MFA und Passkeys: Phishing-resistente Auth einführen

Gestohlene und abgephishte Anmeldedaten bleiben der häufigste Weg, auf dem Angreifer ihren ersten Halt gewinnen, weshalb Mehrfaktor-Authentifizierung zum Mindeststandard geworden ist. Doch nicht jede MFA ist gleich: Die Einmalcodes und Push-Aufforderungen, die die meisten Organisationen vor einem Jahrzehnt einführten, werden zunehmend durch Phishing-Proxys, Prompt-Bombing und SIM-Swapping überwunden. Die aktuelle defensive Front ist phishing-resistente Authentifizierung auf Basis von Public-Key-Kryptografie, die den Nutzern als Passkeys geliefert wird. Dieser Artikel nimmt eine Blue-Team-Härtungssicht auf die Einführung von MFA und Passkeys ein: wie sich die zugrunde liegenden Mechanismen unterscheiden, warum manche Faktoren Phishing widerstehen und andere nicht, was während und nach der Einführung zu überwachen ist und wie man eine reale Nutzerbasis migriert, ohne Menschen auszusperren oder schwache Rückfalloptionen zu belassen, die die ganze Mühe stillschweigend zunichtemachen.

Was MFA Ihnen tatsächlich bringt#

Mehrfaktor-Authentifizierung verlangt mehr als eine Kategorie von Nachweis: etwas, das man weiß, etwas, das man hat, oder etwas, das man ist. Ihr Wert liegt darin, dass ein einzelnes gestohlenes Geheimnis, typischerweise ein Passwort, allein keinen Zugang mehr gewährt. In der Praxis reduziert MFA den Erfolg von Massen-Credential-Stuffing- und Password-Spraying-Kampagnen drastisch, weil der Angreifer, der ein geleaktes Passwort wiedergibt, am zweiten Faktor gestoppt wird. Aber MFA ist ein Spektrum, kein Kontrollkästchen. Ein Faktor hilft nur gegen die Bedrohungen, gegen die er entworfen wurde, und die klassische Schwäche früher MFA ist, dass viele zweite Faktoren selbst von einem Angreifer zwischen Nutzer und echter Seite erfasst oder weitergeleitet werden können. Dieses Spektrum zu verstehen ist der Unterschied zwischen MFA, die Kriminelle behelligt, und MFA, die sie aufhält, und es ist der Grund, warum ein umsichtiger Verteidiger nicht nur fragt, ob MFA aktiviert ist, sondern welcher konkrete Faktor jedes Konto schützt und gegen welche Bedrohung er wirkt.

Warum Phishing-Resistenz das eigentliche Ziel ist#

Modernes Credential-Phishing bittet das Opfer selten auf einer plumpen Fake-Seite um ein Passwort; es betreibt einen Echtzeit-Reverse-Proxy zwischen Nutzer und legitimem Dienst, leitet jedes Feld einschließlich des Einmalcodes weiter und erfasst das resultierende Sitzungstoken. Gegen diese Adversary-in-the-Middle-Technik bieten Shared-Secret-Faktoren wie SMS-Codes, Authenticator-App-Codes und selbst einfache Push-Freigaben begrenzten Schutz, weil alles, was der Nutzer tippt oder antippt, weitergeleitet werden kann. Phishing-resistente Authentifizierung durchbricht dies, indem sie den Login kryptografisch an genau die Seiten-Herkunft bindet, sodass ein Zugang, der einer Nachahmer-Domäne präsentiert wird, schlicht nicht funktioniert. Diese Herkunftsbindung, nicht die bloße Anwesenheit eines zweiten Faktors, besiegt die heute vorherrschende Phishing-Technik.

Wie Passkeys und FIDO2 funktionieren#

Passkeys sind eine nutzerfreundliche Form der Standards FIDO2 und WebAuthn. Bei der Registrierung erzeugt das Gerät des Nutzers ein Public-Private-Schlüsselpaar für genau diese Seite; der private Schlüssel verlässt den Authenticator nie, ob das ein Sicherheitsschlüssel, ein Telefon oder die sichere Hardware eines Laptops ist, und nur der öffentliche Schlüssel wird vom Dienst gespeichert. Beim Login sendet die Seite eine Herausforderung, der Authenticator signiert sie mit dem privaten Schlüssel nach einer lokalen Nutzergeste wie Biometrie oder PIN, und der Browser garantiert, dass die Signatur an die echte Herkunft gebunden ist. Weil es kein zu phishendes gemeinsames Geheimnis, keinen weiterzuleitenden Code gibt und die Signatur auf jeder anderen Domäne wertlos ist, sind Passkeys von Natur aus phishing-resistent. Synchronisierte Passkeys sichern den Schlüssel zur Bequemlichkeit über die Geräte eines Nutzers, während gerätegebundene Schlüssel ihn zur höchsten Sicherheit auf einem einzigen Hardware-Token halten.

