Bei der zusätzlichen Prüfung wird neben dem Passwort ein weiterer Nachweis verlangt. Das kann beispielsweise ein zeitlich begrenzter Code, eine Bestätigung in einer Authentifizierungs-App, ein Sicherheitsschlüssel oder ein biometrisches Merkmal sein. Dadurch bleibt ein gestohlenes oder erratenes Passwort allein in vielen Fällen unbrauchbar. Vollständigen Schutz bietet das Verfahren jedoch nur, wenn Wiederherstellung, Gerätewechsel, Rollenrechte und Notfallzugänge ebenfalls sauber geregelt sind.
Warum Passwörter im Unternehmensalltag nicht ausreichen
Passwörter werden über verschiedene Wege gefährdet. Mitarbeitende verwenden möglicherweise dasselbe Kennwort für mehrere Dienste, geben es nach einer täuschend echten Nachricht preis oder speichern es in einem unsicheren Umfeld. Auch Datenlecks bei externen Anbietern können dazu führen, dass Zugangsdaten in fremde Hände gelangen.
Für Unternehmen ist nicht nur der einzelne Benutzerzugang relevant. Ein kompromittiertes Postfach kann zum Ausgangspunkt für gefälschte Rechnungen, Schadsoftware oder weitere Angriffe werden. Wird ein Administrationskonto übernommen, können Angreifer Benutzer anlegen, Daten kopieren, Sicherheitsregeln verändern oder den Zugriff auf wichtige Systeme blockieren.
Eine zusätzliche Anmeldekomponente senkt dieses Risiko, weil ein Angreifer neben dem Passwort auch den zweiten Faktor benötigen würde. Die Schutzwirkung hängt allerdings davon ab, wie dieser Faktor umgesetzt ist. Eine Bestätigung auf einem bereits kompromittierten Gerät ist beispielsweise weniger belastbar als ein unabhängiger Sicherheitsschlüssel.
Welche Konten zuerst abgesichert werden sollten
Eine kleine Organisation muss nicht alle Einstellungen gleichzeitig umstellen. Beginnen Sie mit den Konten, deren Verlust den größten betrieblichen Schaden verursachen würde. Dazu zählen typischerweise:
- Administrationskonten für Betriebssysteme, Netzwerke und Cloud-Dienste
- geschäftliche E-Mail- und Kalenderkonten
- Zugänge zu Buchhaltung, Banking und Zahlungsdienstleistern
- Hosting-, Domain- und Website-Verwaltung
- CRM-, Projektmanagement- und Dokumentensysteme
- Konten mit Zugriff auf Kundendaten oder Personalunterlagen
- Remote-Zugänge zu Servern, Arbeitsplätzen und Unternehmensnetzwerken
Erstellen Sie zunächst eine Übersicht aller geschäftlich genutzten Dienste. Notieren Sie den jeweiligen Eigentümer, die Administrationsrolle, die hinterlegte Wiederherstellungsmethode und die Frage, ob bereits eine zusätzliche Anmeldung aktiviert ist. Private Konten, die für betriebliche Zwecke verwendet werden, sollten dabei ebenfalls erfasst und möglichst durch verwaltete Geschäftskonten ersetzt werden.
Welche Verfahren für Firmen geeignet sind
Authentifizierungs-Apps
Authentifizierungs-Apps erzeugen meist zeitlich begrenzte Einmalcodes oder zeigen eine Anmeldebestätigung an. Sie sind für viele Unternehmen ein praktikabler Standard, weil kein Mobilfunknetz erforderlich ist und die Einrichtung mit zahlreichen Cloud-Diensten möglich ist.
Bei der Bestätigung per App sollten Mitarbeitende den angezeigten Dienst, den ungefähren Anmeldeort und, sofern verfügbar, weitere Details prüfen. Eine unerwartete Aufforderung darf nicht einfach bestätigt werden. Wiederholte Anfragen können darauf hindeuten, dass jemand ein Passwort kennt und die zusätzliche Bestätigung erzwingen möchte.
