Multi-Faktor-Authentifizierung

Zweiter Faktor über den Kanal, den jeder schon nutzt

Google Authenticator, Microsoft Authenticator, SMS, WhatsApp, Telegram, E-Mail oder Passkey. Verlangt wird er pro Profil, nicht pauschal für alle, und jeder Zugriff wird mit dem verwendeten Faktor protokolliert.

Was der zweite Faktor löst und was nicht

Ein geleaktes Passwort ist kein ernstes Problem mehr, sobald ein zweiter Faktor davorsteht. Die Multi-Faktor-Authentifizierung kombiniert Nachweise aus unterschiedlichen Kategorien – etwas, das man weiß, etwas, das man besitzt, und etwas, das man ist –, und Kimobox setzt sie über den Kanal um, den jede Person bereits nutzt: Authenticator-App, SMS, WhatsApp, Telegram, E-Mail oder Passkey. Verlangt wird sie pro Profil, mit Wiederherstellungscodes und Protokoll jedes Zugriffs, denn sie überall für alle vorzuschreiben ist der schnellste Weg dazu, dass jemand den Code auf einen Zettel schreibt.

Inhalt überprüft am 17. Oktober 2026

Rechtsrahmen: Art. 32 DSGVO Verlangt dem Risiko angemessene technische Maßnahmen; MFA wird nicht genannt, ist aber die Standardmaßnahme für den Fernzugriff auf personenbezogene Daten
Öffentlicher Sektor: Esquema Nacional de Seguridad (ENS) Das spanische RD 311/2022 verschärft den Authentifizierungsmechanismus je nach Kategorie des Systems
Sicherheitsnorm: ISO/IEC 27001:2022, Control 8.5 Sichere Authentifizierung, einer der 93 Controls in Anhang A
Zeitbasierte Codes: RFC 6238 (TOTP) Sechs Ziffern, auf dem Gerät aus der Uhrzeit berechnet; funktionieren ohne Verbindung
Codes per SMS: Eingeschränkter Kanal NIST SP 800-63B stuft ihn wegen des Risikos von SIM-Duplikaten unter anderen Faktoren ein
Passkeys: WebAuthn (W3C) An das Gerät gebundener kryptografischer Schlüssel: kein Code zum Abfangen oder Wiederverwenden
Die drei Kategorien: Wissen, Besitz und Inhärenz Dieselbe Einteilung wie in der Delegierten Verordnung (EU) 2018/389 zur starken Kundenauthentifizierung

Authenticator-Apps

Google Authenticator, Microsoft Authenticator, Authy oder 1Password: sechs Ziffern, die alle dreißig Sekunden wechseln, direkt auf dem Smartphone berechnet und ohne Netzempfang.

SMS, WhatsApp und Telegram

Einmalcode über den Kanal, den die Person ohnehin geöffnet hat. Praktisch für Belegschaft in Filiale, Baustelle oder Lager ohne dienstliche E-Mail.

E-Mail

Der einfachste Einstiegsfaktor: Code an das verifizierte Postfach, mit kurzer Gültigkeit und nur einem Versuch pro Code.

Passkeys und FIDO2-Schlüssel

Authentifizierung per WebAuthn mit Fingerabdruck, Gesicht oder physischem Schlüssel. Kein Code, der abgefangen oder eingetippt werden muss.

Richtlinie pro Profil

Pflicht für Administration und personenbezogene Daten, optional für reine Abfragen. Die Richtlinie wird pro Rolle festgelegt, nicht Person für Person.

+ info

Protokoll jedes Zugriffs

Wer sich wann, von wo und mit welchem Faktor angemeldet hat. Auch Fehlversuche werden erfasst – genau dort zeigen sich die Probleme.

+ info

Wo er verlangt wird

Aktionen, die einen zweiten Faktor verdienen

Zugriff auf das Administrationspanel sowie auf Benutzer- und Rechteverwaltung
Einsicht in Gehaltsabrechnungen, Verträge und personenbezogene Daten im Mitarbeiterportal
Signieren von Dokumenten und Freigabe von Ausgaben ab einem bestimmten Betrag
Export oder Massendownload von Dokumenten
Zugriff aus einem ungewohnten Netz, von einem ungewohnten Gerät oder aus einem ungewohnten Land
Passwortwiederherstellung und Änderung der Kontakt-E-Mail oder -Telefonnummer

Praxisbeispiele

Drei Situationen, in denen der zweite Faktor entscheidet

Industrie · Plattformadministration

Vier Personen mit Administratorrechten

Vorher Ein einziges gemeinsames Administratorkonto in einem Passwortmanager. Ändert sich eine Einstellung, kann niemand sagen, wer sie geändert hat, und verlässt eine der vier Personen das Unternehmen, muss das Passwort für alle geändert werden.

Nachher Ein Benutzer pro Person mit verpflichtendem zweiten Faktor im Administratorprofil. Das Protokoll hält Name, Uhrzeit und Verifizierungskanal fest, und ein Austritt ist mit dem Deaktivieren eines Benutzers erledigt.

