In diesem Artikel 10 Abschnitte
Multi-Faktor-Authentifizierung ist ein wichtiger Basisschutz. Doch nicht jede MFA reagiert gleich gut auf Phishing. Wer einen Code aus einer SMS oder Authenticator-App in eine täuschend echte Anmeldeseite eingibt, kann diesen Code unbemerkt an Angreifer weiterreichen. Phishing-resistente Verfahren vermeiden genau diesen Ablauf: Die Anmeldung ist technisch an den echten Dienst gebunden.
Kurz gesagt
- Priorisieren Sie phishing-resistente MFA zuerst für Administrationskonten, Geschäftsleitung und besonders sensible Anwendungen.
- Setzen Sie auf offene Standards wie FIDO2 und WebAuthn statt auf proprietäre Einzellösungen.
- Planen Sie Ersatzschlüssel, Wiederherstellung und Ausnahmefälle vor dem Rollout.
- Lassen Sie ältere Verfahren nur dort aktiv, wo sie für eine kontrollierte Übergangsphase erforderlich sind.
Was «phishing-resistent» konkret bedeutet
Bei klassischer MFA beweist eine Person ihre Identität beispielsweise mit Passwort und Einmalcode. Dieser zweite Faktor hilft bei gestohlenen Passwörtern, kann aber weiterhin abgefragt und in Echtzeit missbraucht werden. Auch eine Push-Bestätigung schützt nicht zuverlässig, wenn Nutzende durch wiederholte Anfragen oder eine überzeugende Anmeldung zur Freigabe gebracht werden.
FIDO2 und der darin verwendete Webstandard WebAuthn arbeiten anders. Bei der Registrierung entsteht ein kryptografisches Schlüsselpaar. Der Dienst erhält den öffentlichen Schlüssel, während der private Schlüssel vom Authentifikator geschützt wird. Bei synchronisierten Passkeys kann der private Schlüssel verschlüsselt über den Passkey-Anbieter auf weitere Geräte übertragen werden. Eine WebAuthn-Anmeldung ist an die registrierte Relying Party und deren zulässige Webadressen gebunden; eine fremde Phishing-Seite kann die Zugangsdaten deshalb nicht für ihre eigene Adresse verwenden.
NIST verlangt für die höchste beschriebene Authentifizierungsstufe ein phishing-resistentes Verfahren mit einem nicht exportierbaren Schlüssel. Für KMU ist daran vor allem das Prinzip relevant: Sicherheit entsteht durch das Protokoll und nicht dadurch, dass Mitarbeitende jede gefälschte Seite rechtzeitig erkennen.
Passkey, Sicherheitsschlüssel oder Zertifikat?
«Phishing-resistente MFA» bezeichnet eine Eigenschaft, kein einzelnes Produkt. Für viele Cloud- und Webanwendungen sind FIDO2-basierte Verfahren der praktikabelste Einstieg:
- Gerätegebundene Passkeys liegen auf einem bestimmten Gerät oder physischen Sicherheitsschlüssel. Sie eignen sich besonders für privilegierte Rollen, verlangen aber einen sauberen Ersatzprozess.
- Synchronisierte Passkeys können über einen Plattform- oder Passwortmanager auf mehrere Geräte gelangen. Das verbessert die Nutzbarkeit, muss aber zur Risikoklasse und zur Kontrolle über den Synchronisationsdienst passen.
- Smartcards und zertifikatsbasierte Verfahren können ebenfalls phishing-resistent umgesetzt werden. Sie sind in bestimmten Umgebungen sinnvoll, bringen jedoch meist mehr Betriebsaufwand mit.
Offene Standards sind dabei ein strategischer Vorteil. WebAuthn ist ein Webstandard, FIDO2 wird von verschiedenen Plattformen, Browsern und Hardwareherstellern unterstützt. Das erweitert die Auswahl und reduziert die Abhängigkeit von einer einzigen Geräte- oder Softwaremarke. Vollständige Anbieterunabhängigkeit entsteht dadurch nicht automatisch: Entscheidend bleibt, welche Authentifikatoren Ihr Identitätsdienst und Ihre Fachanwendungen tatsächlich zulassen.
