Zwei-Faktor-Authentifizierung im Unternehmen einrichten

Ein gutes Passwort war lange die einzige Hürde zwischen einem Angreifer und Ihrem Firmenkonto. Diese Zeit ist vorbei. Passwörter werden gestohlen, erraten oder über gefälschte Login-Seiten direkt abgegriffen, meistens ohne dass im Unternehmen sofort jemand etwas davon merkt. Zwei-Faktor-Authentifizierung schließt genau diese Lücke, und zwar mit überschaubarem Aufwand.

Grenzen von Passwörtern

Ein Passwort ist Wissen, und Wissen lässt sich kopieren, erraten oder stehlen. Eine Analyse von Kaspersky über 231 Millionen geleakte Passwörter zeigt, wie wenig Widerstand die meisten davon leisten: 68 Prozent ließen sich innerhalb eines einzigen Tages knacken. Viele Menschen verwenden dasselbe Passwort für mehrere Dienste, dazu reicht dann schon ein einziges Datenleck bei irgendeinem Anbieter, um auch Ihr Firmenkonto in Gefahr zu bringen.

Phishing kommt dazu, und zwar zunehmend automatisiert. Microsoft identifizierte im Frühjahr 2026 eine Kampagne, die nach eigenen Angaben mehr als 35.000 Nutzer in rund 13.000 Unternehmen ins Visier nahm, mit einem Schwerpunkt auf Gesundheitswesen, Finanzbranche und Technologieunternehmen. Solche Kampagnen laufen heute großteils automatisiert und KI-gestützt ab, gefälschte E-Mails wirken sprachlich sauberer und persönlicher als noch vor wenigen Jahren. Für Unternehmen ist das keine Kleinigkeit: Laut IBM liegen die durchschnittlichen Kosten eines Datenlecks inzwischen bei mehreren Millionen Euro pro Vorfall, auch wenn die genaue Summe je nach Branche und Land stark schwankt.

Für kleine und mittlere Unternehmen kommt noch ein weiterer Punkt dazu: Automatisierte Angriffe unterscheiden nicht danach, ob hinter einem Konto ein Konzern oder ein Handwerker mit 10 Mitarbeitern steckt. Gestohlene Zugangsdaten aus einem beliebigen Leak werden einfach breit gegen tausende Konten getestet, das sogenannte Credential Stuffing. Ein Unternehmen ohne eigenes IT-Team fällt hier nicht seltener auf, sondern eher öfter, weil oft niemand regelmäßig prüft, ob ein Konto bereits in einem bekannten Datenleck aufgetaucht ist. Ein zentral verwalteter Passwort-Tresor nimmt Ihnen hier von Anfang an die größte Angriffsfläche.

Multi-Faktor-Authentifizierung wirkt dagegen sehr deutlich. Microsoft selbst gibt an, dass eine aktivierte Zwei-Faktor-Authentifizierung 99,9 Prozent der automatisierten Kontenübernahme-Versuche blockiert, selbst wenn ein Angreifer das Passwort bereits kennt. Ganz perfekt ist auch 2FA nicht: Es gibt inzwischen gezieltere Angriffsmethoden, die versuchen, Sitzungs-Token zu kapern und die zweite Absicherung zu umgehen, ohne je das Passwort zu benötigen. Solche Fälle bleiben aber deutlich seltener als der breite Angriff auf einfache Passwörter. Für die allermeisten Unternehmen verschiebt 2FA das Risiko dramatisch in eine ungefährlichere Größenordnung.

Was ist Zwei-Faktor-Authentifizierung?

Die Wirtschaftskammer Österreich (WKO) beschreibt die Zwei-Faktor-Authentifizierung als Kombination aus zwei unabhängigen Nachweisen, die aus jeweils einer anderen Kategorie stammen müssen. In der Praxis sind das:

• Wissen: etwas, das Sie wissen, zum Beispiel ein Passwort oder eine PIN.
• Besitz: etwas, das Sie haben, zum Beispiel Ihr Smartphone mit einer Authenticator-App oder ein physischer Sicherheitsschlüssel.
• Inhärenz: etwas, das Sie sind, zum Beispiel Ihr Fingerabdruck oder Ihr Gesicht.

