Täglich werden weltweit tausende Benutzername-Passwort-Kombinationen gestohlen. Das Problem ist nicht nur, dass Passwörter erraten werden – sie werden gekauft, getauscht, wiederverwendet. Viele Mitarbeiter nutzen dasselbe Passwort für die Unternehmenssoftware und für einen Online-Shop. Wird dieser Shop gehackt, hat der Angreifer die Zugangsdaten fürs Unternehmen gleich mit.

Die Multi-Faktor-Authentifizierung (MFA) durchbricht diese Kette. Selbst wenn der Angreifer Benutzername und Passwort kennt, kommt er ohne den zweiten Faktor nicht rein. Eine einfache, kostengünstige und erstaunlich wirksame Schutzmaßnahme.

Was MFA in der Praxis bedeutet

MFA steht für Multi-Factor Authentication: Authentifizierung mit mehreren Faktoren. Das bedeutet, dass für den Zugang zu einem System nicht nur das Passwort ausreicht, sondern zusätzlich ein weiterer Nachweis erbracht werden muss.

Die Faktoren lassen sich in drei Kategorien einteilen:

  • Etwas, das Sie wissen — das Passwort oder eine PIN.
  • Etwas, das Sie haben — das Telefon, ein Hardware-Token, ein FIDO2-Stick.
  • Etwas, das Sie sind — Fingerabdruck, Gesichtserkennung.

Im Arbeitsalltag eines KMU funktioniert MFA so: Der Mitarbeiter gibt sein Passwort ein, öffnet dann eine App auf dem Smartphone (Google Authenticator, Microsoft Authenticator) und tippt einen sechsstelligen Code ein, der sich alle dreißig Sekunden ändert. Oder er erhält eine Push-Benachrichtigung und bestätigt sie mit einem Tippen.

Das ist keine Science-Fiction. Es ist bereits verfügbar und bereits in die wichtigsten Werkzeuge integriert, die viele Unternehmen täglich nutzen: Microsoft 365, Google Workspace, die gängigen Cloud-ERP-Systeme.

Warum Passwörter allein nicht mehr ausreichen

Der Schwachpunkt ist nicht die Technologie, sondern das menschliche Verhalten. Laut Daten der wichtigsten Branchenbeobachter verwendet ein sehr hoher Anteil der Nutzer dieselben Passwörter für mehrere Dienste. Wenn ein Online-Dienst gehackt wird – was regelmäßig vorkommt – landen diese Zugangsdaten in Listen, die auf dem Schwarzmarkt kursieren.

Angreifer müssen keine IT-Genies sein. Sie kaufen eine Liste mit Zugangsdaten, testen sie automatisch gegen tausende Unternehmensdienste und warten ab. Es ist Mengenarbeit, keine Präzisionsarbeit.

«Laut dem Verizon Data Breach Investigations Report beginnen rund 80 % der Unternehmensverstöße mit kompromittierten Zugangsdaten. MFA unterbricht diesen Mechanismus, bevor der Schaden entsteht.»

Microsoft, das eines der größten Unternehmensidentitätssysteme der Welt betreibt (Entra ID), hat im vergangenen Jahr rund 7.000 Passwortangriffe pro Sekunde registriert. Das ist keine Zahl, die nur große Unternehmen betrifft: Wer einen Microsoft-365-Account hat – auch ein kleines Unternehmen mit fünf Mitarbeitern – ist im Visier.

Was ein Angriff kostet – und was MFA kostet

Die Kosten eines Datenschutzvorfalls in Italien sind gestiegen. Laut dem Cost of a Data Breach Report 2026 von IBM hat der Durchschnittswert in Italien bei großen Organisationen die 3,5 Millionen Euro überschritten. Für KMU schätzen lokale Beobachter die tatsächlichen Auswirkungen pro Vorfall auf 120.000 bis 200.000 Euro – Betriebsunterbrechung, Datenwiederherstellung, Meldepflichten und Reputationsschäden eingerechnet.

Was kostet dagegen die Aktivierung von MFA?

  • Authenticator-Apps (Google, Microsoft): kostenlos.
  • Enterprise-Lösungen (Duo, Okta, WatchGuard AuthPoint): zwischen 3 und 9 Euro pro Nutzer und Monat.
  • Hardware-Token (YubiKey, FIDO2-Sticks): einmalig 25 bis 50 Euro pro Einheit – empfehlenswert für Konten mit privilegierten Zugängen.

Für ein Unternehmen mit 20 Mitarbeitern, das eine Enterprise-Lösung zu 5 Euro/Nutzer/Monat einsetzt, beträgt der Jahresbetrag 1.200 Euro. Der Vergleich mit dem Risiko fällt eindeutig aus.

