- KYBERNA AI
-
ITSM & ESM Software
- ITSM & ESM Software ky2help®
- Lösung nach Branchen
- Bauunternehmen & Baugewerbe
- Finanzdienstleistungen & Banken
- Gesundheitswesen & Kliniken
- Hospitality & Hotelgruppen
- Industrie & Fertigung
- IT-Dienstleister, MSPs & Systemhäuser
- Öffentliche Verwaltung & Behörden
- Sicherheitsdienste & Leitstellen
- Telekommunikation & Netzbetreiber
- Versicherungen & Sozialversicherungen
- ky2help® Referenzen
- Kontakt
- ITSM & ESM Wissenswelt
- Glossar
- IT Services
- eAuktion
- Über uns
- News & Blog
- Support
Glossar
Fachbegriffe einfach erklärt
MFA (Multi-Faktor-Authentifizierung): Bedeutung, Methoden und Einführung im IT-Alltag
MFA steht für Multi-Faktor-Authentifizierung: Wer sich anmeldet, muss neben dem Kennwort mindestens einen weiteren, unabhängigen Nachweis erbringen, zum Beispiel eine Bestätigung in der Authenticator-App oder einen Sicherheitsschlüssel. Ein gestohlenes Kennwort reicht damit allein nicht mehr aus, um ein Konto zu übernehmen.
Für viele kleine IT-Teams beginnt das Thema in Microsoft 365. Seit Oktober 2024 verlangt Microsoft MFA für Anmeldungen am Azure-Portal, am Microsoft Entra Admin Center und am Intune Admin Center, seit Februar 2025 schrittweise auch für das Microsoft 365 Admin Center. Spätestens dann stellt sich die Frage, wie MFA für alle Mitarbeitenden eingeführt wird, ohne dass das Telefon in der IT ununterbrochen läutet.
Das Wichtigste in Kürze
- Grundidee: Kennwort plus ein zweiter Nachweis, der auf einem anderen Weg erbracht wird, meist über das Smartphone.
- Microsoft 365: Die Sicherheitsstandards in Entra ID kosten nichts extra. Für feinere Regeln braucht es den bedingten Zugriff ab Entra ID P1, der auch in Microsoft 365 Business Premium enthalten ist.
- Ohne Diensthandy: FIDO2-Sicherheitsschlüssel funktionieren ohne Smartphone. Passkeys sind in allen Entra-ID-Editionen ohne Zusatzlizenz verfügbar.
- Österreich: Das NISG 2026 ist seit 1. Oktober 2026 in Kraft und nennt Lösungen zur Multi-Faktor-Authentifizierung als Risikomanagementmaßnahme.
Stand: November 2026 · Geprüft anhand von Microsoft Learn, BSI, RIS (NISG 2026) und CISA (Quellen am Ende des Artikels)
Was bei einer Anmeldung mit MFA passiert
Angenommen, eine Buchhalterin in der Linzer Niederlassung startet am Montag ihren Laptop und öffnet Outlook. Sie gibt ihre E-Mail-Adresse und ihr Kennwort ein. Statt direkt im Postfach zu landen, zeigt der Bildschirm eine zweistellige Zahl. Auf ihrem Diensthandy meldet sich Microsoft Authenticator, sie tippt die Zahl ein und bestätigt mit dem Fingerabdruck. Erst jetzt öffnet sich das Postfach.
Hinter diesem Ablauf stecken zwei Faktoren aus verschiedenen Kategorien: das Kennwort, das sie kennt, und das Smartphone, das sie besitzt. Der Fingerabdruck entsperrt nur die App am Gerät.
Die drei Arten von Nachweisen
- Etwas, das man weiß: Kennwort oder PIN
- Etwas, das man hat: Smartphone mit App, Sicherheitsschlüssel, Chipkarte
- Etwas, das man ist: Fingerabdruck oder Gesichtserkennung
Gut zu wissen: Zwei Kennwörter hintereinander oder Kennwort plus Sicherheitsfrage sind keine MFA. Beide Nachweise gehören zur selben Kategorie und lassen sich mit derselben Phishing-Mail abfragen.
