Was ist Phishing-resistente MFA?

Phishing-resistente MFA bezeichnet Multi-Faktor-Authentifizierungsverfahren, die auch dann sicher bleiben, wenn ein Angreifer die Kommunikation in Echtzeit abfängt. Im Gegensatz zu SMS-Codes, App-Codes oder einfachen Push-Bestätigungen lässt sich der zweite Faktor bei phishing-resistenter MFA technisch nicht auf eine gefälschte Anmeldeseite umleiten. Möglich wird das durch kryptografische Verfahren wie FIDO2, bei denen der Sicherheitsschlüssel untrennbar an die echte Domain des jeweiligen Dienstes gebunden ist. Für Unternehmen mit sensiblen Daten und hohen Compliance-Anforderungen gewinnt dieser Schutz zunehmend an Bedeutung.

Phishing-resistente MFA: Das Wichtigste in Kürze

• Phishing-resistente MFA schützt vor Echtzeit-Phishing und Adversary-in-the-Middle-Angriffen (AiTM), da Zugangsdaten technisch nicht auf gefälschte Seiten übertragbar sind.
• Sie basiert meist auf dem FIDO2-Standard oder PKI-Zertifikaten und nutzt sogenanntes Origin Binding: Der Schlüssel funktioniert nur auf der echten Domain.
• Klassische MFA-Verfahren wie SMS-OTP oder App-Codes gelten laut BSI und CISA nicht mehr als ausreichend sicher.
• Phishing-resistente MFA ist ein wichtiger Baustein für die NIS2-Konformität und den Schutz sensibler Unternehmensdaten.
• In Kombination mit Single Sign-On und passwortloser Authentifizierung sorgt sie zugleich für schnellere Anmeldung und weniger Helpdesk-Tickets.

Wie funktioniert phishing-resistente MFA?

Bei der Registrierung erzeugt der FIDO2-Authenticator pro Onlinedienst ein eigenes kryptografisches Schlüsselpaar. Der private Schlüssel verbleibt gesichert auf dem Endgerät oder Hardware-Token und kann diesen technisch nicht verlassen; der öffentliche Schlüssel wird beim jeweiligen Dienst hinterlegt. Entscheidend ist, dass der private Schlüssel untrennbar an die tatsächliche URL des Dienstes gebunden ist – ein Prinzip, das als Origin Binding bezeichnet wird.

Landet ein Nutzer auf einer gefälschten Anmeldeseite mit abweichender Domain, verweigert der Authenticator schlicht die Authentifizierung, unabhängig davon, wie überzeugend die Phishing-Seite gestaltet ist. Ein Abgreifen oder Weiterleiten der Zugangsdaten durch Angreifer wird dadurch technisch ausgeschlossen. Zu den gängigen Faktoren zählen Hardware-Sicherheitsschlüssel, biometrische Merkmale wie Fingerabdruck oder Face ID sowie Passkeys, die dasselbe kryptografische Prinzip nutzen, den Schlüssel jedoch auf dem Endgerät statt auf separater Hardware speichern.

Warum klassische MFA-Verfahren nicht mehr ausreichen

SMS-Codes, TOTP-Apps und einfache Push-Benachrichtigungen gelten heute als angreifbar. Bei sogenannten Adversary-in-the-Middle-Angriffen (AiTM) schaltet sich ein Angreifer über eine Phishing-Proxy-Seite zwischen Nutzer und echten Dienst und leitet Zugangsdaten sowie Einmalcodes in Echtzeit weiter. Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) stuft klassische Einmalcode-Verfahren inzwischen als unzureichenden Schutz für Konten mit erhöhtem Schutzbedarf ein und empfiehlt ausdrücklich den Umstieg auf phishing-resistente Verfahren.

Für Unternehmen mit vielen Mitarbeitenden, häufigem Systemwechsel oder verteilten Standorten ist das ein relevanter Aspekt: Angreifer setzen zunehmend auf automatisierte, täuschend echte Phishing-Seiten, die im Arbeitsalltag leicht übersehen werden. Ein technisch erzwungener Schutz, der nicht von der Aufmerksamkeit der einzelnen Person abhängt, reduziert dieses Risiko erheblich.

Vorteile der phishing-resistenten MFA

• Zuverlässiger Schutz vor Echtzeit-Phishing und AiTM-Angriffen, da Zugangsdaten technisch nicht auf gefälschte Seiten übertragbar sind
• Schnellere Anmeldung durch Single Sign-On oder biometrische Verfahren statt mehrfacher Passworteingabe
• Deutlich weniger Passwort-Tickets und geringere Helpdesk-Belastung für die IT-Abteilung
• Hohe Benutzerfreundlichkeit für Mitarbeitende in unterschiedlichen Abteilungen und Rollen
• Wichtiger Baustein für die NIS2-Konformität, da Aufsichtsbehörden zunehmend robuste Authentifizierungsverfahren für kritische und wichtige Einrichtungen erwarten
• Zukunftssichere Integration in bestehende IT-Landschaften wie Citrix, VMware, Windows, macOS, Thin Clients sowie Android und iOS

Phishing-resistente MFA in bestehende IT-Landschaften integrieren

Für Unternehmen ist entscheidend, dass Sicherheit nicht zulasten der Arbeitsgeschwindigkeit geht. Enterprise Access Management-Lösungen wie Imprivata MFA verbinden phishing-resistente Faktoren daher mit Single Sign-On und nahtloser Anbindung an bestehende Fachanwendungen, VDI-Umgebungen und mobile Endgeräte. So lässt sich ein starker, phishing-resistenter Faktor einführen, ohne dass Mitarbeitende an jeder Workstation erneut komplexe Anmeldevorgänge durchlaufen müssen.

Phishing-resistente MFA macht Anmeldedaten für Angreifer damit praktisch wertlos, da der kryptografische Schlüssel untrennbar an die echte Domain gebunden ist. Für Unternehmen bedeutet das mehr Sicherheit für sensible Daten, eine spürbare Entlastung des Helpdesks und einen wichtigen Schritt in Richtung NIS2-Konformität – bei gleichzeitig schnellerer, komfortablerer Anmeldung im Arbeitsalltag.