Die verbleibende Angriffsfläche#

Starke Faktoren einzuführen schließt die Haustür, aber nicht jedes Fenster, also kartieren Sie, was bleibt. Die häufigste Schwäche nach einer Passkey-Einführung ist der Rückfallpfad: Kann sich ein Nutzer noch mit Passwort plus SMS-Code anmelden, wenn der Passkey nicht verfügbar ist, erzwingt ein Angreifer einfach diese schwächere Route. Die Kontowiederherstellung wird zum neuen weichen Ziel, weil ein Helpdesk, der Faktoren am Telefon zurücksetzt, Social Engineering wieder einführt. Nach einem starken Login ausgegebene Sitzungstoken können immer noch durch Schadsoftware oder Token-Diebstahl gestohlen werden, also zählen Token-Lebensdauer und -Bindung. Und die Registrierung selbst ist ein sensibler Moment: Ein Angreifer, der beim Onboarding seinen eigenen Authenticator registriert, erlangt legitimen Zugang. Härtung bedeutet, Wiederherstellung, Rückfall und Registrierung als erstrangige Teile des Authentifizierungssystems zu behandeln, nicht als Nebensache.

Erkennungssignale, auf die zu achten ist#

Authentifizierung ist reich an Telemetrie, wenn Sie sie sammeln. Achten Sie auf wiederholte MFA-Aufforderungen an einen einzelnen Nutzer in kurzer Zeit, die Signatur von Prompt-Bombing, und alarmieren Sie, wenn ein Nutzer nach vielen Ablehnungen schließlich zustimmt. Überwachen Sie Faktor-Registrierungsereignisse, besonders einen neuen Authenticator, der kurz vor sensibler Aktivität hinzugefügt wird, und markieren Sie Registrierungen von unbekannten Geräten oder Orten. Verfolgen Sie die Rückfallnutzung: Ein plötzlicher Anstieg von Passwort-plus-SMS-Logins bei Nutzern, die normalerweise Passkeys verwenden, deutet entweder auf einen Ausfall oder einen Angriff hin, der Opfer auf den schwachen Pfad lenkt. Achten Sie auf Unmöglich-Reise- und Neu-Gerät-Anmeldungen, Sitzungstoken, die von einer anderen Adresse als der Ausgabe genutzt werden, und Helpdesk-initiierte Rücksetzungen, die mit späterem verdächtigem Zugang korrelieren. Speisen Sie all dies in ein SIEM mit Alarmierung, denn der Wert starker Authentifizierung vervielfacht sich, wenn Sie Versuche sehen können, sie zu umgehen.

Einführen, ohne Nutzer zu blockieren#

Eine erfolgreiche Einführung ist phasenweise und gemessen. Beginnen Sie damit, Passkeys neben bestehenden Faktoren zu aktivieren, sodass Nutzer sich freiwillig registrieren können, und priorisieren Sie zuerst Administratoren und andere hochwertige Konten. Kommunizieren Sie klar, bieten Sie einen einfachen Registrierungsablauf und verlangen Sie mindestens zwei Authenticatoren pro Nutzer, sodass der Verlust eines Geräts lästig statt katastrophal ist. Wenn die Verbreitung wächst, schränken Sie schwache Faktoren fortschreitend ein oder entfernen Sie sie, beginnend mit der Deaktivierung von SMS für privilegierte Rollen. Entscheidend: Gestalten Sie die Kontowiederherstellung so stark wie den Primärpfad, mit vorregistrierten Backup-Sicherheitsschlüsseln oder einem verifizierten, hochsicheren Wiederherstellungsprozess statt eines Anrufs beim Helpdesk. Messen Sie Registrierungsabdeckung und Rückfallnutzung fortlaufend und ziehen Sie die alten Faktoren erst zurück, wenn die starken bewährt und die Wiederherstellung solide ist.

Häufige Fallstricke#

Der klassische Fehler ist, starke Authentifizierung einzuführen und zugleich einen schwachen Rückfall dauerhaft aktiviert zu lassen, was bedeutet, dass die Umgebung nur so sicher ist wie ihre weichste Option. Ein weiterer ist, die Wiederherstellung zu vernachlässigen, sodass ein gehärteter Login hinter einem Helpdesk sitzt, der für einen überzeugend klingenden Anrufer alles zurücksetzt. Teams registrieren manchmal einen einzigen Passkey pro Nutzer und stehen dann vor Massenaussperrungen, wenn Geräte verloren oder ersetzt werden. Sich auf Push-Freigaben ohne Number-Matching zu verlassen lädt zu Prompt-Bombing-Ermüdung ein. Und die Registrierung als risikoarm zu behandeln lässt Angreifer sich beim Onboarding selbst registrieren. Jeder Fallstrick teilt ein Thema: Die Stärke der Authentifizierung wird von ihrem schwächsten erreichbaren Pfad bestimmt, also muss jede alternative Route auf dasselbe Niveau wie die primäre gehärtet werden.

