Mehrfaktor-Authentifizierung (MFA) gilt heute als eine der wichtigsten Schutzmaßnahmen in der Cybersecurity. Viele Unternehmen verlassen sich darauf, dass ein erfolgreiches MFA-Login eine starke Aussage über den Nutzer liefert. Doch genau hier entsteht ein typischer Denkfehler: der MFA-Fallstrick. Erfolgreiche Authentifizierung ist nicht automatisch gleichbedeutend mit verlässlicher Identität oder anhaltender Vertrauenswürdigkeit.
Wer Security-Entscheidungen nur an „hat MFA bestanden“ knüpft, verschiebt die Risikogrenzen – und gibt Angreifern neue Wege. In diesem Artikel erklären wir, warum MFA zwar entscheidend ist, aber nicht jede Sicherheitsfrage beantworten kann.
Warum der MFA-Fallstrick entsteht
Der Erfolg von MFA führt oft zu einem Komfortgefühl: Wenn ein Nutzer die zweite Stufe erfolgreich durchläuft, scheint „die Identität“ geklärt. Zusätzlich wird häufig angenommen, dass die Identität selbst nicht kompromittiert wurde. In der Praxis stimmt beides nicht zwingend.
Angreifer zielen zunehmend nicht auf das „Durchkommen“ an der Anmeldung allein, sondern auf Prozesse rund um die Authentifizierung. Dazu gehören unter anderem Enrollment (Geräte-/Faktor-Registrierung), Account Recovery, Hilfe-Desk-Prozesse, Geräte-Registrierung sowie die Session-Verwaltung.
Das zentrale Problem: MFA kann dabei sehr gut funktionieren – während dennoch ein falscher oder kompromittierter Nutzerzugang entsteht. Der Angreifer bekommt dann Zugriff, obwohl die technischen MFA-Schritte „korrekt“ ausgeführt wurden.
Authentifizierung ist nicht automatisch Identitätsprüfung
Ein entscheidender Unterschied hilft beim Einordnen: Authentifizierung beantwortet die Frage, ob jemand die für ein Konto erforderlichen Faktoren kontrolliert. Identitätsprüfung (Identity Proofing) geht weiter und prüft, ob die Person wirklich zur behaupteten realen Identität passt.
Genau diese Trennung wird leicht verwischt. So kann es passieren, dass die Authentifizierung erfolgreich ist, während die Identitätszuordnung bereits von Beginn an fehlerhaft war.
Ein typisches Szenario: Ein Angreifer versucht über Social Engineering und Hilfe-Desk-Prozesse eine MFA-Zurücksetzung zu erreichen und registriert anschließend ein Gerät unter seiner Kontrolle. Beim nächsten Login werden die MFA-Anforderungen erfüllt, weil der Angreifer jetzt die richtigen Faktoren nutzt. Die Authentifizierung klappt – aber die Identitätsgarantie ist gescheitert.
Darum wird Identitätsprüfung besonders wichtig bei Vorgängen wie:
- Passwort-Reset und Zurücksetzen von Zugangsdaten
- MFA-Neuregistrierung oder Neubelegung von Faktoren
- Account Recovery
- Gerätetausch und Wiederherstellung von Geräten
- Erhöhung von Privilegien (z. B. für Admin-Zugänge)
Wenn der Angreifer MFA „besteht“
Viele Sicherheitsmodelle denken in der Logik „Angreifer scheitern an der Authentifizierung“. Doch Angriffe können so gestaltet sein, dass die Hürde nicht überwunden werden muss, sondern der Angreifer sie erfolgreich passiert. Das ist unbequem, aber realistisch.
Angreifer nutzen unter anderem Methoden wie Phishing, Social Engineering, SIM-Swapping, Session-Theft sowie Angriffe auf Account-Recovery. Dadurch können Kontrollen umgangen werden, ohne dass der Angreifer zwangsläufig an MFA „zerbricht“.
Wichtig ist außerdem: Selbst phishing-resistente MFA reduziert nicht automatisch jedes Identitätsrisiko. Authentisierung hängt davon ab, wie Faktoren ursprünglich an Identitäten gebunden wurden. Sie hängt auch davon ab, wie diese Faktoren ersetzt werden können und was bei Recovery-Prozessen passiert.
Viele Organisationen schützen den „Eingang“ sehr gut, lassen aber „Seitentüren“ offen. Wenn Identity-Verifikation in diesen Nebenwegen schwach ist, kann der Angreifer die Umwege ausnutzen – selbst wenn die Front-Door-MFA stark ist.
MFA ist kein Ersatz für Threat Detection
Ein weiterer Denkfehler ist die Verwechslung von Authentifizierung mit Threat Detection. Erfolgreiches MFA bedeutet zunächst nur: Zum Zeitpunkt des Logins konnte jemand die notwendigen Faktoren nachweisen. Es sagt jedoch wenig darüber aus, was danach mit der Identität passiert.
Identity threat detection fragt stattdessen: Verhält sich diese Identität weiterhin legitim? Das ist eine zeitliche und verhaltensbezogene Bewertung – nicht nur ein einmaliger Momentcheck.