Sicherheitsschlüssel
Hardwarebasierte Sicherheitsschlüssel werden per USB, NFC oder einer vergleichbaren Schnittstelle verwendet. Sie bestätigen die Anmeldung kryptografisch und sind gegen viele Arten von Phishing widerstandsfähiger als manuell eingegebene Codes.
Für Administratoren, Geschäftsführung und Personen mit Zugriff auf besonders sensible Daten kann dieser Ansatz sinnvoll sein. Planen Sie mindestens einen Ersatzschlüssel ein und dokumentieren Sie, wo er sicher aufbewahrt wird. Der Verlust eines einzigen Schlüssels darf nicht zum vollständigen Ausschluss aus einem System führen.
SMS-Codes
Ein Code per SMS ist grundsätzlich besser als ein reines Passwort, gilt aber häufig nicht als stärkste verfügbare Variante. Angriffe auf Mobilfunkkonten, manipulierte Rufnummernübernahmen und der Verlust des Telefons können die Schutzwirkung beeinträchtigen.
Wenn ein Dienst nur SMS anbietet, sollten Sie diese Option dennoch verwenden, statt auf eine zusätzliche Prüfung zu verzichten. Prüfen Sie zugleich, ob der Anbieter eine App oder einen Sicherheitsschlüssel unterstützt, und wechseln Sie bei Bedarf später auf das robustere Verfahren.
Biometrische Merkmale
Fingerabdruck oder Gesichtserkennung können die Bedienung erleichtern. In vielen Fällen entsperren sie jedoch lediglich einen lokalen Schlüssel auf dem Gerät. Entscheidend bleibt daher, wie das Gerät selbst geschützt, verwaltet und bei Verlust gesperrt wird.
Eine belastbare Einführungsstrategie entwickeln
Die Einführung sollte nicht mit einer unkoordinierten Zwangsumstellung beginnen. Prüfen Sie zuerst, welche Systeme das Verfahren unterstützen, welche Rollen betroffen sind und welche Wiederherstellungswege vorgesehen sind. Halten Sie die Ergebnisse in einer einfachen Zugangsübersicht fest.
- Systeme erfassen: Listen Sie Anwendungen, Portale, Geräte und Fernzugänge mit ihren verantwortlichen Personen auf.
- Risiken priorisieren: Ordnen Sie Konten nach Datenwert, Administrationsrechten und möglichen Folgen eines Ausfalls.
- Verfahren auswählen: Legen Sie je nach Dienst, Schutzbedarf und Arbeitsweise eine passende Methode fest.
- Testgruppe bilden: Starten Sie mit wenigen Mitarbeitenden aus unterschiedlichen Rollen und prüfen Sie Anmeldung sowie Wiederherstellung.
- Regeln veröffentlichen: Erklären Sie Einrichtung, sichere Nutzung, Meldewege und den Umgang mit verdächtigen Anfragen.
- Stufenweise ausrollen: Aktivieren Sie die Vorgabe zunächst für privilegierte Konten und danach für weitere Benutzergruppen.
- Nachweis führen: Dokumentieren Sie Aktivierungsstand, Ausnahmen, Ersatzverfahren und die letzte Überprüfung.
Eine Testgruppe macht sichtbar, ob bestimmte Arbeitsplätze, Mobilgeräte oder Schichtmodelle besondere Anforderungen haben. Prüfen Sie außerdem, was bei fehlender Internetverbindung, einem defekten Smartphone oder einer vorübergehenden Sperre geschieht. Ein Verfahren ist erst betriebstauglich, wenn auch diese Situationen geregelt sind.
Rollen, Zuständigkeiten und Mindestregeln
Die Geschäftsführung sollte festlegen, welche Schutzvorgaben verbindlich sind. Die technische Administration richtet die Funktionen ein, während die jeweiligen Fachverantwortlichen prüfen, welche Personen tatsächlich Zugriff benötigen. Mitarbeitende müssen wissen, an wen sie sich bei Verlust, Gerätewechsel oder verdächtigen Anmeldeanfragen wenden.
