Was ist MFA?

Die Multi-Faktor-Authentifizierung (MFA) ist ein Authentifizierungsverfahren, bei dem ein Benutzer zwei oder mehr voneinander unabhängige Identitätsnachweise vorlegen muss – etwas, das er weiß, wie beispielsweise ein Passwort, etwas, das er besitzt, wie beispielsweise einen Einmalcode oder ein Gerätezertifikat, oder etwas, das ihn ausmacht, wie beispielsweise ein biometrisches Merkmal –, bevor ihm der Zugriff gewährt wird.

Die wichtigsten Erkenntnisse

• MFA erfordert zwei oder mehr unabhängige Identitätsnachweise, nicht nur ein Passwort.
• Gängige Faktoren: Passwörter, Einmalcodes, Gerätezertifikate, biometrische Daten.
• Ein gestohlenes Passwort allein reicht nicht aus, um bei MFA Zugriff zu gewähren.
• Versa Unterstützt MFA über TOTP, E-Mail-OTP und Gerätezertifikatsprofile.
• Die Wahl zwischen „Trusted-IP“ und „Local-Breakout“ beeinflusst, wie oft MFA-Aufforderungen angezeigt werden.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · MFA & Versa · Häufig gestellte Fragen

Warum ist MFA wichtig?

Passwörter allein sind ein schwacher Schutz: Sie werden durch Phishing ergaunert, wiederverwendet, erraten oder bei Sicherheitsverletzungen offengelegt, und sobald ein Angreifer eines davon besitzt, kann ein reines Passwortsystem keine weitere Überprüfung mehr vornehmen. MFA schließt diese Lücke, indem es einen zweiten, unabhängigen Nachweis verlangt, über den ein Angreifer selbst nach dem Diebstahl von Anmeldedaten selten verfügt – einen Code von einem Gerät, das der echte Benutzer besitzt, oder ein Zertifikat, das an einen bekannten Rechner gebunden ist.

Dies gewinnt zunehmend an Bedeutung, da sich die Arbeit zunehmend außerhalb des Unternehmensnetzwerks abspielt. Remote-Benutzer, Zweigstellen und Cloud-Anwendungen authentifizieren sich alle über das offene Internet, wo „Credential Stuffing“ und Phishing an der Tagesordnung sind. MFA ist eine der Maßnahmen mit der höchsten Wirksamkeit: Analysten führen die meisten erfolgreichen Angriffe zur Kontoübernahme auf das Fehlen eines zweiten Authentifizierungsfaktors zurück. Sie ist zudem ein Grundpfeiler des Zero-Trust-Ansatzes, der davon ausgeht, dass keine Verbindung von Haus aus vertrauenswürdig ist, und die Identität kontinuierlich überprüft, bevor Zugriff gewährt wird.

Was ist MFA?

MFA kombiniert Faktoren aus mindestens zwei von drei Kategorien. Wissensfaktoren sind etwas, das der Benutzer weiß, wie beispielsweise ein Passwort oder eine PIN. Besitzfaktoren sind etwas, das der Benutzer besitzt, wie beispielsweise ein Smartphone, das ein Einmalpasswort generiert, einen SMS- oder E-Mail-Code oder ein Zertifikat auf einem registrierten Gerät. Biometrische Faktoren sind etwas, das der Benutzer ausmacht, wie beispielsweise ein Fingerabdruck oder ein Gesichtsscan.

Ein typischer Ablauf beginnt mit einer primären Anmeldeinformation – einem Benutzernamen und einem Passwort oder einer Verzeichnisanmeldung –, woraufhin der Benutzer zur Eingabe eines zweiten Authentifizierungsfaktors aufgefordert wird, bevor die Sitzung autorisiert wird. Welcher Faktor abgefragt wird, kann vom Kontext abhängen: Ein bekanntes Gerät wird möglicherweise seltener überprüft als ein unbekanntes – ein Verfahren, das als adaptive Authentifizierung bezeichnet wird. In jedem Fall reicht eine einzelne gestohlene Anmeldeinformation für sich allein nicht aus.

Arten von MFA

Die Implementierungen unterscheiden sich darin, welchen zweiten Faktor sie verwenden und wie dieser den Nutzer erreicht. Bei SMS- oder E-Mail-OTP wird ein kurzer Code an ein registriertes Mobiltelefon oder in den Posteingang gesendet – einfach zu implementieren, aber abhängig von der Sicherheit des Kanals. TOTP generiert einen Code lokal in einer Authentifizierungs-App aus einem gemeinsamen Geheimnis und der aktuellen Uhrzeit, wodurch die Übermittlung über das Netzwerk vollständig vermieden wird. Bei einer Push-Benachrichtigung wird anstelle eines manuell eingegebenen Codes eine Aufforderung zum Bestätigen oder Ablehnen an eine mobile App gesendet. Hardware- oder FIDO-Sicherheitsschlüssel nutzen an ein Gerät gebundene Public-Key-Kryptografie und sind damit weitaus widerstandsfähiger gegen Phishing als ein manuell eingegebener Code. Bei der Authentifizierung per Gerätezertifikat wird ein Zertifikat auf einem bekannten Gerät überprüft, in der Regel zusammen mit Anmeldedaten. Biometrische Verfahren – Fingerabdruck oder Gesichtserkennung – dienen typischerweise als lokale Entsperrmethode, die zusätzlich zu einer der oben genannten Methoden eingesetzt wird.

