MFA-Methoden im Vergleich: Authenticator, FIDO2, Passkeys und Co.

Kurzfassung vorab

MFA ist nicht gleich MFA. Die unbequeme Wahrheit: Der zweite Faktor, den die meisten nutzen – SMS-Code oder TOTP – lässt sich mit einer halbwegs gemachten Phishing-Seite genauso abgreifen wie das Passwort selbst. Wirklich sicher wird es erst mit phishing-resistenten Methoden: FIDO2, Passkeys, Windows Hello. Wer 2026 noch SMS als zweiten Faktor verteilt, hat MFA zwar formal eingeführt, den Angreifer aber nur milde ausgebremst. Dieser Leitfaden sortiert die Methoden nach dem einzigen Kriterium, das wirklich zählt – und zeigt, welche du wem gibst.

Phishing-Resistenz ist das entscheidende Kriterium: grün hält einer Phishing-Seite stand, rot nicht.

Warum nicht jeder zweite Faktor gleich viel wert ist

Der entscheidende Unterschied zwischen den Methoden ist nicht Komfort und auch nicht der Preis, sondern die Phishing-Resistenz. Ein Code – egal ob per SMS, per Anruf oder aus einer TOTP-App – ist nur eine Zeichenfolge, die der Benutzer irgendwo eintippt. Und was der Benutzer eintippen kann, kann er auch auf einer gefälschten Anmeldeseite eintippen. Moderne Phishing-Kits leiten diese Eingabe in Echtzeit weiter und sind innerhalb von Sekunden im echten Konto.

Phishing-resistente Verfahren machen genau das unmöglich. FIDO2, Passkeys und Windows Hello for Business arbeiten mit einem kryptografischen Schlüsselpaar, das fest an die echte Domain gebunden ist. Der private Schlüssel verlässt das Gerät nie, und gegenüber einer Phishing-Domain weigert sich der Browser schlicht, ihn zu verwenden. Es gibt also nichts, was der Benutzer versehentlich „weitergeben“ könnte.

Links der grünen Linie lässt sich der Faktor abgreifen, rechts davon nützt die geklaute Eingabe dem Angreifer nichts.

Die Methoden im Einzelnen – von schwach bis kompromisslos

SMS und Telefonanruf sind das untere Ende. Sie sind besser als gar kein zweiter Faktor, aber anfällig für Phishing, SIM-Swapping und abgefangene Nachrichten. Behandle sie als reinen Notnagel, nicht als Strategie. TOTP-Codes aus einer App sind etwas robuster gegen SIM-Swapping, aber als reine Zeichenfolge genauso phishbar.

Authenticator-Push mit Nummernabgleich (Number Matching) ist der vernünftige Mittelweg für die Breite: bequem, weit verbreitet und durch den Zahlenabgleich gegen die früher beliebten „MFA-Fatigue“-Angriffe geschützt, bei denen der Nutzer entnervt irgendwann auf „Genehmigen“ tippt. Phishing-resistent ist auch das nicht, aber es ist eine solide Basis für normale Benutzer.

Ganz oben stehen die drei phishing-resistenten Verfahren. FIDO2-Sicherheitsschlüssel sind kleine Hardware-Token für USB oder NFC – ideal für Administratoren und gemeinsam genutzte Geräte. Passkeys sind im Grunde dasselbe Prinzip, nur ohne separate Hardware: gespeichert im Authenticator oder direkt auf der Plattform. Windows Hello for Business bindet die Anmeldung an Biometrie oder PIN des konkreten Geräts und ist auf einer verwalteten Windows-Flotte der bequemste phishing-resistente Weg.

Passkeys – device-bound oder synced?

Passkeys sind aktuell der große Hoffnungsträger, weil sie phishing-resistente Sicherheit mit echtem Komfort verbinden. Es gibt sie aber in zwei Geschmacksrichtungen, die man auseinanderhalten muss. Device-bound Passkeys (etwa auf einem FIDO2-Key) verlassen das Gerät nie. Synced Passkeys werden über ein Plattform-Konto zwischen den Geräten des Nutzers synchronisiert – bequem, aber sie hängen damit an der Sicherheit dieses Komfort-Kontos.

Hochprivilegierte oder regulierte Rollen bekommen device-bound, alle anderen fahren mit synced Passkeys am besten.

Methoden gezielt erzwingen mit Authentication Strengths

Der häufigste Denkfehler: „Wir erzwingen MFA“ – und dann darf jeder mit irgendeiner Methode ran, auch mit der schwächsten. Genau hier kommen Authentication Strengths ins Spiel. Damit definierst du in Conditional Access nicht nur, dass ein zweiter Faktor nötig ist, sondern welcher. So koppelst du die Methode an den Schutzbedarf der jeweiligen Rolle oder App.

Schutzbedarf links, passende Auth-Stärke in der Mitte, durchgesetzt per CA-Policy rechts.