Bewährt haben sich getrennte Rollen für Verwaltung und normale Nutzung. Ein Administrator sollte nach Möglichkeit nicht dauerhaft mit einem Konto arbeiten, das umfassende Rechte besitzt. Für externe Dienstleister sind zeitlich begrenzte, persönlich zugeordnete Zugänge besser geeignet als ein gemeinsam genutztes Kennwort.
Gemeinsame Konten erschweren die Zuordnung von Aktivitäten und machen den Austausch eines Faktors kompliziert. Falls ein Dienst ein gemeinsames Funktionskonto zwingend voraussetzt, sollten Sie Zugriff, Verantwortlichkeit, Berechtigungen und Protokollierung besonders sorgfältig dokumentieren.
Wiederherstellung und Notfallzugänge absichern
Viele Sicherheitskonzepte scheitern nicht bei der normalen Anmeldung, sondern bei der Kontowiederherstellung. Prüfen Sie deshalb, wer Wiederherstellungscodes besitzt, welche E-Mail-Adresse hinterlegt ist und ob die hinterlegte Telefonnummer noch aktuell ist. Diese Informationen dürfen nicht ausschließlich bei einer einzelnen Person liegen.
Notfallzugänge sollten sparsam eingerichtet, eindeutig benannt und geschützt aufbewahrt werden. Ein Ersatzkonto mit weitreichenden Rechten darf nicht dauerhaft unkontrolliert aktiv sein. Legen Sie fest, unter welchen Bedingungen es verwendet werden darf und wie jede Nutzung dokumentiert wird.
Bei einem verlorenen Smartphone oder Sicherheitsschlüssel müssen Sie den betreffenden Faktor möglichst schnell sperren oder aus dem Konto entfernen. Dafür benötigen Sie einen alternativen, ebenfalls geschützten Verwaltungsweg. Testen Sie die Wiederherstellung in angemessenen Abständen, ohne dabei produktive Daten oder laufende Prozesse zu gefährden.
Schulung gegen Täuschung und Fehlbedienung
Technik allein verhindert nicht jede unberechtigte Anmeldung. Angreifer versuchen häufig, Mitarbeitende zur Freigabe einer echten Anmeldung zu bewegen. Deshalb sollte die interne Einweisung erklären, dass unerwartete Bestätigungsanfragen abgelehnt und über den festgelegten Meldeweg gemeldet werden.
Ebenso wichtig ist der Umgang mit QR-Codes, E-Mails und Supportanrufen. Mitarbeitende sollten Zugangsdaten und Bestätigungscodes niemals telefonisch oder per E-Mail weitergeben. Eine Supportperson benötigt normalerweise keinen Einmalcode, den sie selbst anfordern könnte.
Die Schulung muss nicht aus langen technischen Erklärungen bestehen. Eine kurze Anleitung mit typischen Situationen, einer Ansprechperson und klaren Handlungsregeln ist im Alltag oft hilfreicher. Neue Mitarbeitende sollten die Vorgaben bereits während der Einrichtung ihres Geschäftskontos erhalten.
Geräte und Endpunkte in die Absicherung einbeziehen
Ein zweiter Faktor schützt den Zugang, nicht automatisch das Gerät. Geschäftliche Smartphones und Notebooks sollten daher mit aktueller Software, Bildschirmsperre und einer geeigneten Geräteverwaltung betrieben werden. Bei Verlust muss das Unternehmen in der Lage sein, den Zugang zu sperren und, soweit erforderlich, geschäftliche Daten zu löschen.
Besonders kritisch sind private Geräte, wenn sie zugleich geschäftliche Konten, Authentifizierungs-Apps und Wiederherstellungscodes enthalten. Regeln Sie, welche Geräte zugelassen sind und welche Mindestanforderungen gelten. Berücksichtigen Sie dabei Datenschutz, private Nutzung und die Frage, wer im Notfall technische Maßnahmen auslösen darf.
Für ein kleines Unternehmen kann eine einfache Geräteübersicht ausreichen. Sie sollte zumindest Benutzer, Gerät, Betriebssystem, geschäftliche Konten und Status der Sperr- oder Löschmöglichkeit enthalten. Die Übersicht muss vor allem bei Austritten und Gerätewechseln aktuell bleiben.
