Wenn Sie sich für eine einzige Sicherheitsmaßnahme entscheiden müssten, die Sie heute in Ihrem Unternehmen einführen, lautet die Antwort fast immer gleich: die Multi-Faktor-Authentifizierung, kurz MFA. Nicht weil sie alle Probleme löst, sondern weil das Verhältnis zwischen Kosten und tatsächlichem Schutz unschlagbar ist.

Was MFA ist – in einfachen Worten

Mit einem Passwort allein kann jeder, der Ihre Zugangsdaten kennt oder stiehlt, in Ihr System einsteigen. Fertig. MFA fügt einen zweiten Schritt hinzu: Zusätzlich zum Passwort braucht man einen temporären Code, der von einer App auf dem Smartphone generiert wird, einen physischen Token oder ein biometrisches Merkmal.

Das Prinzip ist einfach: Selbst wenn das Passwort kompromittiert wurde, scheitert der Angreifer am zweiten Faktor. Ohne das Smartphone des Inhabers oder des Mitarbeiters kommt er nicht weiter.

Die drei möglichen Faktoren sind:

  • Etwas, das Sie wissen — das Passwort
  • Etwas, das Sie haben — das Smartphone mit der Authenticator-App oder ein physischer Token
  • Etwas, das Sie sind — Fingerabdruck, Gesichtserkennung

Im Arbeitsalltag eines KMU ist der zweite Faktor fast immer ein sechsstelliger Code, der von einer kostenlosen App erzeugt wird (Google Authenticator, Microsoft Authenticator). Zehn Sekunden mehr beim Login – nicht mehr.

Warum diese Maßnahme den höchsten ROI hat

Die meisten Cyberangriffe auf Unternehmen beginnen mit gestohlenen oder schwachen Zugangsdaten. Nicht mit ausgeklügelten Exploits, nicht mit staatlich gesteuerten Angriffen: sondern einfach damit, dass jemand ein Passwort erlangt hat – durch Phishing, eine geleakte Datenbank oder einen Brute-Force-Angriff auf ein zu einfaches Passwort.

MFA unterbricht diesen Mechanismus von Grund auf. Laut Microsoft, das Hunderte Millionen Unternehmenskonten verwaltet, verhindert Multi-Faktor-Authentifizierung 99,9 % aller Kontoübernahmen. Microsoft registriert täglich rund 300 Millionen betrügerische Anmeldeversuche – fast alle werden vom zweiten Faktor gestoppt.

Ein gestohlenes Passwort ohne zweiten Faktor ist wertlos. Es ist wie ein Schlüssel, der nicht mehr passt, weil das Schloss ausgetauscht wurde.

Beim Kostenvergleich ist das Bild eindeutig:

  • Authenticator-App: kostenlos
  • MFA in Microsoft 365 enthalten: keine Zusatzkosten, nur aktivieren
  • Lösungen für VPN oder Legacy-Apps (z. B. WatchGuard AuthPoint): ca. 3,50 €/Nutzer pro Monat
  • FIDO2-Hardware-Token (z. B. YubiKey): zwischen 25 und 50 € pro Stück, einmaliger Kauf

Für ein Unternehmen mit 20 Mitarbeitenden kann MFA null Euro kosten. Oder in komplexeren Szenarien einige Dutzend Euro pro Monat. Die Kosten eines Einbruchs durch gestohlene Zugangsdaten liegen global im Durchschnitt im Millionenbereich – ein Vergleich, der kaum einer weiteren Erläuterung bedarf.

Das eigentliche Problem: 61 % der italienischen KMU haben MFA noch nicht aktiviert

Trotz minimaler Kosten und belegter Wirksamkeit wird MFA von mehr als der Hälfte der kleinen und mittleren Unternehmen in Italien ignoriert. Schätzungen zufolge haben 61 % der italienischen KMU noch keine Form der Multi-Faktor-Authentifizierung eingeführt.

Die häufigsten Einwände, die wir hören:

  • „Unsere Mitarbeitenden werden sich beschweren."
  • „Wir sind kein attraktives Ziel."
  • „Wir haben bereits ein gutes Antivirenprogramm."

