Jeden Tag registrieren die Systeme von Microsoft über 1.000 Angriffe auf Passwörter pro Sekunde. Die meisten dieser Angriffe sind erfolgreich – nicht weil die Passwörter zu kurz sind, sondern weil die betroffenen Konten keine zweite Verifizierungsebene haben. Die Zahlen sprechen für sich: Mehr als 99,9 % der kompromittierten Konten hatten keine aktive MFA.

Dabei ist MFA in vielen Softwarelizenzen bereits enthalten, die KMU monatlich bezahlen. In vielen Fällen entstehen keine zusätzlichen Kosten — man muss sie nur aktivieren.

Was ist MFA und wie funktioniert sie in der Praxis?

MFA steht für Multi-Factor Authentication, also Mehrfaktor-Authentifizierung. Das bedeutet: Um auf ein System zuzugreifen, reichen Benutzername und Passwort allein nicht mehr aus — es braucht eine zweite Bestätigung.

Diese zweite Bestätigung kann sein:

  • ein temporärer Code, der von einer App auf dem Telefon generiert wird (z. B. Microsoft Authenticator, Google Authenticator);
  • eine Push-Benachrichtigung, die mit einem Tap bestätigt wird;
  • ein physischer Hardware-Schlüssel (USB-Token, FIDO2-Standard);
  • ein biometrisches Merkmal wie Fingerabdruck oder Gesichtserkennung.

Das Prinzip ist einfach: Selbst wenn ein Angreifer Ihr Passwort stiehlt — durch Phishing, eine kompromittierte Datenbank oder Malware — kann er trotzdem nicht auf das Konto zugreifen, weil ihm der zweite Faktor fehlt.

Wie wirksam ist MFA wirklich?

MFA ist sehr wirksam gegen automatisierte Angriffe. Diese Art von Angriff — Credential Stuffing oder Brute Force genannt — funktioniert, indem Tausende gestohlener Anmeldedaten bei verschiedenen Diensten ausprobiert werden. Mit aktiver MFA scheitern diese Angriffe fast immer am ersten Hindernis.

Auch gegen Phishing, bei dem ein Nutzer dazu gebracht wird, seine Zugangsdaten auf einer gefälschten Seite einzugeben, reduziert MFA das Risiko drastisch: Der von der App generierte temporäre Code läuft nach 30 Sekunden ab und kann nicht wiederverwendet werden.

Ein gestohlenes Passwort ohne zweiten Faktor ist eine offene Tür. Mit MFA wird dasselbe gestohlene Passwort für den Angreifer nahezu wertlos.

MFA ist kein unfehlbares Mittel — ausgefeilte Angriffe wie Real-Time-Phishing oder SIM-Swapping können sie in manchen Fällen umgehen — aber sie eliminiert die große Mehrheit der konkreten Risiken, die KMU täglich betreffen.

Die tatsächlichen Kosten: wenige Euro pro Monat, oder null

Das ist der Punkt, der Unternehmensinhaber oft überrascht: MFA ist in den meisten Fällen kein zusätzlicher Kostenpunkt.

  • Microsoft 365 Business Premium enthält bereits Azure AD mit konfigurierbarer MFA für alle Nutzer.
  • Google Workspace hat die Zwei-Faktor-Authentifizierung integriert und kann vom Administrator mit wenigen Klicks aktiviert werden.
  • Für VPN-Zugänge oder ältere Verwaltungsanwendungen kosten dedizierte Lösungen wie WatchGuard AuthPoint etwa 3–5 Euro pro Nutzer und Monat.

Kalkulieren Sie auch die Kosten der Alternative. Die durchschnittlichen Kosten einer Datenpanne für ein kleines oder mittleres Unternehmen in Südtirol und Italien übersteigen 50.000 Euro — ohne Reputationsschäden, Betriebsunterbrechungen und mögliche Bußgelder.

Mit 10 Mitarbeitern und einer Lösung für 5 Euro/Nutzer/Monat gibt man 600 Euro pro Jahr aus. Ein Vergleich, der für sich selbst spricht.

NIS2: Ab 2026 ist es in vielen Fällen Pflicht

Das Gesetzesdekret D.Lgs. 138/2024 setzt in Italien die europäische NIS2-Richtlinie um. Diese Regelung verpflichtet die betroffenen Organisationen, risikoangemessene Sicherheitsmaßnahmen zu ergreifen. Die Nationale Agentur für Cybersicherheit (ACN) nennt MFA ausdrücklich als grundlegende Anforderung für den Schutz von Zugängen — insbesondere solcher mit erhöhten Berechtigungen.

Die Fristen sind gestaffelt, aber die vollständige Umsetzung der Maßnahmen ist bis Oktober 2026 vorgesehen. Die Sanktionen für Nichtbefolgung können bis zu folgenden Beträgen reichen:

  • 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes für als wesentlich eingestufte Einrichtungen;
  • 7 Millionen Euro oder 1,4 % des Umsatzes für wichtige Einrichtungen.

