Mehrfaktor-Authentifizierung ist die wirksamste einzelne Maßnahme, die ein kleines Unternehmen in seiner IT umsetzen kann, und sie hat eine ganze Angriffsklasse praktisch erledigt: Passwortlisten durchprobieren funktioniert nicht mehr. Genau daraus entsteht der Satz, der uns in Erstgesprächen am häufigsten begegnet — »MFA ist aktiv, das haben wir gemacht« — und mit ihm die Annahme, das Thema Anmeldung sei abgeschlossen.
Was der Angriff heute tatsächlich macht
Der aktuelle Ablauf ist unspektakulär und deshalb wirksam. Das Opfer klickt auf einen Link, landet auf einer Seite, die die echte Anmeldemaske nicht nachbaut, sondern durchreicht: Alles, was eingegeben wird, geht an Microsoft weiter, alles, was zurückkommt, an das Opfer. Es ist die echte Anmeldung, nur mit einem Zuhörer in der Mitte.
Entsprechend fragt die Seite auch nach dem zweiten Faktor — und der Code stimmt, weil er echt ist. Am Ende der Anmeldung stellt Microsoft ein Sitzungstoken aus, und das ist, was der Angreifer einsammelt. Mit diesem Token braucht er weder Passwort noch Faktor: Er ist angemeldet, weil jemand anderes sich korrekt angemeldet hat. MFA hat funktioniert. Abgefangen wurde nicht der Faktor, sondern das Ergebnis.
Was danach passiert, sieht selten nach einem Angriff aus. Es wird nichts verschlüsselt und nichts gesperrt. Es wird mitgelesen, eine Weile, und dann greift jemand an der Stelle ein, an der Geld die Richtung wechselt — mit korrekter Anrede, im laufenden Thread, mit einer geänderten Bankverbindung.
Die teuerste Kontoübernahme ist die, die niemandem auffällt, weil sie nichts kaputt macht.
Die drei Lücken, die wir am häufigsten finden
Altprotokolle, die noch eine Tür offen halten
Ein Multifunktionsdrucker, der Scans per Mail verschickt. Eine Branchenanwendung, die Rechnungen versendet. Beides authentifiziert sich über ein Verfahren, das keinen zweiten Faktor kennt — und solange dieser Weg offen ist, ist MFA für dieses Konto eine Empfehlung, keine Bedingung. Solche Anwendungen brauchen ein eigenes Konto mit engem Auftrag, nicht eine Ausnahme für das Postfach eines Menschen.
Die Ausnahmen — für Administratoren und für den Chef
Es gibt sie fast immer, und sie entstehen aus guten Gründen: Ein Administratorkonto, mit dem im Notfall etwas repariert werden muss, oder eine Geschäftsführung, für die Zusatzschritte am Telefon unpraktisch sind. Beides sind die wertvollsten Konten im Tenant. Eine Ausnahme dort ist keine Ausnahme von der Bequemlichkeit, sondern eine Ausnahme genau an der Stelle, an der sich der Angriff auszahlt.
SMS und Anruf als Verfahren
Besser als kein zweiter Faktor, und die schwächste der verfügbaren Methoden: abfangbar, umleitbar, und gegen die Weitergabe an eine durchreichende Seite völlig blind. Der Authenticator mit Nummernabgleich verlangt Aufmerksamkeit im richtigen Moment; ein Sicherheitsschlüssel prüft, mit welcher Adresse er spricht, und lässt sich deshalb gar nicht durchreichen.
Sechs Einstellungen, in dieser Reihenfolge
Die Reihenfolge ist nicht beliebig: Jeder Schritt verkleinert die Fläche, die der nächste noch abdecken muss. Wer bei vier anfängt, konfiguriert viel und verändert wenig.
MFA ohne Ausnahmeliste
Alle Konten, ausdrücklich auch alle administrativen. Wo eine Ausnahme unvermeidbar ist, bekommt sie ein Ablaufdatum und einen Namen, der dafür einsteht — sonst überlebt sie jeden, der sie eingetragen hat.
Altprotokolle schließen
Anmeldeverfahren ohne zweiten Faktor abschalten, und zwar erst nachdem die Geräte und Anwendungen, die sie brauchen, ein eigenes Konto mit eng gefasster Berechtigung haben. Diese Reihenfolge verhindert den Ausfall, den dieser Schritt sonst am Montagmorgen auslöst.
Methoden härten
SMS und Anruf abwählen, Authenticator mit Nummernabgleich als Standard, Sicherheitsschlüssel für administrative Konten. Das ist der Schritt, der aus »zwei Faktoren« ein Verfahren macht, das eine durchreichende Seite nicht mitnehmen kann.
Bedingten Zugriff einrichten
Regeln statt Einzelfälle: welche Geräte, welche Standorte, welche Anwendungen — und eine erneute Anmeldung, wenn sich der Kontext ändert. Das ist auch der Hebel gegen ein gestohlenes Token, weil es allein nicht mehr genügt.
Weiterleitungen sperren und alarmieren
Automatische Weiterleitung nach außen unterbinden, und jede neu angelegte Postfachregel melden lassen. Diese eine Meldung ist das zuverlässigste Frühzeichen einer Übernahme, die sonst monatelang unauffällig bleibt.
Offboarding als Ablauf
Sitzungen beenden, nicht nur das Passwort ändern — ein bestehendes Token überlebt einen Passwortwechsel. Dazu Postfach und Dateien geordnet übernehmen, statt die Lizenz zu entziehen und zu hoffen.
Der Teil, den keine Einstellung erledigt
Der Schaden entsteht in diesen Fällen fast nie technisch, sondern in einer Überweisung. Dagegen hilft eine Regel, die nichts mit IT zu tun hat und deshalb gern übergangen wird: Eine geänderte Bankverbindung wird nie per Mail bestätigt, sondern per Rückruf an die Nummer, die man vorher schon hatte — nicht an die aus der Signatur.
Diese Regel muss ausgesprochen und aufgeschrieben sein, damit die Buchhaltung sie anwenden kann, ohne unhöflich zu wirken. Genau das ist ihr Wert: Sie erlaubt es, nachzufragen, ohne jemandem zu misstrauen.
Woran man merkt, dass es schon passiert ist
- Eine Weiterleitungsregel, die niemand angelegt hat — oder eine Regel, die Nachrichten mit »Rechnung« oder »IBAN« in einen unauffälligen Unterordner verschiebt.
- Anmeldungen, die formal erfolgreich sind, aber nicht zum Arbeitstag passen: falsches Land, falsche Uhrzeit, unbekanntes Gerät.
- Eine erteilte Zustimmung für eine Anwendung, die niemand angefordert hat — Tokenzugriff hält länger als ein Passwort.
- Ein Gesprächsfaden mit einem Lieferanten, der plötzlich still ist, während die Gegenseite behauptet, geschrieben zu haben.
Diese Signale zu erkennen ist der Grund, warum Monitoring rund um die Uhr läuft und warum wir persönlich erreichbar Mo–Fr sind: Die Meldung um 03:40 nützt nur, wenn morgens jemand mit Kontext darauf schaut. Der technische Teil dieser Liste gehört zu Protect, der Offboarding-Teil zu Manage. Und wenn der Verdacht heute besteht: anrufen ist in diesem einen Fall besser als schreiben.