Einleitung

Multifaktor-Authentifizierung (MFA) gehört zu den wichtigsten Maßnahmen, um Benutzerkonten vor unbefugtem Zugriff zu schützen. Häufig genügt schon die Aktivierung einer Authenticator-App, um einen zusätzlichen Schutz durch zeitbasierte Einmalpasswörter (TOTP) einzurichten.

Doch bevor man überall den zweiten Faktor aktiviert, sollte man sich eine grundlegendere Frage stellen: Welche Zugänge gibt es überhaupt, und wie sind diese abgesichert?

Gerade in kleinen Unternehmen und Familienbetrieben ist die IT häufig historisch gewachsen. Neben E-Mail und Cloud-Diensten gibt es WordPress, Webmail, VPN, SSH, Windows-Arbeitsplätze, Netzwerkgeräte, Server und Backup-Systeme. Nicht jeder Dienst unterstützt MFA, und nicht jeder Zugang lässt sich sinnvoll mit einer Authenticator-App absichern.

Ein Sicherheitskonzept sollte deshalb nicht mit der Auswahl einer App beginnen, sondern mit einer Bestandsaufnahme. Erst danach lässt sich entscheiden, wo TOTP sinnvoll ist, wo andere Verfahren benötigt werden und wie mit Geräteverlust, Datenschutz und Wiederherstellung umzugehen ist.

Welche Zugänge gibt es überhaupt?

Zunächst sollten alle relevanten Zugänge erfasst werden:

Externe Dienste: E-Mail, Cloud, Onlinebanking, Buchhaltung und andere geschäftliche Webanwendungen.
Webauftritt: WordPress, andere Content-Management-Systeme (CMS), Hosting, Domainregistrar und DNS-Verwaltung.
Webmail: Anmeldungen an webbasierten E-Mail-Oberflächen und gegebenenfalls vorgeschalteten Single-Sign-on-Systemen.
Fernzugriff: VPN, SSH, RDP und Fernwartungssoftware von IT-Dienstleistern.
Interne Systeme: Windows-Anmeldungen, Server, Hypervisoren und administrative Benutzerkonten.
Netzwerktechnik: Firewalls, Router, Switches und WLAN-Access-Points.
Hardwaremanagement: BMC, IPMI, iDRAC und iLO zur unabhängigen Verwaltung von Serverhardware.
Datensicherung: Backup-Server, NAS-Systeme, Backup-Konsolen und Cloud-Backup-Dienste.
Technische Zugänge: API-Schlüssel, Dienstkonten, Skripte und automatisierte Aufgaben.

Für jeden Zugang sollte geklärt werden, wer ihn benötigt, ob er aus dem Internet erreichbar ist, welche Authentifizierung eingesetzt wird und ob MFA unterstützt wird.

Auch gemeinsam genutzte Administratorkonten, alte Dienstleisterzugänge und Notfallkonten gehören auf diese Liste.

TOTP: Ein sinnvoller Einstieg, aber nicht für jeden Zugang

TOTP steht für Time-based One-Time Password. Eine Authenticator-App erzeugt zeitabhängige Einmalcodes, die üblicherweise alle 30 Sekunden wechseln.

Das Verfahren ist weit verbreitet, einfach einzurichten und für viele Cloud-Dienste, VPN-Lösungen und Administrationsoberflächen geeignet. Es funktioniert ohne SMS und benötigt bei der Codeerzeugung keine permanente Internetverbindung.

Allerdings ist TOTP nicht phishingresistent. Ein Angreifer kann einen Code beispielsweise über eine gefälschte Anmeldeseite abfangen und unmittelbar verwenden. Wo verfügbar, sind Passkeys oder FIDO2-Sicherheitsschlüssel insbesondere für privilegierte Konten vorzuziehen.

TOTP bleibt dennoch eine praktikable Lösung für viele kleine Unternehmen. Wichtig ist, nicht nur die Aktivierung zu betrachten, sondern auch die sichere Speicherung der Geheimnisse und den Umgang mit einem Geräteverlust zu planen.

Firmenhandy, privates Smartphone oder separates TOTP-Gerät?

Sobald Mitarbeiter TOTP verwenden sollen, stellt sich eine organisatorische Frage: Auf welchem Gerät werden die Geheimnisse gespeichert?

Privates Smartphone

Die einfachste Lösung ist häufig eine Authenticator-App auf dem privaten Handy. Das verursacht keine zusätzlichen Anschaffungskosten, bringt aber Fragen zu Datenschutz, Verfügbarkeit und Verantwortlichkeit mit sich.