Beispiel: Eine Mitarbeiterin authentifiziert sich um 8:02 Uhr ordnungsgemäß. Kurz darauf wird die Session entführt. In der Folge kann der Angreifer Privilegien eskalieren oder auf Daten zugreifen, die vorher nicht Teil des regulären Zugriffsprofils waren. Das erfolgreiche MFA-Ereignis bietet dafür kaum Sicherheit.
Identitätsrisiken sind dynamisch: Eine vertrauenswürdige Identität zum Login kann Minuten später kompromittiert sein.
Drei Fragen, die Unternehmen sauber trennen müssen
Um Blindspots zu reduzieren, braucht es klare Unterscheidungen. Unternehmen sollten drei unterschiedliche Fragen nicht vermischen:
- Wer ist diese Person? Das ist Identitätsprüfung/Identity Proofing. Sie baut Vertrauen in die Zuordnung zwischen realer Person und „Identität“ auf.
- Kann diese Person die erforderlichen Faktoren kontrollieren? Das ist Authentifizierung. Genau hier ist MFA besonders wertvoll.
- Verhält sich diese Identität fortlaufend legitim? Das ist Identity Threat Detection. Hier werden Signale über Zeit genutzt.
Diese Kontrollen ergänzen sich. Sie ersetzen sich nicht gegenseitig. Der MFA-Fallstrick entsteht genau dann, wenn Unternehmen MFA als Antwort auf alle drei Fragen behandeln.
Vertrauen in Identitäten braucht einen Lebenszyklus
Wenn Funktionen vermischt werden, entstehen oft zwei Probleme: Zu viel Vertrauen wird auf Basis von MFA-Logins vergeben, während gleichzeitig Recovery-Prozesse zu schwach bleiben oder eine Kompromittierung nach dem Login nicht erkannt wird.
Ein besserer Ansatz behandelt Identitätsvertrauen als lebenszyklusbasiert statt als „Ja/Nein“-Zustand. Vertrauen muss nicht nur hergestellt, sondern auch fortlaufend überwacht werden.
Praktisch bedeutet das:
- Beim Enrollment wird Vertrauen aufgebaut, dass die Identität zu einer bestimmten Person gehört.
- Bei der Authentifizierung wird Vertrauen darüber hergestellt, dass die erforderlichen Faktoren kontrolliert werden.
- Nach dem Login liefern neue Risikosignale laufend Hinweise. Dazu zählen u. a. Geräteänderungen, ungewöhnliche Zugriffe, Privilegsteigerungen und Ereignisse im Recovery-Umfeld.
Je nach Risiko können bestimmte Interaktionen eine erneute Identity Assurance erforderlich machen. Beispiele sind das Zurücksetzen von Zugangsdaten, die Registrierung eines neuen Faktors oder die Vergabe von administrativen Zugriffsrechten. So wird Vertrauen nicht nur einmal geprüft, sondern bei Bedarf neu validiert.
MFA bleibt zentral – aber mit klaren Grenzen
Das bedeutet nicht, dass MFA unwichtig ist. Im Gegenteil: Starke und vorzugsweise phishing-resistente Authentifizierung ist weiterhin eine wesentliche Grundlage. Der Kernpunkt lautet jedoch: MFA hat eine klar definierte Aufgabe.
MFA kann nicht zuverlässig feststellen, ob ein Angreifer Account-Recovery manipuliert hat. MFA kann auch nicht verlässlich prüfen, ob ein Faktor korrekt an eine Identität gebunden wurde, nachdem ein echtes Identity Proofing stattgefunden hat. Und MFA kann ebenso wenig erkennen, ob eine authentifizierte Session später entführt wurde.
Diese Aufgaben gehören in unterschiedliche Sicherheitsdomänen. Identitätsprüfung klärt „wer“. Authentifizierung klärt „ob die richtigen Faktoren kontrolliert werden“. Identity Threat Detection klärt „ob die Identität weiterhin vertrauenswürdig bleibt“.
Wenn Unternehmen diese Rollen vertauschen, besteht die Gefahr, dass sie ausgerechnet den Angreifer selbst immer wieder als „authentifiziert“ akzeptieren – trotz der Sicherheitsabsicht.
Fazit: Vom MFA-Erfolg zur echten Identitätssicherheit
Der MFA-Fallstrick zeigt eine klare Botschaft: Ein erfolgreiches MFA-Login ist ein wichtiger Sicherheitsbaustein, aber kein Beweis für Identität und auch kein Garant für fortlaufende Vertrauenswürdigkeit. Angreifer können über Enrollment, Recovery, Hilfe-Desk-Prozesse und Session-Hijacking Vertrauen gezielt untergraben.
Wer Sicherheit wirklich stärken will, trennt konsequent die drei Kernfragen: Wer ist die Person, kann sie die Faktoren kontrollieren und verhält sich die Identität fortlaufend legitim? Ergänzend dazu sollte Identity Confidence über den Lebenszyklus hinweg aufgebaut, authentifiziert und – bei Risiko – erneut bestätigt werden.