Ein sinnvoller Rollout für KMU
1. Anwendungen und Rollen inventarisieren
Beginnen Sie nicht mit dem Kauf von Schlüsseln, sondern mit den Zugängen. Welche Konten verwalten Microsoft 365, Server, Backups, Netzwerk, Finanzsysteme oder Domainnamen? Welche Anwendungen unterstützen WebAuthn, FIDO2 oder eine föderierte Anmeldung über einen zentralen Identitätsdienst? Diese Übersicht zeigt, wo der grösste Nutzen und wo noch eine technische Lücke besteht.
2. Kritische Konten zuerst absichern
Administrationskonten brauchen die strengste Richtlinie. Für diese Konten sollten Sie phishing-resistente Methoden gezielt verlangen und unsichere Ausweichmethoden begrenzen. In Microsoft Entra können Authentifizierungsstärken beispielsweise festlegen, welche Methodenkombinationen für eine Ressource akzeptiert werden. Die konkrete Lizenzierung und Kompatibilität sollte vorab geprüft werden.
Danach folgen Personen mit Zugriff auf Zahlungsverkehr, Personaldaten, vertrauliche Kundeninformationen oder zentrale Freigaben. Ein Pilot mit einer überschaubaren Gruppe liefert reale Erkenntnisse zu Geräten, Browsern und Arbeitsabläufen, bevor Sie die Regel auf alle Mitarbeitenden ausweiten.
3. Wiederherstellung als Teil der Anmeldung behandeln
Ein starkes Anmeldeverfahren mit schwacher Kontowiederherstellung bleibt schwach. Definieren Sie deshalb vor dem Rollout:
- Wie wird ein verlorenes oder defektes Gerät gemeldet?
- Wer prüft die Identität bei einer Wiederherstellung?
- Gibt es einen zweiten registrierten Authentifikator?
- Wo liegen Notfallkonten, und wie werden deren Nutzung und Prüfung protokolliert?
- Wie werden ausgetretene Mitarbeitende und verlorene Geräte zeitnah gesperrt?
Für Administrationsrollen sollten mindestens zwei getrennte Anmeldemöglichkeiten vorbereitet werden. Das reduziert den Bedarf an einer spontanen Ausnahme, wenn ein Authentifikator verloren geht oder ausfällt. Notfallzugänge dürfen nicht zum alltäglichen Hintereingang werden.
4. Altverfahren kontrolliert abbauen
Wenn eine Anwendung nur Passwort und Einmalcode unterstützt, muss sie nicht sofort abgeschaltet werden. Dokumentieren Sie die Ausnahme, begrenzen Sie den Zugriff und setzen Sie einen Termin zur erneuten Beurteilung. Wo möglich, kann eine zentrale, standardbasierte Anmeldung ältere Anwendungen von moderner Authentifizierung profitieren lassen. Das ist jedoch eine Integrationsfrage und kein Automatismus.
Betrieb statt Einmalprojekt
Nach dem Rollout sollten Sie Registrierungen, fehlgeschlagene Anmeldungen, Ausnahmen und Wiederherstellungen beobachten. Prüfen Sie neue Geräteklassen zuerst in einer Pilotgruppe und testen Sie den Verlustfall. Ebenso wichtig ist verständliche Kommunikation: Mitarbeitende müssen wissen, weshalb ein Sicherheitsschlüssel verlangt wird und an wen sie sich bei einem Problem wenden.
Phishing-resistente MFA ersetzt weder Geräteschutz noch Berechtigungsmanagement. Sie schliesst aber einen zentralen Angriffsweg mit technischen Mitteln. CORESTREAM unterstützt Sie bei der Auswahl offener, interoperabler Verfahren, beim Richtliniendesign und bei einem kontrollierten Rollout. Mehr dazu finden Sie unter Sicherheit & Resilienz und Modern Workplace.