Nicht jede MFA ist gleich: Umstieg auf phishing-resistente Authentifizierung
SMS- und Push-basierte MFA stoppen weiterhin Massenangriffe, aber moderne Phishing-Kits besiegen sie. Phishing-resistente Faktoren wie Passkeys und Hardware-Keys schließen die Lücke, die Einmalcodes offen lassen.
Kurz gefasst: SMS- und Push-basierte MFA stoppen weiterhin Massenangriffe, aber moderne Phishing-Kits besiegen sie. Phishing-resistente Faktoren wie Passkeys und Hardware-Keys schließen die Lücke, die Einmalcodes offen lassen.
MFA legte die Latte höher – dann passten sich Angreifer an
Multi-Faktor-Authentifizierung reduzierte den Erfolg von Credential-Stuffing dramatisch, und dieser Gewinn ist real. Aber Gegner wechselten zu Echtzeit-Phishing-Proxies und MFA-Fatigue-Angriffen, die Einmalcodes abgreifen oder einen Nutzer mit Push-Prompts zermürben, bis er einen genehmigt.
Die Schwäche ist das geteilte Geheimnis: Jeden Faktor, den ein Nutzer lesen und abtippen kann, kann ein Angreifer weiterreichen.
Was phishing-resistent tatsächlich bedeutet
- Credentials, die an den Origin gebunden sind, sodass eine Look-alike-Domain sie nicht weiterreichen kann.
- Kryptografischer Besitznachweis statt eines Codes, den der Nutzer kopiert.
- Passkeys und FIDO2-Hardware-Keys als die stärksten weit verfügbaren Optionen.
- Push und SMS nur als Fallback beibehalten, nie als alleiniger Faktor für privilegierten Zugriff.
Ein pragmatischer Rollout
Du musst nicht den Ozean auskochen. Beginne mit den Konten, die am meisten zählen – Administratoren, Finance und alle, die Änderungen freigeben können – und verlange dort zuerst phishing-resistente Faktoren. Weite die Abdeckung aus, während Enrollment-Tooling und Geräte-Support aufholen.
KENSAIs Posture-Checks helfen dir zu sehen, wo schwache Authentifizierung noch sensiblen Zugriff bewacht, sodass der Rollout auf echtes Risiko zielt statt auf Rätselraten.
Ausrollen, ohne Nutzer zu brechen
Phishing-resistente Methoden wie Passkeys und Hardware-Security-Keys besiegen die Angriffe, die Push-Benachrichtigungen und Einmalcodes nicht können, weil es kein geteiltes Geheimnis gibt, das eine gefälschte Seite erfassen könnte. Die Migration ist ebenso sehr Change-Management wie Technologie.
Beginne mit den risikoreichsten Konten, Admins und allen, die Geld oder Daten bewegen können, und weite die Abdeckung dann in Wellen aus. Registriere einen Backup-Key für jeden Nutzer, definiere einen geprüften Recovery-Pfad, der selbst phishing-resistent ist, und miss die Adoption, sodass die schwachen Fallback-Methoden mit Sicherheit statt mit Rätselraten abgeschaltet werden können.
Fazit
MFA ist notwendig, aber allein nicht mehr ausreichend. Phishing-resistente Faktoren entfernen das weiterreichbare Geheimnis, und sie zuerst auf hochprivilegierte Konten auszurollen liefert die größte Risikosenkung am schnellsten.