Kontrolle, Protokollierung und regelmäßige Überprüfung
Nach der Einführung sollten Sie nicht nur kontrollieren, ob eine Funktion aktiviert wurde. Prüfen Sie auch, ob ausgeschiedene Mitarbeitende entfernt, alte Wiederherstellungsdaten gelöscht und privilegierte Konten weiterhin erforderlich sind.
Viele Dienste bieten Anmeldeprotokolle, Geräteübersichten oder Sicherheitsberichte. Nutzen Sie diese Informationen, um ungewöhnliche Orte, neue Geräte und fehlgeschlagene Anmeldeversuche zu erkennen. Die verfügbaren Funktionen unterscheiden sich je nach Anbieter und Tarif; prüfen Sie daher die tatsächliche Konfiguration Ihres Systems.
Planen Sie eine wiederkehrende Überprüfung, beispielsweise im Rahmen eines monatlichen oder quartalsweisen IT-Termins. Bei Änderungen an Personal, Software, Geschäftsprozessen oder externen Dienstleistern sollte die Prüfung früher erfolgen. Dokumentieren Sie nicht nur Mängel, sondern auch die Entscheidung, warum ein bestimmter Zugang bestehen bleibt.
Typische Fehler bei der Umsetzung
- Alle Faktoren liegen bei einer einzigen Person und es gibt keinen geprüften Ersatzweg.
- Ausnahmen werden dauerhaft eingerichtet, ohne Ablaufdatum oder verantwortliche Stelle.
- Gemeinsame Konten verhindern eine eindeutige Zuordnung von Anmeldungen.
- SMS bleibt aktiv, obwohl ein stärkeres Verfahren verfügbar und umsetzbar wäre.
- Mitarbeitende erhalten keine Erklärung zu unerwarteten Bestätigungsanfragen.
- Beim Austritt wird das Passwort geändert, der registrierte Faktor aber nicht entfernt.
- Wiederherstellungscodes werden unverschlüsselt in E-Mails oder offenen Dateien gespeichert.
- Ein Dienst wird ausgewählt, ohne Export, Rollenrechte, Datenschutz und Anbieterabhängigkeit zu prüfen.
Auch eine zu schnelle Aktivierung kann den Betrieb beeinträchtigen. Wenn die Anmeldung während einer wichtigen Kunden- oder Zahlungsabwicklung scheitert, entsteht unnötiger Zeitdruck. Besser ist ein geplanter Rollout mit Test, dokumentiertem Notfallweg und klarer Kommunikation.
Umsetzung in einem kleinen Betrieb
Ein lokaler Handwerksbetrieb kann zunächst die geschäftlichen E-Mail-Konten, die Buchhaltung und den Fernzugang priorisieren. Die Inhaberin legt fest, wer administrative Rechte besitzt, der zuständige Dienstleister dokumentiert die Einrichtung und alle Mitarbeitenden erhalten eine kurze Anleitung zum Umgang mit Bestätigungsanfragen.
In einer Agentur mit mehreren Cloud-Diensten lohnt sich eine zentrale Identitätsverwaltung, sofern der vorhandene Anbieter die benötigten Funktionen unterstützt. Dadurch lassen sich Benutzerkonten, Rollen und Austritte einheitlicher verwalten. Vor einer Umstellung sollten jedoch Datenexport, Schnittstellen und die Abhängigkeit vom Anbieter geprüft werden.
Ein kleiner Onlinehandel sollte zusätzlich Zahlungsdienstleister, Shopverwaltung, Domainkonto und Social-Media-Zugänge berücksichtigen. Gerade bei diesen Konten können Änderungen an Zahlungsdaten, Bestellungen oder Werbekanälen erhebliche Folgen haben. Die Zuständigkeiten gehören in eine interne Übersicht, damit bei Abwesenheit nicht nur eine Person handlungsfähig ist.
