MFA (Multi-Factor Authentication)
Pflicht-Schutz für alle privilegierten Zugänge
TL;DR
MFA ist die Authentifizierung mit mindestens 2 von 3 Faktoren (Wissen, Besitz, Sein). § 30 Abs. 2 Nr. 10 BSIG verlangt MFA für privilegierte Zugänge — und realistisch alle Zugänge.
Was ist MFA (Multi-Factor Authentication)?
MFA-Methoden 2026:
- Phishing-resistent: FIDO2/WebAuthn (Hardware-Keys, Passkeys) — Goldstandard
- Stark: Authenticator-App (TOTP, Push)
- Schwach (vermeiden): SMS-OTP — Phishing-anfällig
NIST SP 800-63B verlangt für hohe Sicherheitsstufen NUR FIDO2.
Rechtsgrundlage in Deutschland und Österreich
MFA ist in beiden Rechtsräumen eine gesetzlich vorgeschriebene NIS2-Risikomanagementmaßnahme. Die Anforderung ist wortgleich, nur Fundstelle und Aufsichtsbehörde unterscheiden sich:
- Deutschland: § 30 Abs. 2 Nr. 10 BSIG verlangt die „Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung". Aufsicht: Bundesamt für Sicherheit in der Informationstechnik (BSI). (§ 30 Abs. 2 Nr. 8 BSIG betrifft dagegen kryptographische Verfahren, nicht MFA.)
- Österreich: § 32 Abs. 4 lit. j NISG 2026 (BGBl. I Nr. 94/2025) enthält dieselbe Anforderung. Aufsicht: Cybersicherheitsbehörde.
Praxisbeispiel
KMU 80 MA: 100% MFA via Microsoft Authenticator. Privilegierte Konten zusätzlich YubiKey FIDO2. Außerhalb-MFA-Sessions geblockt durch Conditional Access.
Häufig gestellte Fragen
SMS-MFA OK?
Schwach. NIST + BSI raten ab — Phishing + SIM-Swap-Anfällig. Authenticator-App oder FIDO2.
Was kostet?
Authenticator-App kostenlos. FIDO2-Keys 25-60 EUR/Stück. Conditional Access: in Microsoft 365 E5 enthalten.
Siehe auch
Praxis-Hinweis: Dieser Artikel ist praxisorientierte Compliance-Dokumentation, keine Rechtsberatung. Wir sind Compliance-Spezialist, keine Anwaltskanzlei. Für rechtsverbindliche Auskünfte konsultieren Sie eine zugelassene Rechtsanwältin oder einen Rechtsanwalt.