Das konkrete Problem: Viele KMU in Italien — und auch in Südtirol — wissen noch nicht, dass sie in den Anwendungsbereich von NIS2 fallen. Wenn Ihr Unternehmen in Bereichen wie Energie, Transport, Gesundheit, digitale Infrastruktur oder öffentliche Verwaltung tätig ist oder Dienstleistungen für Unternehmen in diesen Sektoren erbringt, sind Sie wahrscheinlich betroffen. Es lohnt sich, das zu prüfen — bevor eine Benachrichtigung von der ACN eintrifft.

Die Lücke bei der MFA-Einführung in italienischen KMU

Die Zahlen zur MFA-Nutzung in italienischen Unternehmen sind beunruhigend. Bei mittelgroßen Unternehmen mit 26 bis 100 Mitarbeitern liegt die MFA-Nutzungsrate bei rund 34 %. Bei kleineren Betrieben mit bis zu 25 Mitarbeitern sinkt sie auf 27 %.

Große Unternehmen mit über 10.000 Mitarbeitern erreichen dagegen 87 % Nutzungsrate. Der Unterschied ist enorm — und in Italien wiegt er schwerer als anderswo: Über 99 % des italienischen Unternehmensgewebes besteht aus KMU.

Das bedeutet: Die Mehrheit der italienischen Betriebe ist heute Risiken ausgesetzt, die sich mit einer Konfiguration, die weniger als eine Stunde technische Arbeit erfordert, deutlich reduzieren ließen.

Wie man anfängt: eine praktische Anleitung für KMU

Es braucht kein monatelanges Projekt. Hier ein konkreter Weg in drei Schritten:

  1. Aktivieren Sie MFA in den Tools, die Sie bereits nutzen. Wenn Sie Microsoft 365 oder Google Workspace haben, ist MFA bereits verfügbar. Der Administrator kann sie für alle Nutzer über das Verwaltungspanel aktivieren und als Pflicht festlegen. Das ist der erste Schritt — mit dem günstigsten Verhältnis von Kosten zu Aufwand.
  2. Schützen Sie zuerst die kritischen Zugänge. Geschäftliche E-Mail, VPN, Verwaltungssoftware, Online-Banking, Website-Administrationspanels: Das sind die am häufigsten genutzten Einstiegspunkte. Beginnen Sie hier.
  3. Nutzen Sie Authenticator-Apps, nicht nur SMS. Ein Code per SMS ist besser als nichts, aber anfällig für SIM-Swapping-Angriffe. Eine App wie Microsoft Authenticator oder Google Authenticator ist sicherer und genauso einfach zu verwenden.

Für Konten mit erhöhten Berechtigungen — IT-Administratoren, Führungskräfte, Personen mit Zugang zu Buchhaltungssystemen — empfiehlt sich der Einsatz eines FIDO2-Hardware-Schlüssels (ein USB- oder NFC-Gerät für 30–50 Euro). Im Jahr 2026 ist das die robusteste Authentifizierungsform, die für den täglichen Unternehmenseinsatz verfügbar ist.

Ein Hinweis zur Schulung

MFA funktioniert nur dann, wenn die Nutzer verstehen, warum es sie gibt. Es kann passieren, dass ein Mitarbeiter unachtsam eine Push-Benachrichtigung bestätigt, obwohl er sich gerade gar nicht anmeldet — das nennt sich MFA Fatigue und ist eine Technik, die Angreifer gezielt einsetzen. Ein paar Minuten Erklärung für das Team reichen, um dieses Risiko zu reduzieren: „Wenn Sie eine Zugriffsbenachrichtigung erhalten, die Sie nicht angefordert haben, ablehnen und sofort den IT-Verantwortlichen informieren."

Zusammenfassung

MFA ist nicht die Lösung für alles. Sie schützt nicht davor, dass ein Mitarbeiter auf einen schädlichen Anhang klickt, ersetzt keine Backups und ersetzt keine Sicherheitsrichtlinien. Aber sie ist die Maßnahme mit dem heute höchsten Kosten-Nutzen-Verhältnis für ein KMU.

Sie kostet wenig oder nichts, lässt sich schnell einrichten, reduziert das Risiko der häufigsten Angriffe erheblich und ist — ab 2026 — eine gesetzliche Anforderung für einen wachsenden Teil der italienischen Unternehmen.

Wenn Sie MFA noch nicht aktiviert haben, beginnen Sie diese Woche. Für den ersten Schritt brauchen Sie keinen Berater: Öffnen Sie das Verwaltungspanel Ihres Microsoft 365 oder Google Workspace und suchen Sie nach „Multi-Faktor-Authentifizierung". Zwischen Ihnen und einem deutlich höheren Sicherheitsniveau liegen weniger als 10 Klicks.