Einzelhandel · Belegschaft ohne dienstliche E-Mail

Wer kein Firmenpostfach hat, muss trotzdem verifiziert werden

Vorher Der zweite Faktor per E-Mail erreicht niemanden: Das Filialpersonal hat kein Firmenkonto und nutzt das private Smartphone, um den Schichtplan einzusehen.

Nachher Code per WhatsApp an dieselbe Nummer, über die schon der Schichtplan kommt – ohne neue App und ohne ein Postfach, das danach gepflegt werden müsste.

Dienstleistungen · geleakte Zugangsdaten

Ein wiederverwendetes Passwort taucht in einem fremden Datenleck auf

Vorher Jemand meldet sich mit dem richtigen Passwort aus einem Land an, in dem das Unternehmen gar nicht tätig ist. Der Zugriff wirkt legitim und fällt erst Wochen später auf, bei der Prüfung eines Massendownloads.

Nachher Der Versuch scheitert am zweiten Faktor, löst eine Warnung an Kontoinhaber und Administrator aus und landet mit seiner Herkunftsadresse im Protokoll der Fehlversuche.

Begriffe

Begriffe, die bei MFA gern durcheinandergeraten

Wissensfaktor: Etwas, das die Person weiß: das Passwort oder eine PIN. Der am leichtesten zu stehlende Faktor, denn er lässt sich kopieren, ohne dass der Inhaber es merkt.
Besitzfaktor: Etwas, das die Person besitzt: das Smartphone mit der Authenticator-App, die SIM-Karte, die die SMS empfängt, oder ein physischer Sicherheitsschlüssel.
Inhärenzfaktor: Etwas, das die Person ist: Fingerabdruck oder Gesichtserkennung. Bei Passkeys entsperrt er den Schlüssel auf dem Gerät, ohne dass das biometrische Merkmal es je verlässt.
TOTP: Zeitbasiertes Einmalpasswort, definiert in RFC 6238. Gerät und Server teilen einen Schlüssel und berechnen aus der Uhrzeit denselben Code, ohne etwas auszutauschen.
OTP: Einmalcode. Er gilt für eine einzige Authentifizierung und verfällt nach wenigen Minuten, ob per SMS, WhatsApp, Telegram oder E-Mail zugestellt.
Passkey: Kryptografische Anmeldeinformation, die das Passwort ersetzt. Der private Schlüssel verlässt das Gerät nie, der Dienst speichert nur den öffentlichen – ein Datenleck auf dem Server legt also nichts Wiederverwendbares offen.
Betrügerisches SIM-Duplikat: Methode, bei der ein Angreifer ein Duplikat der SIM-Karte des Opfers erlangt und dessen SMS empfängt. Deshalb gilt der Code per Nachricht als schwächster der verfügbaren Faktoren.
Wiederherstellungscodes: Liste von Einmalcodes, die bei der Aktivierung des zweiten Faktors ausgegeben wird. Sie sind der vorgesehene Ausweg, wenn das Gerät verloren geht, und sollten getrennt davon aufbewahrt werden.
Single Sign-on (SSO): Verfahren, bei dem eine einzige Unternehmensidentität Zugang zu mehreren Anwendungen gewährt. Es ist mit MFA vereinbar: Der zweite Faktor wird einmal abgefragt, beim Identitätsanbieter.
NIS2: Richtlinie (EU) 2022/2555 über Cybersicherheit, die die NIS-Richtlinie von 2016 ersetzt und die verpflichteten Einrichtungen in wesentliche und wichtige unterteilt. Zu den geforderten Risikomanagementmaßnahmen gehört der Einsatz von Multi-Faktor- oder kontinuierlicher Authentifizierung (Art. 21 Abs. 2 Buchst. j); erhebliche Sicherheitsvorfälle werden mit einer Frühwarnung binnen vierundzwanzig Stunden und einer Meldung binnen zweiundsiebzig Stunden gemeldet (Art. 23 Abs. 4).

Häufige Fragen

Was man uns vor dem Start fragt

Was ist Multi-Faktor-Authentifizierung?

Man verlangt zwei oder mehr Identitätsnachweise aus unterschiedlichen Kategorien: etwas, das man weiß (Passwort), etwas, das man besitzt (Smartphone, Schlüssel), und etwas, das man ist (Fingerabdruck, Gesicht). Zwei Passwörter hintereinander sind keine MFA, weil beide derselben Kategorie angehören.

Welche Kanäle unterstützt Kimobox?

TOTP-Apps wie Google Authenticator oder Microsoft Authenticator, Codes per SMS, WhatsApp, Telegram oder E-Mail sowie Passkeys oder FIDO2-Schlüssel über WebAuthn. Jede Person kann mehrere Methoden hinterlegen und eine davon als Reserve wählen.

Ist MFA gesetzlich vorgeschrieben?

