Zwei-Faktor-Authentifizierung, die niemanden ausbremst
Ein Passwort allein genügt seit Jahren nicht mehr. Ein zweiter Faktor, der zu umständlich ist, wird jedoch umgangen — mit einem Zettel, einem geteilten Konto oder einer Ausnahme, die niemand mehr zurücknimmt. Wir führen 2FA und MFA so ein, dass es auf Dauer trägt.
Die Technik ist der kleinste Teil
Einen zweiten Faktor einzuschalten ist Arbeit für einen Nachmittag. Die eigentliche Arbeit beginnt bei den Ausnahmen: die Kollegin ohne Diensthandy, der externe Partner, der ebenfalls Zugang braucht, die Dienstkonten, hinter denen kein Mensch sitzt, und der Freitagnachmittag, an dem jemand sein Telefon im Zug liegen lässt.
Wer diese Fälle nicht vorab regelt, hat binnen eines Monats Ausnahmen, die den Schutz wieder aushöhlen. Wir haben solche Einführungen oft genug begleitet, um zu wissen, welche Fragen zuerst gestellt gehören.
Kontakt aufnehmen →Von der Auswahl bis zum Betrieb
Sie können uns für den gesamten Weg holen oder nur für den Teil, bei dem Sie selbst nicht weiterkommen.
Beratung und Auswahl
Welche Form passt zu welcher Gruppe? Eine Authenticator-App fürs Büro, ein Hardware-Token für alle, die kein Telefon mitnehmen dürfen, ein Zertifikat für Maschinen. Meist ist es eine Kombination.
Anbindung an Ihre Umgebung
Anschluss an Active Directory, RADIUS und LDAP, damit derselbe zweite Faktor für VPN, RDP-Sitzung und Ihre Webanwendungen gilt — und nicht für jedes System einzeln eingerichtet werden muss.
Ausrollen und Registrierung
Anwender in einem Tempo anmelden, das der Helpdesk verkraftet, mit klaren Anleitungen und einem Rückfallweg für alle, die nicht weiterkommen.
Zertifikate und PKI
Ausgabe und Verwaltung von Zertifikaten für die gesicherte Kommunikation zwischen Systemen und Partnern, einschließlich Überwachung der Ablaufdaten.
Schlüsselverwaltung
Für höhere Anforderungen: Schlüsselverwaltung über einen Key-Management-Dienst oder ein HSM, mit einer Einschätzung, was in Ihrer Lage verhältnismäßig ist.
Der Betrieb danach
Verlorene Token, Eintritte und Austritte, Wiederherstellungsverfahren, die tatsächlich funktionieren. Hier scheitern Einführungen auf lange Sicht.
Zehn Jahre auf der Bauseite der Authentifizierung
Wir haben zehn Jahre lang Entwicklung und Support bei einem Anbieter von Authentifizierungslösungen geleitet: Entwurf auf Windows- und Linux-Servern, Anbindung an Active Directory, RADIUS und LDAP sowie Implementierungen bei nationalen und internationalen Organisationen. Seitdem machen wir diese Arbeit als Berater.
Darüber hinaus haben wir bei einer Aufsichtsbehörde PKI-Zertifikate für gesicherte Kommunikation verwaltet und ausgegeben, einen Key-Management-Dienst an ein dahinterliegendes System angebunden und geprüft, ob ein HSM als Dienst infrage kommt.
Sicherheit ist kein Einzelprodukt
Zwei-Faktor-Authentifizierung steht und fällt mit dem Rest: wer betreut die Server, wie ist die Sicherung geregelt, und was passiert, wenn doch jemand hereinkommt? Diese Arbeit machen wir ebenfalls, wir können es also im Zusammenhang betrachten, statt eine Maßnahme obendrauf zu setzen.
Alle Leistungen ansehen →Häufig gestellte Fragen
Was ist der Unterschied zwischen 2FA und MFA?
2FA ist die Zwei-Faktor-Authentifizierung: neben dem Passwort kommt genau ein weiterer Faktor hinzu, etwa ein Code aus einer App. MFA steht für mehrere Faktoren und ist der weiter gefasste Begriff. In der Praxis werden beide synonym verwendet; entscheidend ist, welche Faktoren Sie für wen wählen.
Ist SMS als zweiter Faktor noch sicher?
SMS ist besser als nur ein Passwort, aber die schwächste der gängigen Methoden: Nachrichten lassen sich abfangen, und eine Rufnummer lässt sich auf eine andere SIM-Karte übertragen. Für Konten, auf die es wirklich ankommt, empfehlen wir eine Authenticator-App oder einen Hardware-Token.
Funktioniert die Zwei-Faktor-Authentifizierung auch bei VPN und RDP?
Ja. Über die Anbindung an Active Directory, RADIUS und LDAP gilt derselbe zweite Faktor für die VPN-Verbindung, die RDP-Sitzung und Ihre Webanwendungen. Genau deshalb lohnt es sich, das zentral zu regeln statt für jedes System einzeln.
Wie löst man 2FA für Dienstkonten, hinter denen kein Mensch steht?
Nicht mit einer App auf dem Telefon. Für Maschinen und Schnittstellen verwendet man Zertifikate oder Schlüssel statt eines zweiten Faktors, den jemand eintippen muss. Gerade diese Konten werden bei einer Einführung vergessen, und dann entsteht eine Ausnahme, die niemand mehr zurücknimmt.
Was passiert, wenn jemand das Telefon verliert?
Dann muss ein Wiederherstellungsverfahren bereitliegen, das funktioniert und nicht selbst zur Lücke wird. Wer darf jemanden neu registrieren, wie wird festgestellt, dass es wirklich diese Person ist, und wie schnell geht das am Freitagnachmittag? Das regeln wir vorab.
Schreibt NIS2 die Zwei-Faktor-Authentifizierung vor?
NIS2 schreibt keine bestimmte Technik vor, verlangt aber angemessene Maßnahmen für die Zugangssicherung; Mehrfaktor-Authentifizierung wird dabei als naheliegende Maßnahme genannt. Wie die Richtlinie national umgesetzt ist, unterscheidet sich je Land — ob Ihre Organisation darunter fällt, hängt von Branche und Größe ab.
