Firmen erlebt – praxisnah, ehrlich und ohne Fachchinesisch.
Häufige Fragen
Welche MFA-Methode ist die sicherste?
Ist MFA im Unternehmen Pflicht?
Was passiert, wenn ein Mitarbeiter sein Handy verliert?
Was kostet die Einführung von MFA?
Identität & Zugänge zentral absichern
kjello richtet MFA und Conditional Access sauber ein – inklusive Break-Glass-Konto und Ausnahmen. Damit gestohlene Passwörter wertlos werden.