Keine spanische Vorschrift verlangt sie unter diesem Namen für alle Unternehmen. Art. 32 DSGVO verpflichtet zu technischen Maßnahmen, die dem Risiko angemessen sind, und für den Fernzugriff auf personenbezogene Daten ist der zweite Faktor heute die Standardmaßnahme. Im öffentlichen Sektor verschärft das spanische Nationale Sicherheitsschema (ENS) den Authentifizierungsmechanismus je nach Kategorie des Systems, und ISO/IEC 27001:2022 regelt das Thema in Control 8.5 zur sicheren Authentifizierung.

Ist der Code per SMS sicher?

Weit besser als gar kein zweiter Faktor, aber schwächer als die übrigen. Die Richtlinie NIST SP 800-63B stuft das Telefonnetz wegen des Risikos betrügerischer SIM-Duplikate und des Abfangens als eingeschränkten Kanal ein. Als Einstieg oder Reservemethode taugt er; für Profile mit weitreichenden Rechten empfiehlt sich eine TOTP-App oder ein Passkey.

Was passiert, wenn jemand sein Smartphone verliert?

Bei der Aktivierung des zweiten Faktors werden Einmal-Wiederherstellungscodes erzeugt, die separat aufbewahrt werden. Fehlen auch diese, kann ein Administrator den Faktor zurücksetzen – und diese Zurücksetzung wird mit Urheber und Grund protokolliert, denn genau dort würde ein Angreifer ansetzen.

Funktioniert es ohne Netzempfang und mobile Daten?

TOTP-Apps ja: Der Code wird gemäß RFC 6238 auf dem Gerät aus einem gemeinsamen Schlüssel und der Uhrzeit berechnet, ganz ohne Verbindung. SMS, WhatsApp, Telegram und E-Mail brauchen ein Netz.

Lässt er sich nur für bestimmte Profile verlangen?

Ja, und das ist empfehlenswert. Wer von allen einen zweiten Faktor verlangt, nur um den Urlaubskalender anzusehen, erzeugt Widerstand und gewinnt wenig; wer ihn von denen verlangt, die Benutzer verwalten oder Gehaltsabrechnungen herunterladen, sehr wohl.

Was wird von der Telefonnummer der Person gespeichert?

Die Nummer, die die Person selbst zum Empfang des Codes hinterlegt, ausschließlich zu diesem Zweck. Sie wird weder für Werbung genutzt noch weitergegeben und gelöscht, sobald diese Verifizierungsmethode entfernt wird.

Sind 2FA und MFA dasselbe?

Die Zwei-Faktor-Authentifizierung ist der häufigste Fall der Multi-Faktor-Authentifizierung: genau zwei Faktoren. MFA ist der Oberbegriff und umfasst auch drei oder mehr, wenn das Risiko es rechtfertigt.

Aktivieren Sie den zweiten Faktor in der Demo und testen Sie ihn

Wir zeigen Ihnen das Modul im Einsatz, mit Daten, die Ihren ähneln.

Demo anfragen

Weiter entdecken

Woher jede Angabe stammt

Verweise auf den geltenden amtlichen Text. Wird eine Norm überarbeitet, wird diese Seite aktualisiert und das Revisionsdatum entsprechend angepasst.

Verordnung (EU) 2016/679 (DSGVO), Art. 32: Sicherheit der Verarbeitung EUR-Lex · 27. April 2016
RFC 6238: TOTP, Algorithmus für zeitbasierte Einmalpasswörter IETF · Mai 2011
NIST SP 800-63B, Digital Identity Guidelines: Authentifizierung und Lebenszyklusverwaltung NIST · Juni 2017
Web Authentication (WebAuthn) Level 2, W3C-Empfehlung W3C · 8. April 2021
Delegierte Verordnung (EU) 2018/389, starke Kundenauthentifizierung (Art. 4) EUR-Lex · 13. März 2018
Real Decreto 311/2022, Esquema Nacional de Seguridad (spanisches Nationales Sicherheitsschema) BOE-A-2022-7191 · 4. Mai 2022
Richtlinie (EU) 2022/2555 (NIS2), Art. 21 und 23 EUR-Lex · 14. Dezember 2022

Multi-Faktor-Authentifizierung mit TOTP, SMS, WhatsApp, Telegram und Passkeys

Kimobox bietet Multi-Faktor-Authentifizierung mit Apps für zeitbasierte Codes nach dem TOTP-Standard – Google Authenticator, Microsoft Authenticator, Authy oder 1Password –, Versand von Einmalcodes per SMS, WhatsApp, Telegram und E-Mail sowie passwortloser Anmeldung über Passkeys und FIDO2-Sicherheitsschlüssel gemäß WebAuthn.

Die Zwei-Schritt-Verifizierung wird pro Benutzerprofil eingerichtet, mit Wiederherstellungscodes, Reservemethode, protokollierter Zurücksetzung und vollständigem Protokoll aller Zugriffe und Fehlversuche – im Einklang mit Art. 32 der Datenschutz-Grundverordnung und Control 8.5 der Norm ISO/IEC 27001:2022.