Ein Unternehmen sollte klären, ob Mitarbeiter ihr privates Gerät überhaupt für betriebliche Sicherheitsmaßnahmen verwenden müssen, welche Daten eine App verarbeitet und welche Alternativen es gibt, wenn jemand kein privates Smartphone nutzen möchte.

Die Nutzung einer Authenticator-App bedeutet nicht automatisch, dass der Arbeitgeber das gesamte Smartphone verwalten oder überwachen muss. Trotzdem sollten die betrieblichen Regeln transparent sein und datenschutzrechtliche Anforderungen berücksichtigen.

Firmenhandy

Ein dienstliches Smartphone schafft klare Zuständigkeiten. Das Unternehmen kann die Geräte bereitstellen, Sicherheitsanforderungen festlegen und den Austausch oder die Wiederherstellung organisieren.

Dem stehen Anschaffungs- und Verwaltungskosten gegenüber. Für Administratoren oder Mitarbeiter mit vielen geschäftlichen Zugängen kann ein Firmenhandy sinnvoll sein. Für alle Beschäftigten ist es möglicherweise unverhältnismäßig.

Separates TOTP-Gerät

Eine weitere Möglichkeit ist ein separates Gerät, das ausschließlich für die Speicherung von TOTP-Geheimnissen verwendet wird. Das kann ein dediziertes Smartphone ohne private Nutzung oder ein geeignetes Spezialgerät sein.

Der Vorteil liegt in der klaren Trennung zwischen privaten und geschäftlichen Anwendungen. Das Gerät kann gezielt verwahrt und an definierte Personen ausgegeben werden.

Allerdings muss auch hier geregelt sein, wer das Gerät aufbewahrt, wie es gegen unbefugten Zugriff geschützt wird und wie bei Verlust oder Defekt vorzugehen ist. Ein separates Gerät ist nicht automatisch sicherer, wenn es ungeschützt herumliegt oder mehrere Personen unkontrolliert darauf zugreifen können.

Für alle Varianten gilt: Die Entscheidung sollte bewusst getroffen und dokumentiert werden. Entscheidend sind die Schutzanforderungen, die betrieblichen Abläufe und die Frage, wer im Notfall handlungsfähig bleiben muss.

Was passiert, wenn das TOTP-Gerät verloren geht?

Dieser Punkt wird bei der Einführung von MFA häufig übersehen. Wird das Smartphone gestohlen, beschädigt oder zurückgesetzt, können die gespeicherten TOTP-Geheimnisse verloren gehen. Dann ist unter Umständen auch die Anmeldung an geschäftskritischen Diensten nicht mehr möglich.

Deshalb sollte bereits bei der Einrichtung feststehen, wie ein solcher Fall behandelt wird.

Wiederherstellungscodes: Anbieter stellen häufig einmalig nutzbare Notfallcodes bereit. Diese müssen sicher und getrennt vom alltäglichen Gerät aufbewahrt werden.
Zweiter Authentifikator: Für besonders wichtige Konten kann ein zusätzlicher, sicher verwahrter Authentifikator sinnvoll sein.
Dokumentierter Wiederherstellungsprozess: Es muss klar sein, wer die Identität eines Mitarbeiters überprüft und wie ein neuer Faktor eingerichtet wird.
Kontrollierte Notfallzugänge: Kritische Systeme benötigen einen getesteten Wiederherstellungsweg, der nicht ausschließlich vom verlorenen Gerät abhängt.

Das TOTP-Secret sollte nicht unverschlüsselt in einer Tabelle oder in einer frei zugänglichen Dokumentation abgelegt werden. Auch eine Synchronisation der Geheimnisse über ein privates Cloudkonto sollte nicht ohne vorherige Bewertung der Sicherheits- und Datenschutzrisiken erfolgen.

Bei einem Diebstahl ist außerdem zu prüfen, ob das Gerät entsperrt war, welche weiteren Konten darauf gespeichert waren und ob Sitzungen oder andere Zugangsdaten widerrufen werden müssen.

MFA muss nicht nur im Normalbetrieb funktionieren, sondern auch bei Verlust eines Faktors beherrschbar bleiben.

WordPress, CMS und Webmail: Die Anmeldung nicht vergessen

Bei Webanwendungen wird MFA häufig nur für das eigentliche Benutzerkonto betrachtet. Dabei existieren oftmals mehrere voneinander unabhängige Anmeldungen.