Keiner dieser Einwände hält einer Prüfung stand. Automatisierte Angriffe wählen ihre Opfer nicht nach Größe aus: Sie treffen jeden, dessen Zugangsdaten offenliegen. Ein Antivirenprogramm hilft nicht, wenn jemand mit einem gültigen Passwort einloggt. Und der Mehraufwand durch einen zusätzlichen Code beim Login ist vernachlässigbar gegenüber den Kosten eines kompromittierten Kontos.

Ein kritischer Punkt, der oft unterschätzt wird, ist die geschäftliche E-Mail. Ein gehacktes E-Mail-Konto erlaubt es, die Passwörter aller anderen Dienste zurückzusetzen, auf vertrauliche Dokumente zuzugreifen und den Inhaber gegenüber Kunden und Lieferanten zu imitieren. Es ist häufig der Einstiegspunkt, von dem alles Weitere ausgeht.

Ab 2026 ist es auch Pflicht: NIS2 und D.Lgs. 138/2024

Die europäische NIS2-Richtlinie, in Italien mit dem D.Lgs. 138/2024 seit dem 16. Oktober 2024 in Kraft, schreibt eine Reihe verbindlicher Sicherheitsmaßnahmen für Unternehmen im Geltungsbereich vor. MFA ist ausdrücklich eine davon.

Wer ist betroffen? Kurz zusammengefasst:

  • Unternehmen mit 50 oder mehr Mitarbeitenden oder einem Jahresumsatz von 10 Millionen Euro oder mehr
  • Tätig in einem der 18 kritischen Sektoren der Richtlinie (Energie, Transport, Gesundheit, Wasser, digitale Infrastrukturen, fortgeschrittene Fertigung u. a.)
  • Aber auch Zulieferer in der Supply Chain von betroffenen Unternehmen: Wer als Subunternehmer für ein verpflichtetes Unternehmen arbeitet, kann indirekt einbezogen sein

Die operativen Fristen laufen bereits: Die Meldepflicht bei Sicherheitsvorfällen gilt ab Januar 2026, die grundlegenden Sicherheitsmaßnahmen – darunter MFA – müssen bis Oktober 2026 umgesetzt sein. Die vorgesehenen Bußgelder können bis zu 10 Millionen Euro betragen.

Wenn Ihr Unternehmen in den NIS2-Geltungsbereich fällt, ist die Einführung von MFA keine Frage des gesunden Menschenverstands mehr: Es ist eine gesetzliche Anforderung mit klarer Frist.

Wie man MFA konkret einführt

Dafür braucht es kein monatelanges Projekt. Für die meisten KMU sind es drei Schritte:

  1. Kritische Konten erfassen: geschäftliche E-Mail, ERP-System, Cloud-Zugang, VPN, Bankportal. Hier fängt man an.
  2. Die Methode wählen: Für fast alle KMU ist eine Authenticator-App auf dem Smartphone ausreichend. Für besonders sensible Zugänge (Systemadministratoren, Remote-Zugriff auf Server) kann ein Hardware-Token sinnvoll sein.
  3. MFA auf den Plattformen aktivieren: Microsoft 365, Google Workspace und die meisten SaaS-Anwendungen haben MFA integriert. Sie müssen es nur im Administrationsbereich einschalten.

Ein IT-Berater kann MFA für ein Unternehmen mit 20 Personen in einem halben Tag einrichten. Inklusive der grundlegenden Schulung für Mitarbeitende – „wie verwende ich die Authenticator-App" – spricht man von maximal einem Tag.

Ein praktischer Hinweis: Verlassen Sie sich nicht nur auf SMS als zweiten Faktor. Textnachrichten sind anfälliger als eine Authenticator-App (es gibt Angriffe, die SMS umleiten können). Apps sind kostenlos und sicherer – verwenden Sie diese.

MFA löst nicht alles. Sie schützt nicht vor Software-Schwachstellen, veralteten Geräten oder Konfigurationsfehlern. Aber sie eliminiert die häufigste Angriffskategorie – den Diebstahl von Zugangsdaten – mit einer Maßnahme, die fast nichts kostet. Genau hier fängt man an.