Warum die Zahl auf dem Bildschirm wichtig ist
Früher genügte ein Tipp auf „Genehmigen“. Angreifer, die ein Kennwort kannten, schickten deshalb so lange Anfragen, bis jemand genervt bestätigte. Dieses Vorgehen heißt MFA-Fatigue. Microsoft zeigt bei Push-Anmeldungen über Authenticator inzwischen allen Benutzern den Nummernabgleich an. Wer selbst keine Anmeldung begonnen hat, kennt die Zahl nicht und kann eine fremde Anfrage nicht mehr mit einem Tipp bestätigen.
Fragt das System jedes Mal nach?
Nicht unbedingt. Wann ein zweiter Faktor nötig ist, regeln Richtlinien im Mandanten. Typisch ist eine Abfrage bei der ersten Anmeldung auf einem neuen Gerät, bei Zugriffen von außerhalb des Firmennetzes oder bei Verwaltungsaufgaben. Wie fein sich das steuern lässt, hängt von der Lizenz ab.
MFA in Microsoft 365 einschalten: welche Möglichkeiten es gibt
In Microsoft 365 steuert Microsoft Entra ID (früher Azure AD) die Anmeldung. Für kleine und mittlere IT-Teams kommen vor allem zwei Wege infrage. Dazu kommt die Wahl der Methode.
| Merkmal | Bedeutung im Alltag |
|---|---|
| Sicherheits-Standards | |
| Lizenz | ohne Aufpreis in jedem Mandanten |
| Wirkung | alle registrieren MFA, Admins immer mit MFA, alte Protokolle gesperrt |
| Grenze | kaum Spielraum für Ausnahmen |
| Bedingter Zugriff | |
| Lizenz | Entra ID P1, auch in M365 Business Premium |
| Wirkung | Regeln je Gruppe, App, Gerät oder Standort |
| Grenze | mehr Planung, Fehler sperren Benutzer aus |
| Passkeys (FIDO2) | |
| Lizenz | in allen Entra-ID-Editionen ohne Zusatzlizenz |
| Wirkung | Anmeldung ohne Kennwort, gegen Phishing resistent |
| Grenze | Schlüssel oder geeignetes Gerät nötig |
Welche Methode für wen?
- Büro mit Diensthandy: Microsoft Authenticator mit Nummernabgleich oder ein Passkey in der App.
- Administratoren: eigener Admin-Account, angemeldet mit FIDO2-Sicherheitsschlüssel. Für das tägliche Arbeiten bleibt das normale Konto.
- Lager, Produktion, Pflege: Wo es kein Diensthandy gibt oder private Geräte tabu sind, ist ein FIDO2-Schlüssel am Schlüsselbund oft die einfachste Lösung.
- SMS: nur als vorübergehende Notlösung. Microsoft empfiehlt, SMS und Sprachanrufe für MFA nicht mehr zu verwenden.
Externe IT-Dienstleister
Viele kleine IT-Abteilungen arbeiten mit einem Partner, der Server, Firewall oder Microsoft 365 betreut. Für dessen Konten gelten dieselben Regeln wie für die eigenen: persönliche Konten statt geteilter Admin-Zugänge, MFA ohne Ausnahme und eine Befristung, die regelmäßig verlängert werden muss. Wie KYBERNA Unternehmen bei Microsoft 365 unterstützt, steht auf der Leistungsseite.
Sechs Situationen aus dem Support-Alltag
Nach der Einführung zeigt sich schnell, welche Fälle immer wiederkehren. Wer sie vorab regelt, spart sich Diskussionen am Telefon.
