Zwei-Faktor-Authentifizierung im Unternehmen einrichten

Ein gutes Passwort war lange die einzige Hürde zwischen einem Angreifer und deinem Firmenkonto. Diese Zeit ist vorbei. Passwörter werden gestohlen, erraten oder über gefälschte Login-Seiten direkt abgegriffen, meistens ohne dass im Betrieb sofort jemand etwas davon merkt. Zwei-Faktor-Authentifizierung schließt genau diese Lücke, und zwar mit überschaubarem Aufwand.

Warum Passwörter allein nicht mehr reichen

Ein Passwort ist Wissen, und Wissen lässt sich kopieren, erraten oder stehlen. Eine Analyse von Kaspersky über 231 Millionen geleakte Passwörter zeigt, wie wenig Widerstand die meisten davon leisten: 68 Prozent ließen sich innerhalb eines einzigen Tages knacken. Viele Menschen verwenden dasselbe Passwort für mehrere Dienste, dazu reicht dann schon ein einziges Datenleck bei irgendeinem Anbieter, um auch dein Firmenkonto in Gefahr zu bringen.

Phishing kommt dazu, und zwar zunehmend automatisiert. Microsoft identifizierte im Frühjahr 2026 eine Kampagne, die nach eigenen Angaben mehr als 35.000 Nutzer in rund 13.000 Unternehmen ins Visier nahm, mit einem Schwerpunkt auf Gesundheitswesen, Finanzbranche und Technologieunternehmen. Solche Kampagnen laufen heute großteils automatisiert und KI-gestützt ab, gefälschte E-Mails wirken sprachlich sauberer und persönlicher als noch vor wenigen Jahren. Für Unternehmen ist das keine Kleinigkeit: Laut IBM liegen die durchschnittlichen Kosten eines Datenlecks inzwischen bei mehreren Millionen Euro pro Vorfall, auch wenn die genaue Summe je nach Branche und Land stark schwankt.

Für kleine und mittlere Unternehmen kommt noch ein weiterer Punkt dazu: Automatisierte Angriffe unterscheiden nicht danach, ob hinter einem Konto ein Konzern oder ein Handwerksbetrieb mit zehn Mitarbeitern steckt. Gestohlene Zugangsdaten aus einem beliebigen Leak werden einfach breit gegen tausende Konten getestet, das sogenannte Credential Stuffing. Ein Betrieb ohne eigenes IT-Team fällt hier nicht seltener auf, sondern eher öfter, weil oft niemand regelmäßig prüft, ob ein Konto bereits in einem bekannten Datenleck aufgetaucht ist.

Multi-Faktor-Authentifizierung wirkt dagegen sehr deutlich. Microsoft selbst gibt an, dass eine aktivierte Zwei-Faktor-Authentifizierung 99,9 Prozent der automatisierten Kontenübernahme-Versuche blockiert, selbst wenn ein Angreifer das Passwort bereits kennt. Ganz perfekt ist auch 2FA nicht: Es gibt inzwischen gezieltere Angriffsmethoden, die versuchen, Sitzungs-Token zu kapern und die zweite Absicherung zu umgehen, ohne je das Passwort zu benötigen. Solche Fälle bleiben aber deutlich seltener als der breite Angriff auf einfache Passwörter. Für die allermeisten Betriebe verschiebt 2FA das Risiko dramatisch in eine ungefährlichere Größenordnung.

Was Zwei-Faktor-Authentifizierung genau bedeutet

Die Wirtschaftskammer Österreich (WKO) beschreibt die Zwei-Faktor-Authentifizierung als Kombination aus zwei unabhängigen Nachweisen, die aus jeweils einer anderen Kategorie stammen müssen. In der Praxis sind das:

• Wissen: etwas, das du weißt, zum Beispiel ein Passwort oder eine PIN.
• Besitz: etwas, das du hast, zum Beispiel dein Smartphone mit einer Authenticator-App oder ein physischer Sicherheitsschlüssel.
• Inhärenz: etwas, das du bist, zum Beispiel dein Fingerabdruck oder dein Gesicht.

