Auch genannt: MFA, Multi-Factor Authentication, Zwei-Faktor-Authentifizierung (2FA, als Sonderfall von MFA)
Multi-Faktor-Authentifizierung (MFA) ist ein Verfahren zur Anmeldung, bei dem ein Dienst mehr als einen unabhängigen Nachweis verlangt. Neben einem Passwort kann das zum Beispiel eine Bestätigung in einer Authenticator-App, ein Sicherheitsschlüssel oder ein biometrisches Merkmal auf dem eigenen Gerät sein. Der zusätzliche Nachweis soll verhindern, dass ein gestohlenes oder erratenes Passwort allein den Zugang zu einem Konto eröffnet.
Ein Passwort beantwortet die Frage, ob jemand ein Geheimnis kennt. Für viele Konten reicht das als Schutz nicht aus: Passwörter können wiederverwendet, durch Phishing abgefragt oder durch Datenlecks bekannt werden. MFA ergänzt deshalb einen zweiten, andersartigen Nachweis. Die US-Sicherheitsbehörde CISA beschreibt MFA nutzerorientiert als Kombination von zwei oder mehr Authentikatoren, die vor der Freigabe eines Zugangs die Identität bestätigen soll.
Entscheidend ist nicht bloß die Anzahl der Abfragen. Die Faktoren müssen aus unterschiedlichen Kategorien stammen. Üblich ist die Einteilung in etwas, das man weiß, etwa ein Passwort oder eine PIN; etwas, das man besitzt, etwa ein registriertes Smartphone oder einen Hardware-Sicherheitsschlüssel; und etwas, das man ist, etwa ein Fingerabdruck. Zwei Passwörter oder Passwort plus Sicherheitsfrage sind daher normalerweise keine Multi-Faktor-Authentifizierung: Beide Nachweise beruhen auf Wissen und können auf ähnliche Weise abgegriffen werden.
Bei einer Anmeldung prüft der Dienst zunächst einen oder mehrere Authentikatoren, die dem Konto zugeordnet sind. Nach dem Passwort kann er etwa einen zeitlich begrenzten Code aus einer Authenticator-App, eine Bestätigung auf einem registrierten Gerät oder die Nutzung eines Sicherheitsschlüssels verlangen. Erst wenn die erforderlichen Nachweise akzeptiert wurden, wird die Sitzung eröffnet.
Wie streng diese Prüfung ausfällt, hängt vom Schutzbedarf ab. Die technische Richtlinie NIST SP 800-63B formuliert für das Authenticator Assurance Level 2 den Nachweis von Besitz und Kontrolle zweier unterschiedlicher Authentifizierungsfaktoren. Diese Vorgabe ist ein Standard für digitale Identitätsdienste in ihrem Anwendungsbereich, nicht automatisch die Konfiguration jedes privaten Onlinekontos. Sie macht aber den Kern deutlich: Ein zusätzlicher Code ist nur dann ein zweiter Faktor, wenn er einen anderen Faktor belegt.
Biometrie wird oft missverstanden. Ein Fingerabdruck oder ein Gesichtsscan kann auf einem Gerät dazu dienen, einen dort hinterlegten Anmeldeschlüssel freizugeben. Das bedeutet nicht zwangsläufig, dass die biometrischen Rohdaten an die Website übertragen werden. Welche Daten das konkrete Verfahren verarbeitet, ergibt sich aus dem jeweiligen Dienst und Gerät.
Eine Person meldet sich in ihrem E-Mail-Konto mit Passwort an. Danach fordert der Dienst die Bestätigung in einer bereits eingerichteten Authenticator-App. Gelangt ein Angreifer durch eine gefälschte Anmeldeseite an das Passwort, kann er sich ohne die zweite Bestätigung nicht regulär anmelden. Der Schutz greift jedoch nur, solange die Person auch die Aufforderung kritisch prüft und nicht selbst eine unerwartete Anmeldung bestätigt.
MFA wird bei E-Mail-Postfächern, Cloud-Speichern, sozialen Netzwerken, Onlinebanken, Unternehmensanwendungen und Verwaltungszugängen eingesetzt. Besonders wichtig ist sie für Konten, über die sich Passwörter zurücksetzen lassen oder von denen aus weitere Systeme erreichbar sind. Unternehmen verbinden MFA häufig mit Zugriffsregeln: Eine Anmeldung von einem neuen Gerät, aus einem fremden Netz oder für eine besonders sensible Anwendung kann eine zusätzliche Prüfung auslösen.
Für Privatpersonen ist ein guter erster Schritt, MFA in den Sicherheitseinstellungen wichtiger Konten zu aktivieren und die angebotenen Wiederherstellungsoptionen zu verstehen. CISA nennt unter anderem SMS- oder Sprachnachrichten, Apps und biometrische Verfahren als verbreitete Formen. Welche Methode verfügbar ist und wie widerstandsfähig sie gegen bestimmte Angriffe ist, unterscheidet sich je nach Dienst. Deshalb sollte eine Auswahl nicht nur nach Bequemlichkeit erfolgen, sondern auch danach, wie Konto-Wiederherstellung und Gerätewechsel abgesichert sind.
MFA ersetzt weder sorgfältige Passwortverwaltung noch Aufmerksamkeit bei verdächtigen Anmeldeseiten. Angriffe können darauf zielen, die zweite Bestätigung in Echtzeit abzufangen, eine Person zu wiederholten Bestätigungen zu bewegen oder den Wiederherstellungsprozess zu übernehmen. Auch ein verlorenes Gerät kann zum Problem werden, wenn keine sichere Wiederherstellung vorbereitet ist.
SMS-Codes sind eine Form zusätzlicher Prüfung, aber nicht in jeder Bedrohungslage gleich robust. Ein Verfahren mit einem registrierten Sicherheitsschlüssel oder ein phishingresistenter Zugang kann je nach Dienst besseren Schutz gegen gefälschte Anmeldedomains bieten. Daraus folgt nicht, dass jede MFA-Methode jeden Kontodiebstahl verhindert: Geräte, Wiederherstellung, Dienstkonfiguration und Verhalten der Nutzenden bleiben Teil des Schutzes.
Ein Passkey ist nicht dasselbe wie MFA: Er bezeichnet ein bestimmtes passwortloses Anmeldeverfahren, während MFA die Kombination unterschiedlicher Faktoren beschreibt. Ein Passwort ist typischerweise ein Wissensnachweis und genügt allein nicht für mehrere Faktoren. Zwei-Faktor-Authentifizierung ist kein Gegenbegriff, sondern eine MFA-Variante mit genau zwei Faktoren. Ein Einmalcode ist wiederum kein eigenes Sicherheitsniveau; seine Einordnung hängt davon ab, wie er erzeugt und an welchen Faktor er gebunden ist.
Stand der Quellen: 13. September 2026