Ehrlichkeit ist hier angebracht: MFA ist nicht unfehlbar. Es gibt ausgefeilte Angriffe – wie MFA Fatigue (Dauerbenachrichtigungen, um den Nutzer mürbe zu machen) oder Echtzeit-Phishing –, die sie umgehen können. Diese erfordern jedoch einen erheblich höheren Aufwand vom Angreifer und richten sich fast immer gegen spezifische, hochwertige Ziele. Für die große Mehrheit der automatisierten Angriffe auf KMU ist MFA eine wirksame Barriere.

NIS2 und D.Lgs. 138/2024: MFA ist nicht mehr nur gute Praxis

Seit 2024 haben mit der italienischen Umsetzung der NIS2-Richtlinie durch das D.Lgs. 138/2024 bestimmte Unternehmenskategorien konkrete Pflichten im Bereich der Cybersicherheit. Die Nationale Agentur für Cybersicherheit (ACN) nennt die Multi-Faktor-Authentifizierung ausdrücklich als notwendige Maßnahme zum Schutz von Zugängen, insbesondere privilegierten.

NIS2 gilt für Unternehmen in sogenannten „wesentlichen" und „wichtigen" Sektoren: Energie, Transport, Gesundheit, digitale Infrastrukturen, in bestimmten Fällen auch das verarbeitende Gewerbe. Wer in diesen Bereichen tätig ist und keine MFA aktiviert hat, wird Schwierigkeiten haben, die Konformität mit den gesetzlichen Sicherheitsanforderungen nachzuweisen.

Aber auch wer nicht direkt in den NIS2-Geltungsbereich fällt, spürt den zunehmenden regulatorischen Druck. Cyber-Versicherungen beginnen, MFA als Mindestanforderung für den Abschluss einer Police zu verlangen. Große Auftraggeber fordern von ihren Lieferanten Nachweise über Sicherheitsmaßnahmen. Es ist keine rein technische Frage mehr.

Mehr zum regulatorischen Rahmen: Vianova — Das Passwort reicht nicht mehr: Was mit der MFA-Pflicht 2026 kommt.

Wie man MFA in einem KMU einführt: konkrete Schritte

Es gibt keinen Einheitsweg, aber ein vernünftiger Ansatz für ein KMU beginnt mit drei Schritten.

  1. MFA sofort auf den bereits genutzten Werkzeugen aktivieren. Microsoft 365 und Google Workspace haben MFA integriert und kostenlos. Es genügt, sie im Admin-Panel zu aktivieren. Das ist der Schritt mit dem höchsten Ertrag bei null Kosten.
  2. MFA verbindlich vorschreiben, nicht freistellen. Wenn sie optional ist, werden viele Nutzer sie nicht aktivieren. Sie muss per Administrationsrichtlinie erzwungen werden – zumindest für Konten mit Zugang zu sensiblen Daten oder kritischen Systemen.
  3. Hardware-Schutz für privilegierte Konten hinzufügen. Systemadministratoren, Buchhaltungsverantwortliche, wer auf Server zugreift: Für diese Rollen bietet ein FIDO2-Stick (25–50 Euro) deutlich besseren Schutz als allein eine Authenticator-App – und ist auch gegen ausgefeilte Phishing-Angriffe resistent.

Der kritische Punkt ist nicht technisch, sondern organisatorisch. Mitarbeiter müssen geschult werden, sie müssen verstehen, warum der zweite Schritt existiert, und es braucht eine Regelung für den Fall, dass jemand sein Telefon verliert. Eine kurze schriftliche Richtlinie – auch nur eine Seite – vermeidet 90 % der operativen Probleme.

Wenn Sie prüfen möchten, welche MFA-Lösung am besten zur Struktur Ihres Unternehmens passt – ob kostenlose App, Enterprise-Plattform wie WatchGuard AuthPoint oder Hardware-Token – finden Sie einen praktischen Leitfaden auf BullTech — MFA Aziendale 2026 oder können uns direkt ansprechen.

Kurz zusammengefasst: Warum jetzt handeln

MFA löst nicht alle Sicherheitsprobleme. Sie schützt nicht vor einem Ransomware-Angriff, der per E-Mail-Anhang eindringt, ersetzt keine Backups und macht das Aktualisieren von Systemen nicht überflüssig. Aber sie blockiert die häufigste Angriffskategorie – die auf gestohlenen Zugangsdaten basiert – mit minimalem Aufwand.

Der Clusit-Report stellt fest, dass Italien für Cyberkriminelle zu einem immer häufigeren Ziel geworden ist, mit dem verarbeitenden Gewerbe unter den am stärksten betroffenen Sektoren. Italienische KMU, die oft als leichte Ziele gelten, weil sie weniger geschützt sind als Großunternehmen, können es sich nicht leisten, grundlegende Maßnahmen wie diese zu ignorieren.

MFA heute zu aktivieren erfordert ein paar Stunden Arbeit. Die Folgen eines kompromittierten Kontos zu bewältigen kann Wochen dauern – und weit mehr kosten, als man erwartet.