Compliance abhaken: Jetzt mit SECJUR durchstarten und ab Januar 2024 zahlen.
.svg)
.svg)
MFA (Multi-Faktor-Authentifizierung) ist ein Anmeldeverfahren, bei dem die Identität einer Person über mindestens zwei unabhängige Faktoren aus verschiedenen Kategorien nachgewiesen wird: Wissen, Besitz und Inhärenz.
Ein einzelnes Passwort genügt nicht mehr als Nachweis. MFA verlangt einen zweiten, unabhängigen Nachweis, sodass ein gestohlenes Passwort allein keinen Zugang verschafft.
Wissen umfasst Passwort oder PIN. Besitz umfasst Hardware-Token, Smartphone mit Authenticator-App oder Chipkarte. Inhärenz umfasst biometrische Merkmale wie Fingerabdruck oder Gesichtserkennung. Zwei Faktoren derselben Kategorie, etwa Passwort und Sicherheitsfrage, gelten nicht als MFA.
Das NIS2-Umsetzungsgesetz nennt in § 30 Absatz 2 Lösungen zur Multi-Faktor-Authentifizierung ausdrücklich als Mindestmaßnahme. ISO/IEC 27001:2022 adressiert das Thema über die Controls A.5.17 und A.8.5. Nicht alle Verfahren sind gleich stark: SMS-basierte Verfahren sind gegenüber Phishing und SIM-Swapping anfällig, während FIDO2- und Passkey-Verfahren an die Domain gebunden und damit phishing-resistent sind.
2FA ist der Sonderfall von MFA mit genau zwei Faktoren. MFA ist der Oberbegriff und umfasst auch Verfahren mit drei oder mehr Faktoren.
.svg){kind=icon}