Multi-Faktor-Authentifizierung (MFA) gehört heute zum Sicherheitsstandard – auch für kleine und mittlere Unternehmen. Sie erschwert unbefugte Zugriffe erheblich, bietet aber keinen vollständigen Schutz.

Denn Cyberkriminelle greifen zunehmend den Menschen an: mit Phishing, gefälschten Support-Anrufen, manipulierten Login-Seiten oder gezieltem Zeitdruck. So können Angreifer selbst gut geschützte MFA-Systeme umgehen.

Für KMU bedeutet das: Technik allein reicht nicht. Ihre Mitarbeitenden müssen erkennen, wann eine Anmeldung, E-Mail oder Support-Anfrage verdächtig ist.

In diesem Artikel zeigen wir Ihnen, wie Angreifer MFA umgehen, welche Warnsignale Ihre Mitarbeiter kennen sollten und welche technischen und organisatorischen Maßnahmen wirklich schützen. Erfahren Sie außerdem, wie kontinuierliches Security Awareness Training mit SUPPORT-24 Ihre „Human Firewall“ stärkt.
MFA schützt Ihre Konten. Geschulte Mitarbeiter schützen Ihr Unternehmen.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) weist darauf hin, dass MFA-Verfahren unterschiedliche Sicherheitsniveaus bieten. SMS-Codes gelten beispielsweise als weniger sicher, da sie unter anderem durch SIM-Swapping oder das Abfangen von Nachrichten angegriffen werden können.

Deutlich robuster sind moderne Verfahren wie FIDO2- oder hardwarebasierte Sicherheitsschlüssel. Entscheidend ist außerdem die sichere Konfiguration: Unternehmen sollten berücksichtigen, ob das verwendete Gerät selbst kompromittiert werden kann und wie der Zugriff bei Verlust oder Ausfall eines zweiten Faktors wiederhergestellt wird.

Für KMU gilt daher: MFA ist wichtig – aber die Wahl und korrekte Umsetzung des Verfahrens entscheidet maßgeblich über den tatsächlichen Schutz.

Das BSI warnt ausdrücklich vor Social Engineering als menschlicher Schwachstelle.

Cyberkriminelle setzen gezielt auf psychologischen Druck, etwa mit Aussagen wie „Ihr Konto wird gesperrt“ oder geben sich als IT-Support aus. Ziel ist es, Mitarbeitende dazu zu bringen, Zugangsdaten oder MFA-Codes preiszugeben. Dabei wird die MFA nicht technisch überwunden. Der Angreifer bringt den Mitarbeiter dazu, den notwendigen zweiten Faktor selbst freizugeben. Selbst starke MFA-Verfahren können dadurch wirkungslos werden.

Gerade für KMU ist deshalb eine Kombination aus Technik und Security Awareness entscheidend. Mitarbeitende müssen wissen, wie sie verdächtige Anfragen erkennen und richtig reagieren.

Ergänzend helfen klare Prozesse und regelmäßige Schulungen, das Risiko erfolgreicher MFA-Bypass-Angriffe deutlich zu reduzieren.