1. Neues Diensthandy
Ein Mitarbeiter in Wien bekommt ein neues Smartphone. Ist das alte noch da, registriert er die App selbst über die Seite „Sicherheitsinformationen“ und entfernt danach das alte Gerät. Eine bebilderte Anleitung im Self-Service-Portal beantwortet die meisten Fragen, bevor sie zum Ticket werden.
2. Handy verloren, Wochenende
Wer sein Smartphone verliert, meldet das sofort. Die IT entfernt die Methode und beendet offene Sitzungen. Für den Neustart gibt es in Entra ID den befristeten Zugriffspass: einen zeitlich begrenzten Code, mit dem die Person ihr neues Gerät registriert.
3. Neue Kollegin vor dem ersten Arbeitstag
Auch hier hilft der befristete Zugriffspass. Er wird am ersten Tag persönlich übergeben, nicht vorab per privater E-Mail. So ist die Registrierung an eine Identitätsprüfung gekoppelt.
4. Unerwartete Anmeldeanfrage
Eine Mitarbeiterin in Graz bekommt abends eine Anfrage, obwohl sie nicht arbeitet. Das deutet darauf hin, dass ihr Kennwort bekannt ist. Richtig ist: ablehnen, melden, Kennwort ändern. Die IT prüft danach die Anmeldeprotokolle.
5. Anruf „von der IT“ oder „von einem Kollegen“
Laut CISA geben sich Angreifer am Telefon als Mitarbeitende aus und überreden Helpdesks, Kennwörter zurückzusetzen oder MFA auf ein fremdes Gerät zu übertragen. Ein Reset sollte deshalb nie allein auf Zuruf erfolgen, sondern nur nach Rückruf an die bekannte Nummer oder mit Bestätigung durch die Führungskraft.
6. Altes Gerät oder Programm ohne MFA
Ein Multifunktionsgerät, das per SMTP mit Benutzername und Kennwort Scans versendet, oder ein veralteter Mail-Client kann keinen zweiten Faktor abfragen. Microsoft empfiehlt, solche älteren Authentifizierungsprotokolle zu blockieren. Für Geräte braucht es dann eine eigene, sichere Lösung.
Viele dieser Fälle lassen sich mit Anleitungen und Formularen im Self-Service lösen, ohne dass jemand anrufen muss.
Checkliste für die Einführung und was das NISG 2026 verlangt
MFA in acht Schritten einführen
- Bestandsaufnahme: Welche Konten, Standorte, Geräte und Programme melden sich an Microsoft 365 an?
- Administratoren zuerst umstellen, am besten mit FIDO2-Sicherheitsschlüsseln.
- Mindestens zwei Notfallzugriffskonten anlegen und mit Passkey oder Zertifikat schützen, wie von Microsoft empfohlen.
- Methode je Gruppe festlegen: App, Schlüssel oder in Ausnahmen SMS.
- Eine Pilotgruppe pro Standort, etwa Wien, Linz und Graz, testen lassen, bevor alle umgestellt werden.
- Anleitungen und häufige Fragen in der Knowledge Base veröffentlichen.
- Ältere Authentifizierungsprotokolle sperren und betroffene Geräte umstellen.
- Den Ablauf für Verlust, Gerätewechsel und Reset schriftlich festhalten und dem Dienstleister mitteilen.
NISG 2026
Das Netz- und Informationssystemsicherheitsgesetz 2026 setzt die NIS-2-Richtlinie in Österreich um und ist seit 1. Oktober 2026 in Kraft. § 32 Abs. 4 lit. j verlangt von wesentlichen und wichtigen Einrichtungen unter anderem die „Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung“. Ob ein Unternehmen betroffen ist, hängt von Sektor und Größe ab. Auch ohne Pflicht lohnt sich der Schritt: Microsoft gibt an, dass MFA zusammen mit dem Blockieren älterer Protokolle mehr als 99,9 Prozent der gängigen identitätsbezogenen Angriffe unterbindet.
