In welcher Reihenfolge einführen?
- Administratorkonten zuerst: Sie haben die weitreichendsten Rechte und sind das lohnendste Ziel.
- Notfallkonten einrichten, bevor Richtlinien greifen: mindestens zwei Konten mit eigener, starker Anmeldemethode – etwa einem FIDO2-Sicherheitsschlüssel –, die gesondert überwacht werden.
- Pilotgruppe: einige Mitarbeitende aus verschiedenen Abteilungen, um Stolpersteine früh zu finden.
- Alle Mitarbeitenden – mit Ankündigung, kurzer Anleitung und festem Stichtag.
- Ausnahmen und Altlasten schließen: Dienstkonten, geteilte Postfächer und ältere Protokolle ohne MFA-Unterstützung.
Welche Methode ist die richtige?
Nicht jeder zweite Faktor schützt gleich gut.
- Passkeys, FIDO2-Sicherheitsschlüssel und Windows Hello for Business gelten als phishing-resistent: Die Anmeldung ist an das Gerät und an die echte Anmeldeseite gebunden.
- Die Authenticator-App mit Nummernabgleich ist ein guter Standard für die Breite.
- SMS und Anruf sind besser als nichts, lassen sich aber abfangen und sollten nur Rückfalloption sein.
Typische Fehler
- Stillschweigende Ausnahmen für die Geschäftsführung oder einzelne „wichtige“ Nutzer – gerade diese Konten sind für Angreifer besonders attraktiv.
- Zu häufige Abfragen: Wer zehnmal am Tag bestätigen muss, bestätigt irgendwann blind.
- Alte Anmeldeprotokolle (Legacy Authentication) bleiben aktiv und umgehen MFA vollständig.
- Kein Ablauf für verlorene Smartphones – dann wird im Ernstfall improvisiert.
MFA allein reicht nicht
MFA beantwortet die Frage, wer sich anmeldet. Conditional Access ergänzt, von welchem Gerät, von wo und mit welchem Risiko – und macht aus „wir haben MFA“ tatsächliche Kontrolle über den Zugriff.
Stand: November 2026