Phishing im Keim ersticken: Warum Multi-Faktor-Authentifizierung Ihre beste Verteidigung ist

Von Mirko Peters · 2026-08-12

Willkommen zurück im Podcast-Blog! Wenn Sie regelmäßig zuhören, wissen Sie, dass wir oft über Identitäts- und Zugriffsverwaltung sprechen. Kürzlich haben wir eine absolut hörenswerte Folge veröffentlicht …

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Willkommen zurück im Podcast-Blog! Wenn Sie regelmäßig zuhören, wissen Sie, dass wir oft über Identitäts- und Zugriffsverwaltung sprechen. Kürzlich haben wir eine absolut hörenswerte Folge veröffentlicht: Lock Down Microsoft Entra ID Before Phishing Hits. Falls Sie sie noch nicht gehört haben, tun Sie sich selbst einen Gefallen und stellen Sie sie in die Warteschlange, sobald Sie diese Zusammenfassung gelesen haben. Heute vertiefen wir genau dieses Gespräch. Wir untersuchen, warum Ihre alten, statischen Passwörter Sie im Stich lassen, wie die Multi-Faktor-Authentifizierung das Blatt gegen Cyberkriminelle komplett wenden kann und was Sie jetzt tun müssen, um Ihre Microsoft Entra ID-Umgebung abzusichern.

Warum herkömmliche Passwörter nicht mehr ausreichen

Sprechen wir den Elefanten im Raum an: Das herkömmliche Passwort ist tot. Nun ja, technisch gesehen stolpert es noch immer herum und richtet Chaos an, aber offiziell ist es das schwächste Glied in Ihrer Sicherheitskette. Jahrzehntelang haben wir uns auf komplexe Kombinationen aus Buchstaben, Zahlen und Symbolen verlassen, um unser digitales Leben zu schützen. Wir haben Benutzern unmögliche Kombinationen abverlangt, sie alle neunzig Tage ändern lassen und verlangt, dass sie diese niemals aufschreiben. Wenig überraschend hat sich die menschliche Psychologie dagegen aufgelehnt. Menschen haben Passwörter für private und berufliche Konten mehrfach verwendet, sie auf Haftnotizen notiert oder Varianten erstellt, die so vorhersehbar sind, dass ein einfaches Skript sie in Sekunden knacken kann.

Cyberkriminelle müssen keine Rechenleistung mehr für Brute-Force-Angriffe auf Passwörter aufwenden, wenn Social Engineering und Phishing so viel einfacher sind. Phishing-Kampagnen haben sich weit über die plumpen, fehlerhaften E-Mails der frühen 2000er-Jahre hinaus entwickelt. Heute setzen Angreifer ausgeklügelte Taktiken, komplexe Weiterleitungsketten und Adversary-in-the-Middle-Frameworks ein, um Anmeldedaten in Echtzeit abzufangen. Wenn ein Mitarbeiter sein Passwort auf einer täuschend echten Nachbildung einer Anmeldeseite preisgibt, erhält der Angreifer sofort den Schlüssel zum Königreich. Sich allein auf ein Passwort zu verlassen, ist, als würden Sie Ihre Haustür mit einem Stück Schnur verriegeln. Das hält vielleicht ehrliche Menschen fern, doch jeder mit böswilliger Absicht kann problemlos hindurchspazieren.

Wie die Multi-Faktor-Authentifizierung über 99 % der Kompromittierungsversuche von Konten blockiert

Wenn Passwörter versagen, was ist dann die Lösung? Willkommen bei der Multi-Faktor-Authentifizierung, kurz MFA. Indem Benutzer zwei oder mehr voneinander unabhängige Nachweise erbringen müssen, um ihre Identität zu bestätigen, verändert MFA die Rechnung für Angreifer grundlegend. Selbst wenn ein Phishing-Täter das Passwort eines Benutzers stiehlt, prallt er an einer Mauer ab, sobald das System einen zweiten Faktor verlangt.

