Warum ist MFA der wirksamste Einzelhebel für Microsoft 365?

Wenn Sie in Microsoft 365 nur eine Sache verbessern können, dann ist es die Anmeldung. Ein gestohlenes Passwort reicht Angreifern oft aus, um an Postfächer, Dateien und Teams zu kommen. Mit Multifaktor-Authentifizierung (MFA) nützt ihnen das Passwort allein nichts mehr.

Warum ist ein sicherer Login so wichtig?

Die meisten Angriffe auf Microsoft 365 beginnen nicht mit technischen Lücken, sondern mit Zugangsdaten. Sie stammen aus Phishing, aus Datenleaks oder aus Passwörtern, die an mehreren Stellen verwendet werden. Angreifer probieren sie automatisiert durch. Ein Passwort allein ist dagegen kaum zu schützen, egal wie komplex es ist.

Mit einem zweiten Faktor ändert sich die Lage. Wer das Passwort kennt, kommt trotzdem nicht hinein. Nach Angaben von Microsoft verhindert MFA über 99 Prozent der Angriffe auf Konten, die auf gestohlenen Passwörtern beruhen. Kaum eine andere Einzelmaßnahme hat ein so gutes Verhältnis von Aufwand und Wirkung.

Nicht jede MFA ist gleich stark

Der zweite Faktor hat unterschiedliche Qualität. SMS Codes sind besser als nichts, lassen sich aber abfangen oder umleiten. Eine Authenticator App mit Zahlenabgleich ist deutlich robuster. Am stärksten sind phishingresistente Verfahren wie FIDO2 Sicherheitsschlüssel oder Passkeys, weil sie sich nicht auf einer gefälschten Anmeldeseite eingeben lassen.

Ein bekanntes Muster ist die Ermüdungsattacke: Angreifer lösen so lange Anmeldeanfragen aus, bis jemand genervt bestätigt. Der Zahlenabgleich in der App schützt davor, weil die Person die angezeigte Zahl eingeben muss.

Wo MFA oft Lücken lässt

MFA nützt wenig, wenn sie nur teilweise gilt. Typische Schwachstellen sind Administratorkonten ohne zweiten Faktor, Ausnahmen für einzelne Personen, die nie wieder aufgehoben wurden, und ältere Anmeldeverfahren, die MFA gar nicht unterstützen. Dazu kommen Servicekonten, die niemand auf dem Schirm hat.

Planen Sie außerdem Notfallkonten ein. Zwei Administratorkonten mit sehr langen Passwörtern, getrennt aufbewahrt und von den Regeln ausgenommen, verhindern, dass Sie sich bei einer Fehlkonfiguration selbst aussperren. Diese Konten werden überwacht und selten genutzt.

Was Mitarbeitende davon merken

Die häufigste Sorge ist der Mehraufwand im Alltag. Er ist kleiner, als viele erwarten. Auf bekannten Geräten und im Firmennetz fragt Microsoft nicht bei jeder Anmeldung neu nach, sondern nur bei auffälligen Situationen, etwa einem neuen Gerät oder einem ungewöhnlichen Standort. Wichtig ist, dass der Weg zur Registrierung einfach ist und es eine Ansprechperson gibt, wenn ein Handy gewechselt wird. Dann bleibt MFA ein kurzer Handgriff und wird nicht zum Dauerthema.

So gehen Sie es an

Beginnen Sie mit den Administratorkonten, denn dort ist das Risiko am größten. Danach folgen alle Mitarbeitenden. Wählen Sie als Standard die Authenticator App mit Zahlenabgleich und schaffen Sie unsichere Rückfallwege ab. Sperren Sie alte Anmeldeverfahren, die MFA umgehen. Informieren Sie Ihr Team vorab, denn die meisten Rückfragen entstehen durch Überraschung, nicht durch die Technik.

Wer kein Lizenzpaket mit gesteuerten Zugriffsregeln hat, kann die in Microsoft 365 enthaltenen Sicherheitsstandards nutzen. Sie aktivieren MFA grundlegend und ohne Zusatzkosten.