Für eine echte Zwei-Faktor-Absicherung brauchen Sie zwei dieser drei Kategorien gleichzeitig. Ein Passwort plus eine PIN zählt also nicht als 2FA, weil beides reines Wissen ist. Ein Passwort plus ein Code aus einer App auf Ihrem Smartphone dagegen schon, weil hier Wissen und Besitz zusammenkommen.

In Österreich ist dieses Prinzip inzwischen auch gesetzlich verankert: Seit Oktober 2025 lässt sich FinanzOnline nur noch mit Zwei-Faktor-Authentifizierung nutzen, ein deutliches Signal dafür, wie sehr sich das Verfahren mittlerweile als Standard etabliert hat. Ausführliche Praxistipps für Unternehmen liefert auch das IT-Sicherheitshandbuch für KMU der WKO.

Die Verfahren im Vergleich

Nicht jedes 2FA-Verfahren bietet dasselbe Schutzniveau, und nicht jedes passt gleich gut zu jedem Unternehmen. Die folgende Übersicht zeigt die vier gängigsten Varianten im Vergleich.

SMS-Codes sind besser als gar kein zweiter Faktor, gelten aber inzwischen als das schwächste gängige Verfahren, unter anderem weil sich Mobilfunknummern über sogenanntes SIM-Swapping auf ein fremdes Gerät umleiten lassen. Authenticator-Apps mit zeitbasierten Codes (TOTP) sind ein solider Mittelweg und für die meisten Unternehmen ein guter Einstieg.

Hardware-Sicherheitsschlüssel und Passkeys gehen einen Schritt weiter. Beide basieren auf dem FIDO2-Standard. Nach dem gängigen Sicherheitsstandard, auf den sich auch die amerikanische Cybersicherheitsbehörde CISA beruft, gilt dieser Standard als einzige Kategorie von Multi-Faktor-Authentifizierung, die tatsächlich phishing-resistent ist, weil der Anmeldevorgang fest an die echte Website gebunden ist. Eine gefälschte Login-Seite kann damit technisch gar nicht erst funktionieren. Laut FIDO Alliance sind mittlerweile weltweit rund 5 Milliarden Passkeys im Einsatz, große Anbieter wie Google Workspace und Microsoft 365 unterstützen sie inzwischen standardmäßig.

Wo sollten Sie im Unternehmen zuerst ansetzen?

Sie müssen nicht am ersten Tag jedes einzelne Konto im Unternehmen umstellen. Sinnvoller ist es, mit den Konten zu beginnen, bei denen ein erfolgreicher Angriff den größten Schaden anrichten würde. In der Praxis sind das fast immer dieselben 4 Bereiche, unabhängig davon, ob Ihr Unternehmen ein Büro, eine Produktionshalle oder eine Praxis ist.

• E-Mail und Admin-Konto von Google Workspace: Wer Zugriff auf das zentrale E-Mail-Konto hat, kann bei fast jedem anderen Dienst ein Passwort zurücksetzen. Das Admin-Konto Ihrer Google-Workspace-Umgebung verdient dabei besondere Aufmerksamkeit, weil es Zugriff auf alle anderen Nutzerkonten im Unternehmen erlaubt. Das gilt übrigens unabhängig davon, ob Sie sich für Google Workspace oder Microsoft 365 entschieden haben: das zentrale Admin-Konto braucht in beiden Systemen den stärksten Schutz.
• Online-Banking: Hier ist 2FA meist ohnehin gesetzlich vorgeschrieben, prüfen Sie trotzdem, ob wirklich alle berechtigten Personen ein sicheres Verfahren nutzen und nicht nur SMS.
• Zugang zum Synology NAS: Auf einem Synology-NAS-System liegen oft Firmendaten, Buchhaltungsunterlagen oder Backups zentral gesammelt. Genau deshalb lohnt sich hier eine zusätzliche Absicherung besonders.
• Der Passwortmanager selbst: Ihr Passwortmanager schützt alle anderen Zugänge, deshalb ist sein eigenes Master-Passwort der wichtigste Zugang im ganzen System. Ein zweiter Faktor hier ist Pflicht, nicht optional.

Wenn Ihr Unternehmen ohnehin gerade unter erhöhtem regulatorischem Druck steht, etwa durch die neuen NIS2-Pflichten für österreichische KMU, ist eine saubere 2FA-Einführung auf diesen 4 Bereichen ein nachvollziehbarer erster Schritt, um Zugriffssicherheit konkret nachzuweisen.