Härtungs-Checkliste#

Priorisieren Sie phishing-resistente Passkeys oder Sicherheitsschlüssel zuerst für Administratoren und andere hochwertige Konten. Verlangen Sie mindestens zwei Authenticatoren pro Nutzer, um Einzelgeräte-Aussperrung zu vermeiden. Erzwingen Sie Number-Matching und Kontext bei jedem noch genutzten Push-Faktor und entfernen Sie SMS für privilegierte Rollen. Gestalten Sie die Kontowiederherstellung so stark wie den Primärlogin, mit vorregistrierten Backup-Schlüsseln oder hochsicherer Verifizierung statt Helpdesk-Rücksetzungen. Schützen Sie die Registrierung mit verifizierter Identität und Überwachung. Verkürzen Sie Sitzungslebensdauern und binden Sie Token, wo möglich. Protokollieren und alarmieren Sie bei Prompt-Bombing, Neu-Authenticator-Registrierung, Rückfallnutzungs-Spitzen, Unmöglich-Reise und Helpdesk-Rücksetzungen. Messen Sie die Passkey-Abdeckung und treiben Sie die Schwachfaktor-Nutzung gegen null. Testen Sie schließlich Wiederherstellungs- und Aussperr-Szenarien, damit das Sicherheitsnetz funktioniert, bevor ein echter Nutzer es braucht.

FAQ: Sind Passkeys sicher, wenn mein Telefon verloren geht oder gestohlen wird?#

Ja, bei korrekter Einrichtung. Ein Passkey ist durch eine lokale Geste wie Biometrie oder Geräte-PIN geschützt, sodass ein Dieb mit dem physischen Gerät ihn ohne diese Entsperrung nicht nutzen kann. Synchronisierte Passkeys werden über das Plattformkonto gesichert, sodass Sie den Zugang auf einem neuen Gerät wiederherstellen können, während gerätegebundene Schlüssel einen zweiten registrierten Authenticator erfordern, was genau der Grund ist, warum das Registrieren von mindestens zwei eine Regel und keine Empfehlung ist. Der Verlust eines Telefons sollte eine Unannehmlichkeit sein, die Ihr Backup-Authenticator oder die verifizierte Wiederherstellung erledigt, nie eine Aussperrung und nie eine Öffnung für einen Angreifer.

FAQ: Brauchen wir nach Passkeys noch Passwörter?#

Das Ziel ist, die Abhängigkeit von Passwörtern zu reduzieren, bis sie nichts Sensibles mehr absichern. Während der Migration bleiben Passwörter oft als eine Option, während Nutzer sich registrieren, aber die Richtung ist, den Passkey zum primären und schließlich zum einzigen interaktiven Faktor zu machen und das Passwort zu entfernen oder auf ein selten genutztes, gut geschütztes Wiederherstellungselement zu reduzieren. Was Sie vermeiden müssen, ist, einen Passwort-plus-Schwachcode-Pfad dauerhaft verfügbar zu halten, denn das macht die Phishing-Resistenz zunichte, für die Sie Passkeys eingeführt haben.

Fazit#

MFA verdiente sich ihren Platz, indem sie gestohlene Passwörter neutralisierte, aber die Angreifer passten sich an, und Phishing-Proxys besiegen nun die Shared-Secret-Faktoren, auf die sich viele Organisationen noch verlassen. Die dauerhafte Antwort ist phishing-resistente Authentifizierung, geliefert als Passkeys, deren kryptografische Bindung an die echte Seiten-Herkunft genau das Geheimnis entfernt, von dem Phishing abhängt. Die Einführung ist, wo das meiste Risiko lebt: Ziehen Sie schwache Rückfälle bewusst zurück, machen Sie Wiederherstellung und Registrierung so stark wie den Login selbst, verlangen Sie mehr als einen Authenticator und beobachten Sie die Telemetrie auf Versuche, Nutzer auf den weichen Pfad zu lenken. Tun Sie das, und Authentifizierung hört auf, die einfachste Tür des Angreifers zu sein, und wird zu einer Ihrer stärksten Mauern. Der Gewinn ist nicht nur technischer Natur: Nutzer, die einen einzigen schnellen Fingertipp statt eines Codes eingeben müssen, erleben Sicherheit als Erleichterung statt als Last, und diese Akzeptanz ist selbst ein dauerhafter Verteidigungsvorteil.