Welche Firmenzugänge sollten KMU mit MFA schützen?

Schützen Sie zuerst jene Zugänge, mit denen jemand wichtige Daten lesen, weitere Konten übernehmen oder den Betrieb verändern könnte. Dazu gehören insbesondere E-Mail und Administrationskonten. Führen Sie Mehrfaktor-Authentifizierung anschliessend auch bei weiteren unterstützten Diensten ein.

Mehrfaktor-Authentifizierung, kurz MFA, verlangt bei der Anmeldung unterschiedliche Nachweise. Ein Passwort kann beispielsweise mit einem separaten Bestätigungsverfahren ergänzt werden. Zwei verschiedene Passwörter bilden für sich allein keine zwei unterschiedlichen Faktoren.

Warum das E-Mail-Konto besonders wichtig ist#

In einem Wochenrückblick vom April 2022↗ (öffnet in neuem Tab) beschrieb das damalige NCSC gezielte Angriffe auf Office-365-Zugänge. In den geschilderten Fällen verhinderte ein zusätzlicher Faktor den Missbrauch gestohlener Zugangsdaten. Das ist ein historisches Beispiel und keine neue Angriffsmeldung.

Die praktische Frage für Ihren Betrieb lautet: Was wäre mit diesem Zugang möglich? Könnte jemand im Namen der Firma schreiben, vertrauliche Unterlagen abrufen oder andere Konten zurücksetzen?

Erstellen Sie eine Liste Ihrer Dienste, ohne Passwörter darin zu erfassen. Notieren Sie Verantwortliche, Rechte und den aktuellen Stand des Anmeldeschutzes.

In welcher Reihenfolge sollten Sie vorgehen?#

Die folgende Reihenfolge ist eine redaktionelle Priorisierung für einen kleinen Betrieb. Passen Sie sie an Ihre Systeme und die möglichen Folgen eines Missbrauchs an.

Die CISA-Empfehlung zu phishingresistenter MFA↗ (öffnet in neuem Tab) nennt wertvolle Ressourcen und besonders weitreichende Benutzerrechte als Kriterien für eine gestaffelte Einführung. Es handelt sich um technische Sicherheitsempfehlungen einer US-Behörde, nicht um eine Schweizer Rechtsvorschrift.

MFA-Verfahren bieten unterschiedlichen Schutz#

Ein zusätzlicher Faktor reduziert bestimmte Risiken, ist aber keine pauschale Sicherheitsgarantie. Laut CISA können etwa Einmalcodes über gefälschte Anmeldeseiten abgefangen werden. Wiederholte Bestätigungsanfragen können Menschen ausserdem dazu verleiten, einen fremden Anmeldeversuch freizugeben.

Für wichtige Konten sollten Sie deshalb prüfen lassen, ob der Dienst phishingresistente Verfahren auf Grundlage von FIDO/WebAuthn unterstützt, etwa geeignete Sicherheitsschlüssel. Diese Verfahren sind darauf ausgelegt, der Weitergabe von Anmeldedaten an gefälschte Websites entgegenzuwirken.

Ist das kurzfristig nicht möglich, beschreibt CISA App-basierte Einmalcodes oder Push-Verfahren mit Zahlenabgleich als mögliche Zwischenlösungen. SMS wird dort als schwächere Ausweichlösung eingeordnet.

Lassen Sie den Anbieter die unterstützte Methode und die konkrete Einrichtung erklären. Die Bezeichnung «MFA aktiviert» allein reicht für einen Vergleich nicht aus.

Planen Sie den Wiederzugang vor der Umstellung#

Hypothetisches Beispiel: Die Geschäftsführerin bestätigt Anmeldungen auf ihrem Smartphone. Nach einem Defekt kann sie das Firmenkonto nicht mehr öffnen. Ist auch die Wiederherstellung nur mit diesem Gerät möglich, fehlt ein vorbereiteter Ausweg.

Vereinbaren Sie deshalb vor der Einführung:

• Welche Wiederherstellungsmöglichkeiten der Dienst anbietet.
• Wo Wiederherstellungscodes geschützt aufbewahrt werden.
• Wer in einem Notfall helfen darf und wie die Identität geprüft wird.
• Ob ein zusätzlicher geeigneter Faktor hinterlegt werden kann.
• Wie ein verlorenes Gerät gesperrt und ersetzt wird.
• Wie der Zugang bei einem Personalwechsel entzogen wird.

Dies sind organisatorische Prüffragen. Welche Lösung sicher und praktikabel ist, hängt vom Dienst und Ihrer Kontoverwaltung ab. Legen Sie Wiederherstellungsdaten nicht ungeschützt in derselben Ablage ab, deren Zugang sie absichern sollen.

Führen Sie MFA mit einem kleinen Pilot ein#

Beginnen Sie mit wenigen wichtigen Konten und prüfen Sie Anmeldung, Gerätewechsel und Wiederherstellung. Dokumentieren Sie den Ablauf so, dass auch eine Vertretung ihn versteht.

Besprechen Sie mit dem Team eine einfache Regel: Unbekannte Anmeldeanfragen werden nicht bestätigt. Wird eine solche Anfrage bemerkt, muss klar sein, wer sie prüft. Auch mit MFA sollten Mitarbeitende Anmeldeseiten über einen bekannten Weg öffnen und unerwartete Aufforderungen hinterfragen.

Bitten Sie Ihren IT- oder Webpartner als ersten Schritt um eine überprüfbare Zugangsliste: Dienst, Verantwortliche, Rechte, verfügbare MFA-Methode und getesteter Wiederzugang. Damit lässt sich die Einführung planen, ohne gleichzeitig alle Systeme umzustellen.

Stand: 24. Oktober 2026. Die Quellen wurden am selben Tag gelesen. Es wird weder eine aktuelle Angriffswelle noch die Betroffenheit eines bestimmten Betriebs behauptet.