Die Daten sprechen für sich. Umfassende Sicherheitsforschung zeigt immer wieder, dass robuste MFA über 99 % der Kompromittierungsversuche von Konten blockieren kann. Denken Sie einen Moment darüber nach. Allein das Aktivieren von MFA eliminiert über Nacht den Großteil automatisierter und gezielter Angriffe. MFA stützt sich typischerweise auf eine Kombination aus etwas, das Sie wissen (Ihr Passwort), etwas, das Sie besitzen (ein Telefon, ein Hardware-Token), und etwas, das Sie sind (ein biometrischer Fingerabdruck oder Gesichtsscan). Wenn MFA in einer Plattform wie Microsoft Entra ID korrekt konfiguriert ist, verwandelt sie Ihre Sicherheitslage von einem offenen Ziel in eine befestigte Burg.

Phishing-resistente Methoden wie FIDO2-Schlüssel im Detail

Nicht jede MFA ist gleich gut. Push-Benachrichtigungen und SMS-Codes sind zwar einem reinen Passwort weit überlegen, bleiben aber anfällig für raffinierte Angriffe wie MFA-Fatigue und ausgefeilte Adversary-in-the-Middle-Phishing-Techniken. Genau hier kommen phishing-resistente Authentifizierungsmethoden ins Spiel und retten die Lage.

Phishing-resistente MFA-Methoden – wie FIDO2-Sicherheitsschlüssel und Certificate-Based Authentication – binden die Authentifizierungssitzung an den konkreten Ursprung der aufgerufenen Website oder des Dienstes. Lässt sich ein Benutzer dazu verleiten, eine gefälschte Phishing-Anmeldeseite aufzurufen, gibt ein FIDO2-Schlüssel die Anmeldedaten schlicht nicht frei, weil die Domain nicht übereinstimmt. Der Schlüssel erkennt, dass das Ziel eine Fälschung ist, und verweigert die Zusammenarbeit. Wenn Sie Hardware-Schlüssel wie YubiKeys einbinden oder plattformbasierte Authentifikatoren wie Windows Hello for Business nutzen, stellen Sie sicher, dass Angreifer selbst mit den überzeugendsten Phishing-Kampagnen am Ende mit leeren Händen dastehen.

Microsoft Entra ID gegen moderne Bedrohungen absichern

Die Absicherung Ihrer Organisation geht weit über das Häkchen bei MFA hinaus. Sie brauchen eine umfassende Strategie, die die erweiterten Sicherheitsfunktionen von Microsoft Entra ID vollständig ausschöpft. Um Phishing wirksam zu stoppen, müssen Sie eine mehrschichtige Verteidigungsstrategie aufbauen.

Beginnen Sie mit der Konfiguration risikobasierter Richtlinien für bedingten Zugriff. Diese Richtlinien werten Signale wie Benutzeridentität, Gerätekonformität, Standort und Anmeldeverhalten in Echtzeit aus. Meldet sich ein Benutzer aus einem unbekannten Land oder von einem nicht verwalteten Gerät an, kann Microsoft Entra ID die Sicherheit automatisch verschärfen, indem es eine MFA-Anmeldung verlangt oder den Zugriffsversuch vollständig blockiert. Als Nächstes sollten Sie sich Privileged Identity Management (PIM) ansehen, um dauerhaft zugewiesene administrative Rechte abzuschaffen. Durch die Erzwingung eines Just-in-Time-Zugriffs erhalten Administratoren erhöhte Berechtigungen nur dann, wenn sie diese benötigen, und auch nur für einen streng begrenzten Zeitraum. Kombinieren Sie dies mit Continuous Access Evaluation, um Token bei Erkennung einer Bedrohung sofort zu widerrufen. So entsteht eine Umgebung, die sich dynamisch an Risiken anpasst.

Fazit

Die Bedrohungslage verändert sich schneller denn je, aber Sie sind diesem Wandel nicht ausgeliefert. Wenn Sie von anfälligen traditionellen Passwörtern wegkommen und auf robuste, phishingresistente Multi-Faktor-Authentifizierung setzen, können Sie die große Mehrheit der Cyberangriffe wirksam abwehren. Die Absicherung von Microsoft Entra ID erfordert Wachsamkeit, moderne Werkzeuge wie bedingten Zugriff und PIM sowie die Bereitschaft zur kontinuierlichen Verbesserung. Wenn Sie noch tiefer in praktische Schritte zur Absicherung Ihrer Identitätsinfrastruktur einsteigen möchten, hören Sie unbedingt die passende Folge im Podcast: Lock Down Microsoft Entra ID Before Phishing Hits. Bleiben Sie sicher, schulen Sie Ihre Benutzer weiter, und wir sehen uns in der nächsten Folge!