Wann externe Unterstützung sinnvoll ist
Fachkundige Unterstützung ist ratsam, wenn mehrere Standorte, komplexe Verzeichnisdienste, sensible Gesundheits- oder Personaldaten oder umfangreiche Fernzugänge betroffen sind. Auch bei einem Sicherheitsvorfall sollten Sie nicht nur das Passwort ändern, sondern Anmeldeprotokolle, aktive Sitzungen, Weiterleitungen, Berechtigungen und Wiederherstellungsoptionen prüfen lassen.
Bei der Auswahl eines Dienstleisters sollten Sie nach Erfahrung mit kleinen Unternehmen, dokumentierten Übergaben und einem nachvollziehbaren Berechtigungskonzept fragen. Lassen Sie sich erklären, wie Notfallzugänge, Protokolle, Datenschutz und die Trennung von Administrations- und Benutzerrechten behandelt werden. Eine allgemeine Produktzusage ersetzt keine Prüfung Ihrer tatsächlichen Systemlandschaft.
Für die meisten Unternehmen ist die zusätzliche Anmeldeprüfung ein wichtiger Baustein der Zugangssicherheit. Ihren Nutzen entfaltet sie vor allem dann, wenn Sie besonders gefährdete Konten priorisieren, Wiederherstellung und Geräteverlust mitplanen und die Berechtigungen regelmäßig kontrollieren. So wird aus einer einzelnen Sicherheitseinstellung ein nachvollziehbarer betrieblicher Prozess.
Häufige Fragen zur Zwei-Faktor-Authentifizierung im Unternehmen
Ist eine Zwei-Faktor-Authentifizierung für jedes Unternehmenskonto vorgeschrieben?
Eine allgemeine Pflicht für jedes Konto lässt sich nicht pauschal ableiten. Entscheidend sind der jeweilige Dienst, vertragliche oder branchenspezifische Anforderungen sowie der Schutzbedarf der verarbeiteten Daten; besonders privilegierte und sensible Zugänge sollten Sie unabhängig davon priorisieren.
Was kostet die Einführung der Zwei-Faktor-Authentifizierung für Unternehmen?
Die Kosten hängen davon ab, ob vorhandene Cloud-Dienste die Funktion bereits enthalten und ob zusätzliche Sicherheitsschlüssel, zentrale Verwaltung oder externe Unterstützung erforderlich sind. Kalkulieren Sie neben möglichen Lizenz- und Hardwarekosten auch den internen Aufwand für Bestandsaufnahme, Schulung, Dokumentation und Wiederherstellungstests.
Was sollten Mitarbeitende bei einer unerwarteten Bestätigungsanfrage tun?
Eine unerwartete Anfrage sollte abgelehnt und unverzüglich der festgelegte interne Meldeweg genutzt werden. Falls das Passwort möglicherweise eingegeben oder weitergegeben wurde, muss der Zugang zusätzlich gesichert und geprüft werden, etwa durch Passwortänderung, Abmeldung aktiver Sitzungen und Kontrolle der Anmeldeprotokolle.
Wie bleibt der Zugriff bei Verlust oder Diebstahl eines Smartphones möglich?
Vor der Aktivierung sollten Sie einen dokumentierten Ersatzweg festlegen, beispielsweise einen zweiten registrierten Faktor, einen sicher verwahrten Ersatzschlüssel oder einen geregelten Administrationsprozess. Wiederherstellungscodes gehören geschützt und getrennt vom betroffenen Gerät aufbewahrt; ein Notfallweg darf nicht zu einem dauerhaft unkontrollierten Umgehen der Zwei-Faktor-Authentifizierung werden.
Wann ist ein Sicherheitsschlüssel für ein Unternehmen sinnvoller als eine Authentifizierungs-App?
Ein Sicherheitsschlüssel kann besonders für Administrationskonten und Zugänge mit hohem Schadenspotenzial sinnvoll sein, wenn Phishing-Risiken reduziert und Anmeldungen unabhängig von einem persönlichen Smartphone abgesichert werden sollen. Prüfen Sie vor der Entscheidung, ob die eingesetzten Dienste den Schlüssel unterstützen, wie Ersatzschlüssel verwaltet werden und ob die Arbeitsplätze die erforderlichen Schnittstellen bereitstellen.