MFA & Versa

Versa setzt MFA in allen Bereichen der Verwaltung und des Zugriffs ein. In „Versa Director“ können Administratoren die Zwei-Faktor-Authentifizierung für jeden Benutzer aktivieren, wobei nach der Anmeldung ein per E-Mail oder SMS übermittelter Code eingegeben werden muss; da „Director“ FIDO nicht nativ unterstützt, kombinieren Unternehmen, die eine phishing-resistente Authentifizierung benötigen, diese mit SSO zu einem FIDO-fähigen Identitätsanbieter und leiten diese Sicherheitsgarantie an „Director“, „Concerto“ und den „ SASE “-Client weiter.

Für Remote-Benutzer ist die MFA in den Registrierungsablauf des „SASE “-Clients integriert: Der Client kann vor Abschluss der Registrierung ein zeitbasiertes Einmalpasswort oder einen per E-Mail versendeten Code verlangen. Dies wird über den MFA-Schalter in der sicheren clientbasierten Zugriffsregel konfiguriert, wobei das TOTP als scanbarer QR-Code bereitgestellt wird.

MFA wirkt sich auch auf die Netzwerkgestaltung aus. Der Leitfaden zur Integration von Azure Active Directory und MFA zeigt, wie ein lokaler Internet-Breakout die Anzahl der vertrauenswürdigen IP-Adressen vervielfachen kann, die ein Identitätsanbieter nachverfolgen muss; durch die zentrale Weiterleitung des Authentifizierungsdatenverkehrs bei gleichzeitiger lokaler Weiterleitung des übrigen SaaS-Datenverkehrs bleiben MFA-Ausnahmen überschaubar, ohne dass der Leistungsvorteil verloren geht.

Häufig gestellte Fragen

Ist MFA dasselbe wie die Zwei-Faktor-Authentifizierung (2FA)?

2FA ist ein Sonderfall von MFA, bei dem genau zwei Faktoren zum Einsatz kommen. MFA ist der übergeordnete Begriff und kann auch mehr Faktoren umfassen – zum Beispiel ein Passwort, einen TOTP-Code und ein Gerätezertifikat zusammen. Jede 2FA-Konfiguration ist eine MFA-Konfiguration; nicht jede MFA-Konfiguration beschränkt sich jedoch auf zwei Faktoren.

Was sind die drei Hauptkategorien von Authentifizierungsfaktoren?

Wissen (etwas, das man weiß, wie z. B. ein Passwort), Besitz (etwas, das man hat, wie z. B. ein Smartphone, das einen Code generiert, oder ein Zertifikat auf einem registrierten Gerät) und biologische Merkmale (etwas, das man ist, wie z. B. ein Fingerabdruck oder ein Gesichtsscan). Bei der MFA werden Faktoren aus mindestens zwei Kategorien kombiniert.

Unterstützt „ Versa Director“ FIDO-basierte MFA nativ?

Nr. Versa Die in Director integrierte Zwei-Faktor-Authentifizierung liefert einen Code per E-Mail oder SMS. Für FIDO oder andere fortschrittliche Methoden muss Director mit SSO an einen Identitätsanbieter gekoppelt werden, der FIDO unterstützt. Dieser leitet die stärkere Authentifizierung dann an Director, Concerto und den „ SASE “-Client weiter.

Wie nutzt der „ Versa “SASE Client die MFA?

Bei der Registrierung kann der „ SASE “-Client einen zweiten Authentifizierungsfaktor verlangen – beispielsweise ein zeitabhängiges Einmalpasswort aus einer Authentifizierungs-App oder einen per E-Mail an den Benutzer gesendeten Code –, bevor die Registrierung abgeschlossen wird. Über die Richtlinie „Gateway-to-Client“ kann die MFA zudem als Voraussetzung für die Verbindungsphase vorgeschrieben werden.

Kann ein Unternehmen die Anzahl der MFA-Abfragen reduzieren, ohne dabei die Sicherheit zu beeinträchtigen?

Ja, mithilfe von Ausnahmen für vertrauenswürdige IP-Adressen: Identitätsanbieter können die MFA für Datenverkehr von bekannten, vertrauenswürdigen Adressen, wie beispielsweise einem Rechenzentrum, umgehen. Versa Secure SD-WAN unterstützt dies, indem der Authentifizierungsdatenverkehr zentral weitergeleitet wird, während anderer SaaS-Datenverkehr lokal weitergeleitet wird, wodurch die Liste der vertrauenswürdigen IP-Adressen klein gehalten wird.

Mehr zum MFA

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über den MFA-Studiengang informieren, sollten Sie sich als Nächstes diese Informationen ansehen.