Wer Unterstützung bei Absicherung und Betrieb sucht, findet sie bei den Cybersecurity Services von KYBERNA.
Häufige Fragen zu MFA
Was heißt MFA auf Deutsch?
MFA ist die Abkürzung für Multi-Faktor-Authentifizierung, manchmal auch Mehr-Faktor-Authentifizierung. Gemeint ist eine Anmeldung, bei der neben dem Kennwort mindestens ein weiterer, unabhängiger Nachweis verlangt wird, etwa eine Bestätigung am Smartphone.
Ist MFA in Microsoft 365 kostenlos?
Ja, in der Grundform. Die Sicherheitsstandards von Microsoft Entra ID sind ohne Aufpreis verfügbar, ebenso Microsoft Authenticator und Passkeys. Für Regeln nach Gruppe, Gerät oder Standort braucht es den bedingten Zugriff ab Entra ID P1, der auch in Microsoft 365 Business Premium enthalten ist.
Was tun, wenn Mitarbeitende kein Diensthandy haben?
Ein FIDO2-Sicherheitsschlüssel funktioniert ohne Smartphone und schützt zudem gegen Phishing. SMS auf ein privates Handy ist möglich, sollte aber eine Übergangslösung bleiben, weil Microsoft von SMS für MFA abrät.
Was ist bei einem verlorenen Handy zu tun?
Sofort der IT melden. Die IT entfernt die registrierte Methode, beendet offene Sitzungen und stellt nach einer Identitätsprüfung einen befristeten Zugriffspass aus, mit dem das neue Gerät registriert wird.
Gibt es in Österreich eine MFA-Pflicht?
Für wesentliche und wichtige Einrichtungen nach dem NISG 2026 ja: § 32 Abs. 4 lit. j nennt Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung als Risikomanagementmaßnahme. Das Gesetz ist seit 1. Oktober 2026 in Kraft.
Wie unterstützt ky2help® bei MFA?
ky2help® bietet Single Sign-on über Azure AD, heute Microsoft Entra ID. Dann gelten für die Anmeldung die MFA-Regeln aus Ihrem Microsoft-365-Mandanten. Supportfälle wie Handywechsel oder Reset lassen sich über Self-Service-Portale, Anleitungen in der Knowledge Base und feste Abläufe abwickeln.
Quellen und mehr zum Thema
Quellen
- Microsoft Learn: Sicherheitsstandards in Microsoft Entra ID
- Microsoft Learn: Was ist bedingter Zugriff?
- Microsoft Learn: Nummernabgleich in MFA-Benachrichtigungen
- Microsoft Learn: Passkeys (FIDO2) in Microsoft Entra ID aktivieren
- Microsoft Learn: Befristeter Zugriffspass
- Microsoft Learn: Legacy-Authentifizierung blockieren
- Microsoft Learn: Notfallzugriffskonten verwalten
- RIS: § 32 NISG 2026 – Risikomanagementmaßnahmen
- BSI: Vergleich von Verfahren der Zwei-Faktor-Authentisierung
- CISA: Advisory AA23-320A Scattered Spider
Weiterlesen
Alle Glossar-Artikel in der Übersicht
Erfahren Sie, wie Microsofts Verzeichnisdienst Benutzer, Geräte und Rechte zentral verwaltet – sicher & zukunftsfähig für Unternehmen.
Mehr zu Active Directory
Was ist eine API? Erfahren Sie, wie Programmierschnittstellen Anwendungen verbinden, Prozesse automatisieren und Innovation in der digitalen Wirtschaft ermöglichen.
Was ist Authentifizierung? Erfahren Sie, wie Identitäten geprüft, Konten geschützt und moderne Anmeldeverfahren wie Zwei-Faktor-Authentifizierung Ihre Sicherheit erhöhen.
Was ist ein Backlog? Erfahren Sie, wie priorisierte Aufgabenlisten Teams helfen, Projekte agil zu steuern, Prioritäten zu setzen und Fortschritte transparent zu machen.