Bei WordPress oder anderen Content-Management-Systemen sollte geprüft werden, ob die Administrationsoberfläche MFA unterstützt. Je nach System kann dies über integrierte Funktionen, Erweiterungen oder einen vorgeschalteten Identitätsdienst erfolgen. Besonders wichtig sind Administratorkonten, da diese Inhalte verändern, Benutzer anlegen und gegebenenfalls Erweiterungen installieren können.

Auch Hosting, Domainregistrar und DNS-Verwaltung müssen separat betrachtet werden. MFA für WordPress schützt nicht automatisch den Hosting-Account oder den Zugang zur Domainverwaltung.

Bei Webmail ist ebenfalls zu prüfen, ob die Anmeldung mit einem zweiten Faktor abgesichert werden kann. Das hängt davon ab, ob die Webmail-Oberfläche eine eigene Authentifizierung verwendet oder an einen zentralen Identitätsdienst angebunden ist.

Wird Webmail beispielsweise über einen zentralen Single-Sign-on-Dienst authentifiziert, kann MFA dort ansetzen. Bei einer eigenständigen Webmail-Anmeldung muss dagegen geprüft werden, welche Möglichkeiten der jeweilige Anbieter bereitstellt.

Zusätzlich sollte berücksichtigt werden, ob E-Mail-Konten über andere Protokolle oder Anwendungen erreichbar sind. Eine abgesicherte Webmail-Anmeldung bedeutet nicht automatisch, dass auch sämtliche anderen Zugriffswege auf das Postfach dieselben Anforderungen erfüllen.

SSH, VPN und RDP: Nicht überall ist TOTP die richtige Lösung

Bei administrativen Zugängen kommt es besonders auf die jeweilige Technik an.

SSH

Für Serverzugriffe sind individuelle SSH-Schlüssel mit starker Passphrase ein sinnvoller Ausgangspunkt. Die Passphrase schützt den privaten Schlüssel.

Je nach Schutzbedarf können Hardware-Sicherheitsschlüssel, SSH-Zertifikate oder zusätzliche Authentifizierungsverfahren eingesetzt werden. Passwortanmeldungen sollten nach Möglichkeit deaktiviert werden, sofern ein funktionierender alternativer Zugang sichergestellt ist.

VPN

Ein VPN mit MFA, beispielsweise über TOTP, kann den Fernzugriff deutlich besser absichern. Zugleich sollte jeder Benutzer nur auf die Systeme zugreifen können, die er tatsächlich benötigt.

Ein VPN darf nicht automatisch den gesamten Zugriff auf das interne Netzwerk freigeben. Besonders administrative Zugänge sollten gesondert betrachtet werden.

RDP

Ein direkt aus dem Internet erreichbarer RDP-Dienst sollte grundsätzlich vermieden werden. RDP sollte über einen kontrollierten Zugang, beispielsweise ein entsprechend abgesichertes VPN oder Gateway, erreichbar sein.

MFA am VPN schützt dabei den Zugang zum Netzwerk, bedeutet aber nicht automatisch, dass auch die RDP-Anmeldung selbst MFA verwendet.

Windows-Anmeldung: MFA auch am Arbeitsplatz

Die Anmeldung an Windows-Arbeitsplätzen wird häufig getrennt von der übrigen MFA-Planung betrachtet. Dabei ist auch hier zu prüfen, ob ein gestohlenes Passwort allein für die Anmeldung ausreicht.

Die Möglichkeiten hängen von der vorhandenen Infrastruktur ab. In einer klassischen Active-Directory-Umgebung, bei Univention Corporate Server (UCS) oder bei einer anderen zentralen Identitätsverwaltung muss unterschieden werden, welcher Dienst die Benutzer authentifiziert und an welcher Stelle ein zusätzlicher Faktor eingebunden werden kann.

Eine Möglichkeit ist der privacyIDEA Credential Provider. Dabei handelt es sich um eine Erweiterung für die Windows-Anmeldung, die mit einem privacyIDEA-Authentifizierungsserver kommuniziert und einen zusätzlichen Faktor abfragen kann. Unterstützt werden je nach Version und Konfiguration unter anderem TOTP, andere OTP-Verfahren und FIDO-basierte Verfahren.

Damit lässt sich MFA auch für Windows-Desktops, Server und geeignete Remotedesktop-Szenarien umsetzen. Die Integration muss jedoch passend zur jeweiligen Windows- und Domänenumgebung konfiguriert und getestet werden.

