Das Problem ist immer das Passwort

Die meisten Cyberangriffe auf Unternehmen nutzen keine ausgefeilten Software-Schwachstellen. Sie nutzen einen Benutzernamen und ein Passwort. Zugangsdaten, die per Phishing gestohlen, im Darknet gekauft oder schlicht erraten wurden, weil sie zu einfach waren.

Die Datenlage ist seit Jahren eindeutig: Über 80 % der Sicherheitsvorfälle in Unternehmen gehen auf kompromittierte Zugangsdaten zurück. In Italien ist die Situation noch ausgeprägter: Laut den von NIS2-Italia.it veröffentlichten Daten waren im Jahr 2025 bei 67 % der betroffenen italienischen Organisationen kompromittierte Zugangsdaten die Ursache – gegenüber einem europäischen Durchschnitt von 25 %.

Das ist keine Frage von nachlässigen Unternehmern. Das Passwort allein hält einfach nicht stand. Wer es einmal hat – auf welchem Weg auch immer –, hat vollständigen Zugriff. Punkt.

Die Multi-Faktor-Authentifizierung (MFA) durchbricht diese Logik. Selbst wenn jemand Ihr Passwort kennt, reicht das nicht: Es braucht ein zweites Verifikationselement, das nur Sie in diesem Moment besitzen.

Was MFA in der Praxis bedeutet

MFA bedeutet, dass Sie für den Zugang zu einem System Ihre Identität auf mindestens zwei verschiedene Arten nachweisen müssen, aus drei Kategorien:

  • Etwas, das Sie wissen — das Passwort oder eine PIN.
  • Etwas, das Sie haben — Ihr Smartphone, ein Hardware-Token, eine Authentifizierungs-App.
  • Etwas, das Sie sind — Fingerabdruck, Gesichtserkennung.

Der häufigste Fall im Unternehmensalltag: Sie geben Ihr Passwort ein und bestätigen den Zugriff anschließend über eine Benachrichtigung auf dem Smartphone – oder Sie geben einen sechsstelligen Einmalcode ein, den eine App wie Microsoft Authenticator oder Google Authenticator generiert.

Das ist keine neue oder komplizierte Technologie. Sie ist auf fast allen geschäftlichen Cloud-Diensten verfügbar. Die Frage ist nicht die Technologie: Es geht um die Entscheidung, sie konsequent und überall zu aktivieren.

Wie wirksam ist MFA wirklich

Die Zahlen zur Wirksamkeit von MFA gehören zu den verlässlichsten im Bereich IT-Sicherheit – sie stammen aus riesigen Stichproben echter Accounts.

Die geschätzte mittlere Kompromittierungsrate von Accounts mit aktiver MFA liegt bei 0,0079 %. Das bedeutet: Von 10.000 mit MFA geschützten Accounts wird weniger als einer kompromittiert.

Laut den von Swif.ai zusammengetragenen MFA-Statistiken für 2026 blockiert Multi-Faktor-Authentifizierung 96 % der Massen-Phishing-Versuche und 76 % der gezielten Angriffe. Phishing – also betrügerische E-Mails, die Nutzer dazu verleiten, ihre Zugangsdaten auf einer gefälschten Website einzugeben – ist einer der am weitesten verbreiteten Angriffsvektoren überhaupt.

Keine Sicherheitsmaßnahme ist zu 100 % unfehlbar. Es gibt fortgeschrittene Techniken, um MFA zu umgehen, etwa „MFA Fatigue" (den Nutzer mit Benachrichtigungen bombardieren, bis er versehentlich bestätigt) oder Echtzeit-Phishing. Diese Methoden erfordern aber Ressourcen und Kenntnisse, die gewöhnliche Cyberkriminelle für ein beliebiges KMU nicht aufwenden. MFA eliminiert die große Mehrheit der opportunistischen Angriffe – und genau die treffen kleine und mittlere Unternehmen.

Die tatsächlichen Kosten: viel weniger als Sie denken

Eines der häufigsten Hindernisse bei der Einführung ist die Wahrnehmung der Kosten. Es lohnt sich, die Zahlen gegenüberzustellen.

Auf der einen Seite: die Kosten eines Vorfalls. Laut den von Worldmetrics.org veröffentlichten MFA-Statistiken für 2026 reduziert MFA die durchschnittlichen Kosten eines Datenschutzvorfalls um über eine Million Dollar. Auch ohne Extremszenarien: Ein Produktionsstillstand von einigen Tagen, die Datenwiederherstellung, die nach der DSGVO vorgeschriebenen Benachrichtigungen der Betroffenen und ein möglicher Reputationsschaden sind konkrete und messbare Kosten.

Auf der anderen Seite: die Kosten für MFA. In vielen Fällen ist sie bereits in den Lizenzen enthalten, die Ihr Unternehmen ohnehin bezahlt. Microsoft 365 Business Basic, Standard und Premium beinhalten alle MFA über Microsoft Authenticator. Google Workspace aktiviert sie standardmäßig. Der Aufwand liegt nicht in der Software: Er liegt in der Zeit für die Konfiguration und die Schulung der Mitarbeitenden – und die lässt sich in Stunden messen, nicht in Monaten.