Erfahren Sie, wie eine Balanced Scorecard Unternehmen hilft, Strategie, Ziele und Kennzahlen zu verbinden und Erfolge messbar zu machen.
Das Change Advisory Board (CAB) berät bei der Bewertung und Freigabe von Changes im IT Service Management. Erfahren Sie, wann ein CAB gebraucht wird und wie ITIL 4 die Freigabe regelt.
Mehr zum CAB
Gesteuerter Change-Prozess mit Risikoanalyse, CAB-Freigaben und Kommunikation, um Ausfallzeiten zu reduzieren und Releasessicher in Produktionsumgebungen zu bringen.
Erfahren Sie, wie KI-gestützte Chatbots Kommunikation automatisieren, Kundenservice verbessern und Prozesse effizienter gestalten.
Was ist Continuous Integration? Erfahren Sie, wie automatisierte Builds und Tests Entwicklungsprozesse beschleunigen, Fehler vermeiden und Softwarequalität steigern.
Zentrale Konfigurationsdatenbank mit CIs und Beziehungen für Transparenz, Abhängigkeits-/Impact-Analysen, Audit-Sicherheit und Change-/Incident-Beschleunigung.
Was ist CSI? Erfahren Sie, wie Continual Service Improvement in ITIL hilft, IT-Services dauerhaft zu optimieren, Qualität zu steigern und Kundenzufriedenheit zu sichern.
Der Customer Effort Score ist eine Kennzahl, die beschreibt, wie viel Aufwand ein Kunde betreiben muss, um sein Anliegen mit einem Unternehmen zu lösen.
Was ist DevOps? Erfahren Sie, wie Entwicklung und IT-Betrieb durch Automatisierung, Zusammenarbeit und CI/CD zu schnelleren, stabileren Software-Releases führen.
Was ist die DSGVO? Erfahren Sie, wie die Datenschutz-Grundverordnungpersonenbezogene Daten schützt, welche Pflichten Unternehmen haben und welche Rechte Betroffene haben.
Was ist ESM? Erfahren Sie, wie Enterprise Service Management Prozesse vereinheitlicht, Services digitalisiert und alle Abteilungen effizient miteinander verbindet.
Was ist Hardware Asset Management? Erfahren Sie, wie Unternehmen mit HAM ihre IT-Geräte effizient verwalten, Kosten senken und Sicherheit im gesamten Lebenszyklus sichern.
Ein Helpdesk ist die zentrale Schnittstelle zwischen den Anwendern eines Unternehmens und den dafür zuständigen Support-Teams.
Ein Incident ist eine Beeinträchtigung eines IT-Services, die dazu führt, dass der Service nicht wie vorgesehen genutzt werden kann.
Erfahren Sie, wie der internationale Standard Unternehmen hilft, Informationssicherheit systematisch aufzubauen, Risiken zu minimieren und Vertrauen zu schaffen.
Erfahren Sie, wie das Framework IT-Prozesse strukturiert, Qualität sichert und die IT an den Geschäftszielen ausrichtet – praxisnah und modern mit ITIL 4 oder ITIL 5.
IT Service Management (ITSM) beschreibt die Gesamtheit spezialisierter organisatorischer Fähigkeiten, um IT-Services effizient zu betreiben.
Erfahren Sie, wie die japanische Kaizen-Methode durch kleine, stetige Verbesserungen Prozesse optimiert, Qualität steigert und Mitarbeitende einbindet.
Erfahren Sie, wie die Kanban-Methode durch Visualisierung, Flusssteuerung und kleine Verbesserungen Teams effizienter und flexibler arbeiten lässt.
Key Performance Indicators (KPIs) machen Ziele messbar, bewerten Leistung und unterstützen datenbasierte Entscheidungen im Unternehmen.