Wichtig ist die Unterscheidung zwischen der Anmeldung an einer UCS-Weboberfläche und der Anmeldung an einem Windows-Computer, der Mitglied einer Domäne ist. Die privacyIDEA-SAML-Integration für UCS ergänzt die Anmeldung am zentralen Web-Identitätsdienst. Sie aktiviert nicht automatisch MFA für jede Windows-Domänenanmeldung.

Für die direkte Windows-Anmeldung wird eine geeignete Integration auf dem Windows-System benötigt. Außerdem muss geprüft werden, ob alternative Credential Provider weiterhin eine Anmeldung ohne zweiten Faktor ermöglichen. Eine zusätzliche Komponente allein garantiert noch nicht, dass sämtliche Anmeldewege abgesichert sind.

Als weitere Möglichkeiten kommen je nach Umgebung Windows Hello for Business, Smartcards oder Sicherheitsschlüssel infrage.

Vor der Einführung sollte unbedingt geklärt werden, was passiert, wenn der MFA-Server nicht erreichbar ist, ein Benutzer seinen zweiten Faktor verliert oder ein Administrator einen Rechner im Notfall wiederherstellen muss. Änderungen an der Windows-Anmeldung sollten deshalb zunächst mit Testsystemen und einem dokumentierten Wiederherstellungsweg erprobt werden.

Wenn ein Dienst keine MFA unterstützt

Nicht jeder externe Anbieter und nicht jedes ältere Gerät unterstützt TOTP oder andere moderne MFA-Verfahren.

Dann muss eine alternative Schutzmaßnahme festgelegt werden. Dazu gehören beispielsweise:

Den Zugang nicht aus dem Internet erreichbar machen.
Zugriff nur über VPN oder ein Managementnetz ermöglichen.
Administrative Berechtigungen und erlaubte Quellnetze begrenzen.
Individuelle, starke Zugangsdaten verwenden.
Nicht benötigte Konten und Dienste deaktivieren.
Ein veraltetes oder nicht angemessen absicherbares System mittelfristig ersetzen.

Wichtig ist, dass eine fehlende MFA-Funktion nicht einfach ignoriert wird. Die verbleibende Sicherheitslücke sollte dokumentiert, bewertet und regelmäßig überprüft werden.

Ein pragmatischer Fahrplan

Für kleine Unternehmen muss die Einführung nicht zu einem umfangreichen IT-Projekt werden. Ein schrittweises Vorgehen reicht häufig aus:

Zugänge erfassen: Externe Dienste, Benutzerkonten, Fernzugänge, Netzwerkgeräte und technische Konten dokumentieren.
Kritische Konten absichern: E-Mail, zentrale Identitäten, Administratoren, VPN, Hosting, Domainverwaltung und Backups priorisieren.
MFA-Verfahren auswählen: TOTP dort einsetzen, wo es sinnvoll ist; phishingresistente Verfahren bevorzugen, wenn sie verfügbar und praktikabel sind.
Geräte und Wiederherstellung planen: Festlegen, ob private Smartphones, Firmenhandys oder separate TOTP-Geräte verwendet werden und wie bei Verlust vorzugehen ist.
Interne Administration absichern: Windows-Anmeldung, RDP-Zugänge, SSH und Managementnetzwerk prüfen.
Regelmäßig überprüfen: Berechtigungen, Notfallcodes, Wiederherstellungswege und nicht mehr benötigte Konten kontrollieren.

Fazit

Ein zweiter Faktor ist ein wichtiger Baustein der IT-Sicherheit, aber kein vollständiges Sicherheitskonzept.

Für kleine Unternehmen und Familienbetriebe beginnt eine sinnvolle MFA-Strategie mit der Frage, welche Zugänge existieren und welche Risiken von ihnen ausgehen. Erst danach werden passende Authentifizierungsverfahren und ergänzende Schutzmaßnahmen ausgewählt.

Dabei gehören nicht nur TOTP und Passwörter auf die Agenda, sondern auch die Wahl zwischen privaten und dienstlichen Geräten, der Schutz der TOTP-Geheimnisse, der Umgang mit Geräteverlust und die Absicherung interner Verwaltungszugänge.

Auch die Windows-Anmeldung, Webmail und Administrationsoberflächen von CMS dürfen nicht übersehen werden. Je nach Umgebung können zentrale Authentifizierungsdienste und geeignete Integrationen helfen, MFA über mehrere Systeme hinweg umzusetzen.

Das Ziel ist nicht, überall zwanghaft dieselbe App einzusetzen. Das Ziel ist, jeden kritischen Zugang angemessen abzusichern und auch im Notfall die Kontrolle über die eigene IT zu behalten.