Für eine echte Zwei-Faktor-Absicherung brauchst du zwei dieser drei Kategorien gleichzeitig. Ein Passwort plus eine PIN zählt also nicht als 2FA, weil beides reines Wissen ist. Ein Passwort plus ein Code aus einer App auf deinem Smartphone dagegen schon, weil hier Wissen und Besitz zusammenkommen. In Österreich ist dieses Prinzip inzwischen auch gesetzlich verankert: Seit Oktober 2025 lässt sich FinanzOnline nur noch mit Zwei-Faktor-Authentifizierung nutzen, ein deutliches Signal dafür, wie sehr sich das Verfahren mittlerweile als Standard etabliert hat. Ausführliche Praxistipps für Unternehmen liefert auch das IT-Sicherheitshandbuch für KMU der WKO.

Die Verfahren im Vergleich

Nicht jedes 2FA-Verfahren bietet dasselbe Schutzniveau, und nicht jedes passt gleich gut zu jedem Betrieb. Die folgende Übersicht zeigt die vier gängigsten Varianten im Vergleich.

SMS-Codes sind besser als gar kein zweiter Faktor, gelten aber inzwischen als das schwächste gängige Verfahren, unter anderem weil sich Mobilfunknummern über sogenanntes SIM-Swapping auf ein fremdes Gerät umleiten lassen. Authenticator-Apps mit zeitbasierten Codes (TOTP) sind ein solider Mittelweg und für die meisten Betriebe ein guter Einstieg.

Hardware-Sicherheitsschlüssel und Passkeys gehen einen Schritt weiter. Beide basieren auf dem FIDO2-Standard. Der amerikanischen Cybersicherheitsbehörde CISA gilt dieser Standard als einzige Kategorie von Multi-Faktor-Authentifizierung, die tatsächlich phishing-resistent ist, weil der Anmeldevorgang fest an die echte Website gebunden ist. Eine gefälschte Login-Seite kann damit technisch gar nicht erst funktionieren. Laut FIDO Alliance sind mittlerweile weltweit rund 5 Milliarden Passkeys im Einsatz, große Anbieter wie Google Workspace und Microsoft 365 unterstützen sie inzwischen standardmäßig.

Wo du im Betrieb zuerst ansetzen solltest

Du musst nicht am ersten Tag jedes einzelne Konto im Unternehmen umstellen. Sinnvoller ist es, mit den Konten zu beginnen, bei denen ein erfolgreicher Angriff den größten Schaden anrichten würde. In der Praxis sind das fast immer dieselben vier Bereiche, unabhängig davon, ob dein Betrieb ein Büro, eine Produktionshalle oder eine Praxis ist.

• E-Mail und Admin-Konto von Google Workspace: Wer Zugriff auf das zentrale E-Mail-Konto hat, kann bei fast jedem anderen Dienst ein Passwort zurücksetzen. Das Admin-Konto von Google Workspace verdient dabei besondere Aufmerksamkeit, weil es Zugriff auf alle anderen Nutzerkonten im Unternehmen erlaubt.
• Online-Banking: Hier ist 2FA meist ohnehin gesetzlich vorgeschrieben, prüfe trotzdem, ob wirklich alle berechtigten Personen ein sicheres Verfahren nutzen und nicht nur SMS.
• Zugang zum Synology NAS: Auf einem Synology NAS liegen oft Firmendaten, Buchhaltungsunterlagen oder Backups zentral gesammelt. Genau deshalb lohnt sich hier eine zusätzliche Absicherung besonders.
• Der Passwortmanager selbst: Dein Passwortmanager schützt alle anderen Zugänge, deshalb ist sein eigenes Master-Passwort der wichtigste Zugang im ganzen System. Ein zweiter Faktor hier ist Pflicht, nicht optional.

Wenn dein Betrieb ohnehin gerade unter erhöhtem regulatorischem Druck steht, etwa durch die neuen NIS2-Anforderungen für KMU in Österreich, ist eine saubere 2FA-Einführung auf diesen vier Bereichen ein nachvollziehbarer erster Schritt, um Zugriffssicherheit konkret nachzuweisen.