Erfahren Sie, wie KI funktioniert, wo sie eingesetzt wird und warum sie unsere Arbeitswelt verändert – zwischen Innovation und Verantwortung.
Machine Learning ist ein Teilgebiet der Künstlichen Intelligenz (KI). Es ermöglicht Systemen, Muster und Zusammenhänge in Daten eigenständig zu erkennen.
Erfahren Sie, wie Multi-Faktor-Authentifizierung funktioniert, warum sie Konten wirksam schützt und welche Methoden besonders sicher und benutzerfreundlich sind.
Erfahren Sie, wie die systematische Überwachung von IT-Systemen Leistung, Sicherheit und Verfügbarkeit verbessert – für stabile und effiziente Prozesse.
Erfahren Sie, wie Natural Language Processing funktioniert, wo es eingesetzt wird und warum es Kommunikation, Analyse und Serviceprozesse revolutioniert.
Der Net Promoter Score (NPS) gehört zu den bekanntesten Kennzahlen zur Messung von Kundenzufriedenheit und -loyalität im Umfeld von IT-Ticket-Systemen.
Der Net Promoter Score (NPS) gehört zu den bekanntesten Kennzahlen zur Messung von Kundenzufriedenheit und -loyalität im Umfeld von IT-Ticket-Systemen.
Operational Level Agreements (OLA) regelt interne Zusammenarbeit, unterstützt SLA-Ziele unterstützen und macht Serviceprozesse verlässlicher.
Operational Performance Indicator (OPI) sind ein zentrales Instrument, um die Leistungsfähigkeit operativer Prozesse in Unternehmen messbar zu machen.
Predictive Maintenance ist ein moderner Instandhaltungsansatz, der nicht auf starre Intervalle setzt, sondern auf datenbasierte Vorhersagen.
Die Root Cause Analysis (RCA) ist eine strukturierte Methode, um Ursachen eines Problems oder einer Störung zu identifizieren und zu beseitigen.
Was ist eine REST API? Erfahren Sie, wie REST-Schnittstellen Systeme verbinden, Daten austauschen und moderne Anwendungen schnell, flexibel und skalierbar machen.
Was ist eine Root Cause Analysis? Lernen Sie Methoden wie 5 Why, Ishikawa und Fehlerbaum kennen und erfahren Sie, welche Methode zu welcher Störung passt.
Was ist Scrum? Erfahren Sie, wie das agile Framework Teams hilft, flexibel zu arbeiten, schneller Ergebnisse zu liefern und Projekte kontinuierlich zu verbessern.
Verständlich erklärt: Wie Service Level Agreements Leistungen definieren, Qualität messbar machen und Servicebeziehungen strukturieren.
Was ist SSO? Erfahren Sie, wie Single Sign-On funktioniert, wie es Sicherheit und Komfort verbindet und warum es in modernen IT-Landschaften unverzichtbar ist.
Erfahren Sie, wie das Software Asset Management (SAM) Softwarebestände transparent macht, Kosten optimiert und Compliance sowie IT-Sicherheit stärkt.
Kompakt erklärt: Wie Sprints Teams helfen, in kurzen Zyklen zu planen, zu liefern und sich kontinuierlich zu verbessern.
Was ist eine SOP? Erfahren Sie, wie Standard Operating Procedures Abläufe standardisieren, Qualität sichern und Organisationen zuverlässiger machen.
Erfahren Sie, wie User Experience entsteht, warum sie entscheidend für Erfolg und Zufriedenheit ist und wie gute Nutzererlebnisse gestaltet werden.
Webhooks ermöglichen es, Ereignisse aus einem System in Echtzeit an ein anderes zu übermitteln, ohne dass ständige Abfragen erforderlich sind.
Was ist ein Workflow? Erfahren Sie, wie strukturierte Abläufe Prozesse vereinfachen, Qualität sichern und Unternehmen effizienter machen.
KYBERNA AG