So führen Sie 2FA im Team ein, ohne Frust

Die technische Einrichtung ist meistens der einfache Teil. Der Widerstand im Team entsteht öfter durch fehlende Erklärung als durch die Technik selbst. Ein paar praktische Punkte helfen dabei, dass die Einführung nicht zur Nervenprobe wird:

• Erst erklären, dann einführen: Zeigen Sie kurz, warum die Umstellung Sinn ergibt, nicht nur dass sie jetzt Pflicht ist. Ein Beispiel eines echten Phishing-Versuchs wirkt oft überzeugender als jede Statistik.
• Mit einer Person testen: Führen Sie 2FA zuerst bei sich selbst oder einer technikaffinen Person ein, bevor das ganze Team umgestellt wird. So finden Sie Stolpersteine, bevor sie zum unternehmensweiten Problem werden.
• Backup-Codes bereitstellen: Jedes Konto sollte einen Wiederherstellungsweg haben, falls jemand das Smartphone verliert oder wechselt. Ohne Backup-Plan wird ein verlorenes Handy schnell zum blockierten Arbeitstag.
• Einheitliches Verfahren im Team: Ein einziges, für alle gleiches Vorgehen reduziert Rückfragen deutlich, verglichen mit fünf unterschiedlichen Apps und Methoden nebeneinander.
• Pflege einplanen: Neue Mitarbeiter, neue Geräte und vergessene Codes kommen regelmäßig vor. Eine geplante Wartung nach Terminvereinbarung nimmt Ihnen diesen kleinen, aber ständigen Aufwand ab.

1Password als zentraler Passwort-Tresor

Bei Harrison Networks richten wir 1Password als zentralen Passwort-Tresor für Ihr ganzes Team ein und unterstützen Sie danach nach Terminvereinbarung. Das löst gleich mehrere Probleme auf einmal. Zugänge, die mehrere Personen brauchen, etwa für Social-Media-Konten oder gemeinsame Software-Abos, lassen sich geteilt freigeben, ohne dass ein Passwort jemals im Klartext in einem Chat oder auf einem Zettel landet. Wer das Unternehmen verlässt, verliert den Zugriff sofort, ohne dass irgendwo Passwörter geändert werden müssen.

1Password unterstützt außerdem sowohl klassische 2FA-Codes als auch Passkeys direkt im Tresor. Codes für Authenticator-Apps lassen sich dort gemeinsam mit dem passenden Login speichern und bei Bedarf automatisch ausfüllen, das spart im Alltag unnötige Klicks. Für Konten, die Passkeys unterstützen, übernimmt 1Password auch deren Verwaltung, sodass Team und Zugänge an einer zentralen Stelle organisiert bleiben, statt über mehrere Apps und Geräte verstreut zu sein. Wie eine solche zentrale Passwortverwaltung im Detail für Ihr Unternehmen aussieht, hängt von der Teamgröße und den verwendeten Diensten ab, das Prinzip bleibt aber immer dasselbe: ein Ort für alle Zugänge, verständlich für Sie als Unternehmer, ohne unnötige Komplexität.

Viel Sicherheit mit wenig Aufwand

Passwörter allein sind kein verlässlicher Schutz mehr, dafür sind Datenlecks zu häufig und automatisierte Phishing-Angriffe zu ausgereift geworden. Zwei-Faktor-Authentifizierung setzt genau hier an und senkt das Risiko einer Kontenübernahme nach den vorliegenden Zahlen ganz erheblich. Am wichtigsten sind dabei nicht die exotischsten Verfahren, sondern die konsequente Absicherung der Konten mit dem größten Schaden im Ernstfall: E-Mail, Admin-Zugänge, Banking, NAS und der Passwortmanager selbst.

Die Einführung im Team muss dabei nicht kompliziert werden. Mit einer klaren Erklärung, einem einheitlichen Verfahren und einem zentralen Tresor wie 1Password bleibt der Aufwand überschaubar, während der Sicherheitsgewinn real und dauerhaft ist. Wenn Sie nicht wissen, wo Sie in Ihrem Unternehmen anfangen sollen, holen Sie sich eine kostenlose Ersteinschätzung, wir schauen uns Ihre wichtigsten Konten gemeinsam an.