So führst du 2FA im Team ein, ohne Frust

Die technische Einrichtung ist meistens der einfache Teil. Der Widerstand im Team entsteht öfter durch fehlende Erklärung als durch die Technik selbst. Ein paar praktische Punkte helfen dabei, dass die Einführung nicht zur Nervenprobe wird:

• Erst erklären, dann einführen: Zeig kurz, warum die Umstellung Sinn ergibt, nicht nur dass sie jetzt Pflicht ist. Ein Beispiel eines echten Phishing-Versuchs wirkt oft überzeugender als jede Statistik.
• Mit einer Person testen: Führe 2FA zuerst bei dir selbst oder einer technikaffinen Person ein, bevor das ganze Team umgestellt wird. So findest du Stolpersteine, bevor sie zum betriebsweiten Problem werden.
• Backup-Codes bereitstellen: Jedes Konto sollte einen Wiederherstellungsweg haben, falls jemand das Smartphone verliert oder wechselt. Ohne Backup-Plan wird ein verlorenes Handy schnell zum blockierten Arbeitstag.
• Einheitliches Verfahren im Team: Ein einziges, für alle gleiches Vorgehen reduziert Rückfragen deutlich, verglichen mit fünf unterschiedlichen Apps und Methoden nebeneinander.
• Laufende Betreuung einplanen: Neue Mitarbeiter, neue Geräte und vergessene Codes kommen regelmäßig vor. Eine geregelte Wartung und Betreuung im Hintergrund nimmt dir diesen kleinen, aber ständigen Aufwand ab.

Was 1Password dabei konkret übernimmt

Bei Harrison Networks richten wir 1Password als zentralen Passwort-Tresor für dein ganzes Team ein und betreuen es laufend. Das löst gleich mehrere Probleme auf einmal. Zugänge, die mehrere Personen brauchen, etwa für Social-Media-Konten oder gemeinsame Software-Abos, lassen sich geteilt freigeben, ohne dass ein Passwort jemals im Klartext in einem Chat oder auf einem Zettel landet. Wer das Unternehmen verlässt, verliert den Zugriff sofort, ohne dass irgendwo Passwörter geändert werden müssen.

1Password unterstützt außerdem sowohl klassische 2FA-Codes als auch Passkeys direkt im Tresor. Codes für Authenticator-Apps lassen sich dort gemeinsam mit dem passenden Login speichern und bei Bedarf automatisch ausfüllen, das spart im Alltag unnötige Klicks. Für Konten, die Passkeys unterstützen, übernimmt 1Password auch deren Verwaltung, sodass Team und Zugänge an einer zentralen Stelle organisiert bleiben, statt über mehrere Apps und Geräte verstreut zu sein. Wie ein solches Passwort-Management im Detail für deinen Betrieb aussieht, hängt von der Teamgröße und den verwendeten Diensten ab, das Prinzip bleibt aber immer dasselbe: ein Ort für alle Zugänge, verständlich für dich als Unternehmer, ohne unnötige Komplexität.

Fazit

Passwörter allein sind kein verlässlicher Schutz mehr, dafür sind Datenlecks zu häufig und automatisierte Phishing-Angriffe zu ausgereift geworden. Zwei-Faktor-Authentifizierung setzt genau hier an und senkt das Risiko einer Kontenübernahme nach den vorliegenden Zahlen ganz erheblich. Am wichtigsten sind dabei nicht die exotischsten Verfahren, sondern die konsequente Absicherung der Konten mit dem größten Schaden im Ernstfall: E-Mail, Admin-Zugänge, Banking, NAS und der Passwortmanager selbst.

Die Einführung im Team muss dabei nicht kompliziert werden. Mit einer klaren Erklärung, einem einheitlichen Verfahren und einem zentralen Tresor wie 1Password bleibt der Aufwand überschaubar, während der Sicherheitsgewinn real und dauerhaft ist. Wer jetzt startet, muss nicht auf den nächsten Vorfall warten, um zu merken, dass sich die Umstellung gelohnt hat.