Für Unternehmen, die Systeme nutzen, die nicht von bestehenden Lizenzen abgedeckt werden, gibt es dedizierte Lösungen ab wenigen Euro pro Nutzer und Monat. Das Verhältnis zwischen Investition und Risikoreduzierung ist mit keiner anderen gleich einfachen Sicherheitsmaßnahme vergleichbar.

Die NIS2 macht sie zur Pflicht: Was sich für KMU ändert

Seit dem 16. Oktober 2024 gilt in Italien das Gesetzesdekret 138/2024, das die europäische NIS2-Richtlinie umsetzt. Es ist die bedeutendste regulatorische Aktualisierung im Bereich Cybersicherheit der letzten zehn Jahre und erweitert den Kreis der verpflichteten Subjekte erheblich.

Artikel 21 der NIS2 nennt ausdrücklich unter den verpflichtenden Sicherheitsmaßnahmen „die Verwendung von Multi-Faktor-Authentifizierung oder kontinuierlicher Authentifizierung". Das ist keine Empfehlung: Es ist eine Anforderung.

Wer fällt in den NIS2-Geltungsbereich? Die Regelung gilt für wesentliche und wichtige Einrichtungen in Sektoren wie Energie, Verkehr, Gesundheit, digitale Infrastrukturen, öffentliche Verwaltung und anderen. Aber auch KMU, die als Lieferanten oder Subunternehmer dieser Einrichtungen tätig sind, können indirekt betroffen sein – denn die verpflichteten Subjekte müssen die Sicherheit ihrer gesamten Lieferkette gewährleisten.

Wenn Sie mit öffentlichen Einrichtungen, Krankenhäusern, Versorgungsunternehmen oder großen regulierten Unternehmen zusammenarbeiten, werden Sie früher oder später nachweisen müssen, dass MFA bei Ihnen aktiv ist. Besser, vorbereitet zu sein.

Auch wer nicht direkt in den NIS2-Geltungsbereich fällt, hat einen konkreten Grund zu handeln: Die DSGVO verlangt bereits angemessene technische Maßnahmen zum Schutz personenbezogener Daten. MFA ist eine davon – und ihr Fehlen kann im Fall eines Vorfalls die Beurteilung von Sanktionen beeinflussen.

Wie die Umsetzung gelingt: konkrete Schritte

Es gibt keinen universellen Weg, aber die logische Abfolge ist diese:

  1. Erfassen Sie Ihre kritischen Zugänge. Geschäftliche E-Mail, ERP, VPN, Cloud-Speicher, Online-Banking. Wo kämen Sie in ernste Schwierigkeiten, wenn jemand unbefugt eindrächte?
  2. Aktivieren Sie MFA auf diesen Systemen – beginnend mit den Administratoren. Accounts mit den höchsten Berechtigungen sind die attraktivsten Ziele. Fangen Sie dort an.
  3. Wählen Sie den zweiten Faktor, der zu Ihrem Kontext passt. Die Authenticator-App ist die sicherste und kostengünstigste Lösung. SMS ist weniger sicher, aber einfacher einzuführen für Personen mit wenig Smartphone-Erfahrung. Hardware-Token (wie YubiKey) bieten den höchsten Schutz für kritische Zugänge.
  4. Schulen Sie Ihre Mitarbeitenden. Eine halbe Stunde praktische Erklärung – was passiert, warum, wie man auf eine unerwartete Benachrichtigung reagiert – ist mehr wert als jede schriftliche Richtlinie.
  5. Legen Sie ein Verfahren für den Verlust des zweiten Faktors fest. Kaputtes Smartphone, gesperrter Account: Es braucht einen sicheren Plan B – nicht „ich ruf die IT an und die setzen alles zurück ohne Überprüfung".

MFA löst nicht alle Sicherheitsprobleme. Sie schützt nicht vor bereits installierter Schadsoftware, vor Mitarbeitenden, die Zugangsdaten weitergeben, oder vor Fehlkonfigurationen Ihrer Systeme. Aber sie eliminiert die häufigste und am einfachsten durchführbare Angriffskategorie. Sie ist der unverzichtbare Ausgangspunkt – nicht das Endziel.

Die richtige Frage stellen

Die Frage lautet nicht: „Lohnt es sich, MFA zu aktivieren?" Die Zahlen sprechen für sich. Die richtige Frage ist: Warum ist sie noch nicht auf allen Systemen meines Unternehmens aktiv?

Wenn die Antwort lautet „Daran habe ich noch nicht gedacht", dann ist jetzt der richtige Moment. Wenn sie lautet „Es ist zu kompliziert", haben Sie wahrscheinlich noch nicht mit jemandem gesprochen, der es Ihnen an einem halben Vormittag einrichtet. Wenn sie lautet „Meine Mitarbeitenden würden sich beschweren" – bedenken Sie, dass sie sich nach einem Angriff noch viel mehr beschweren würden.

MFA ist eine jener Maßnahmen, bei denen die Kosten des Nichtstuns die Kosten des Handelns klar überwiegen. Das ist in der Welt der IT-Sicherheit alles andere als selbstverständlich.