Was ist Multi-Faktor-Authentifizierung (MFA / Multifactor Authentication)?
Multi-Faktor-Authentifizierung (MFA), auch Multifaktor-Authentifizierung oder im Englischen Multifactor Authentication genannt, ist ein Sicherheitsverfahren, das die Identität eines Benutzers durch mindestens zwei unabhängige Nachweise verifiziert. Anders als bei der einfachen Passwort-Authentifizierung reicht ein einzelner Faktor nicht aus, um Zugang zu erhalten – selbst wenn ein Angreifer das Passwort kennt, scheitert er ohne den zweiten Faktor.
MFA ist heute ein zentrales Element jeder modernen IT-Sicherheitsstrategie und Grundvoraussetzung für die Einhaltung regulatorischer Anforderungen wie NIS2 oder DSGVO. Im Rahmen eines umfassenden Identity Access Management (IAM) bildet MFA die erste Verteidigungslinie gegen unbefugten Zugriff – von der Unternehmens-IT bis hin zu kritischen Systemen im Gesundheitswesen.
Die drei Authentifizierungsfaktoren
MFA kombiniert Faktoren aus mindestens zwei der folgenden drei Kategorien:
- Wissen (Knowledge): Etwas, das nur der Benutzer kennt – klassischerweise ein Passwort, eine PIN oder die Antwort auf eine Sicherheitsfrage. Dieser Faktor allein ist am anfälligsten, da Passwörter gestohlen, erraten oder im Dark Web gehandelt werden können.
- Besitz (Possession): Etwas, das der Benutzer physisch besitzt – ein Smartphone mit Authentifizierungs-App, ein Hardware-Token, eine Smartcard oder Proximity Badges. Dieser Faktor erhöht die Sicherheit erheblich, da ein Angreifer das Gerät physisch besitzen müsste.
- Inhärenz (Inherence): Etwas, das der Benutzer ist – biometrische Merkmale wie Fingerabdruck, Gesichtserkennung, Iris-Scan oder Handvenenmuster. Diese Faktoren sind besonders sicher, da sie schwer zu fälschen und nicht übertragbar sind.
Hinzu kommt in modernen Systemen ein vierter Faktor: Kontext (Context) – also standort-, geräte- oder verhaltensbasierte Informationen, die in der risikobasierten Authentifizierung genutzt werden, um den Authentifizierungsbedarf dynamisch anzupassen.
MFA-Methoden im Überblick
TOTP – Time-based One-Time Password
TOTP (Time-based One-Time Password) ist eine der verbreitetsten MFA-Methoden. Eine Authentifizierungs-App – wie Google Authenticator, Microsoft Authenticator oder ähnliche – generiert alle 30 Sekunden einen neuen, sechsstelligen Einmalcode. Dieser Code ist nur in diesem kurzen Zeitfenster gültig und kann daher nicht wiederverwendet werden. TOTP funktioniert auch offline und ist breit unterstützt, hat aber den Nachteil, dass bei einem gezielten Echtzeit-Phishing-Angriff der Code abgefangen und sofort missbraucht werden kann.
Push-Benachrichtigung
Bei der Push-MFA erhält der Benutzer nach der Passworteingabe eine Benachrichtigung auf seinem Smartphone, die er mit einem Tipp bestätigt oder ablehnt. Dies ist einfach zu bedienen, kann aber anfällig für sogenannte MFA-Fatigue-Angriffe sein, bei denen Angreifer den Nutzer mit Anfragen überfluten, bis er aus Versehen bestätigt.
Hardware-Token und Smartcards
Hardware-Token generieren Einmalcodes ohne Internetverbindung und sind besonders sicher für privilegierte Konten. Smartcards und Ausweisleser kommen häufig in Behörden, Kliniken und anderen regulierten Umgebungen zum Einsatz, da sie auf Public Key Infrastructure (PKI) basieren und kryptografisch nicht imitierbar sind.
Biometrische Authentifizierung
Fingerabdruck, Gesichtserkennung oder Iris-Scan bieten hohe Sicherheit und Benutzerkomfort in einem. Im Gesundheitswesen setzt Imprivata auf biometrische Sicherheit als MFA-Faktor – etwa für den sekundengenauen Zugriff auf Patientendaten an gemeinsam genutzten Workstations.
Tap-and-Go / Proximity-basierte Authentifizierung
Im klinischen Alltag hat sich Tap-and-Go als besonders praktikable MFA-Methode etabliert: Ärzte und Pflegekräfte halten ihre Proximity Badge an einen Leser und erhalten sofort Zugang – ohne Passwort, ohne Verzögerung. Gleichzeitig wird automatisch abgemeldet, wenn sie den Arbeitsplatz verlassen.
Phishing-resistente MFA – Der neue Standard
Nicht alle MFA-Methoden sind gleich sicher. TOTP und Push-Benachrichtigungen können durch ausgefeilte Phishing-Angriffe kompromittiert werden. Die Antwort ist phishing-resistente MFA: Verfahren, bei denen der Authentifizierungsprozess so gestaltet ist, dass er selbst bei einem erfolgreichen Phishing-Angriff nicht missbraucht werden kann.
Die wichtigsten Standards für phishing-resistente MFA:
- FIDO2 / WebAuthn: Basiert auf asymmetrischer Kryptographie – der private Schlüssel verlässt das Gerät nie. Selbst wenn ein Angreifer eine gefälschte Login-Seite betreibt, kann er den Schlüssel nicht extrahieren.
- Zertifikatsbasierte Authentifizierung (PIV/CAC): Nutzt PKI-Zertifikate auf Smartcards oder Hardware-Token. Besonders verbreitet in Behörden und Gesundheitseinrichtungen.
- Passkeys: Der Nachfolger klassischer Passwörter – gerätegebunden, biometrisch geschützt, vollständig phishing-resistent. Eng verwandt mit dem Konzept der passwortlosen Authentifizierung.
Anwendungsfall: MFA im Gesundheitswesen
Im Gesundheitswesen stehen IT-Sicherheit und Benutzerkomfort in einem besonders starken Spannungsverhältnis: Ärzte und Pflegekräfte haben keine Zeit für umständliche Anmeldeprozesse – gleichzeitig sind Patientendaten hochsensibel und unterliegen strengen gesetzlichen Anforderungen.
MFA muss daher im klinischen Kontext drei Anforderungen gleichzeitig erfüllen:
- Schnell: Anmeldung in Sekunden, nicht Minuten – idealerweise per Tap-and-Go oder biometrisch.
- Sicher: Phishing-resistent, NIS2- und DSGVO-konform, mit lückenloser Protokollierung über Audit Trails.
- Kontextsensitiv: Automatisches Abmelden bei Verlassen des Arbeitsplatzes, Conditional Access je nach Gerät, Standort und Risiko.
Ergänzend sichert Single Sign-On (SSO) den nahtlosen Zugang zu mehreren Anwendungen nach einmaliger MFA-Authentifizierung – ohne dass Passwörter zwischen den Systemen erneut eingegeben werden müssen. Identity Threat Detection and Response (ITDR) überwacht dabei fortlaufend, ob Authentifizierungen einem typischen Nutzerverhalten entsprechen.