Entra ID bringt drei vordefinierte Stärken mit: MFA, passwortlose MFA und phishing-resistente MFA. Für die meisten ist die mittlere Stufe ein guter Start, für Administratoren setzt du die phishing-resistente Stufe. Du kannst auch eigene Stärken definieren, wenn du etwa SMS gezielt ausschließen willst.

Umsetzung – verfügbare Methoden prüfen

Bevor du eine Stärke erzwingst, willst du wissen, welche Methoden in deinem Tenant überhaupt registriert sind – sonst sperrst du Leute aus, die noch gar keinen phishing-resistenten Faktor haben. Über Microsoft Graph PowerShell bekommst du die Registrierungsübersicht:

Das Ergebnis ist deine To-do-Liste: alle Benutzer, die noch keine passwortlose oder phishing-resistente Methode registriert haben. Genau die rollst du zuerst aus, bevor du die strengere Auth-Stärke scharf schaltest.

Beispiel aus der Praxis

Die Sparfuchs & Partner Steuerberatungs GmbH ist klein, das Budget knapp, und MFA läuft seit Jahren über SMS-Codes – „hat ja immer funktioniert“. Bis ein Mitarbeiter auf eine täuschend echte Microsoft-365-Anmeldeseite hereinfällt, brav Passwort und SMS-Code eintippt, und der Angreifer beides in Echtzeit weiterreicht.

Die Lösung muss zum Budget passen. Teure Hardwareschlüssel für alle scheiden aus. Also: Passkeys im Authenticator für die gesamte Belegschaft (kostet nichts außer etwas Einrichtungszeit) und zwei FIDO2-Keys nur für die beiden Partner, die Zugriff auf die Mandantendaten haben. Dazu eine Conditional-Access-Policy, die für die sensible DATEV-Anbindung die phishing-resistente Auth-Stärke verlangt.

Ergebnis: SMS bleibt nur noch als Notfall-Fallback registriert, die tägliche Anmeldung läuft phishing-resistent, und das Ganze hat außer zwei günstigen Hardwareschlüsseln keinen Cent gekostet. Der nächste Phishing-Versuch läuft schlicht ins Leere.

Verwandte Artikel

Häufige Fragen (FAQ)

Ist MFA per SMS wirklich so unsicher?

SMS-MFA ist deutlich besser als gar kein zweiter Faktor, aber das schwächste der gängigen Verfahren. Es ist anfällig für Phishing, SIM-Swapping und abgefangene Nachrichten. Nutze es nur noch als Notfall-Fallback, nicht als primäre Methode – und schalte es für Administratoren ganz ab.

Was bedeutet „phishing-resistente MFA“ genau?

Phishing-resistente Methoden – FIDO2, Passkeys, Windows Hello for Business – nutzen ein kryptografisches Schlüsselpaar, das an die echte Domain gebunden ist. Der private Schlüssel verlässt das Gerät nie und funktioniert auf einer gefälschten Seite nicht. Es gibt also keinen Code, den der Nutzer versehentlich weitergeben könnte.

Was ist der Unterschied zwischen device-bound und synced Passkeys?

Device-bound Passkeys verlassen das Gerät nie – etwa auf einem FIDO2-Sicherheitsschlüssel. Synced Passkeys werden über ein Plattform-Konto (Microsoft, Apple, Google) zwischen den Geräten des Nutzers synchronisiert. Synced ist bequemer, device-bound ist die kompromisslose Wahl für hochprivilegierte oder regulierte Rollen.

Brauche ich für Passkeys oder FIDO2 eine teure Lizenz?

Nein. Die reine Nutzung phishing-resistenter Methoden ist in Entra ID Free möglich, und auch Authentication Strengths sind dort enthalten. Kostenpflichtig wird es erst, wenn du die Methode über eine Conditional-Access-Policy erzwingen willst – dafür brauchst du P1. Die FIDO2-Hardwareschlüssel selbst kosten natürlich etwas.

Wofür sind Authentication Strengths gut?

Mit Authentication Strengths legst du in Conditional Access nicht nur fest, dass MFA nötig ist, sondern welche Methode. So kannst du normalen Benutzern Push erlauben, für sensible Apps passwortlose Methoden verlangen und für Administratoren ausschließlich phishing-resistente Verfahren erzwingen – statt allen dasselbe MFA aufzuzwingen.

Sollte ich Number Matching beim Authenticator-Push aktivieren?

Unbedingt – und inzwischen ist es ohnehin Standard. Number Matching schiebt den sogenannten MFA-Fatigue-Angriffen einen Riegel vor, bei denen ein Angreifer so lange Push-Anfragen schickt, bis der genervte Nutzer auf „Genehmigen“ tippt. Mit Zahlenabgleich muss er eine angezeigte Zahl eingeben, was blindes Bestätigen unmöglich macht.

Wie geht es weiter?