Glossar
MFA (Multi-Faktor-Authentifizierung)
MFA verlangt beim Anmelden mindestens zwei unabhängige Nachweise: etwas, das Sie wissen, etwas, das Sie besitzen, oder etwas, das Sie sind. Für ein IT-Team heißt das vor allem, dass ein gestohlenes Passwort allein keinen Zugang mehr verschafft, und dass das Smartphone zum zweiten Faktor wird, also selbst zum Teil der Sicherheitsarchitektur.
So funktioniert es
Der erste Faktor bleibt meist das Passwort. Der zweite kommt aus einer Authenticator-App mit Einmalcode, einer Push-Bestätigung, einem FIDO2-Schlüssel oder einem Gerätezertifikat. SMS-Codes gelten seit Jahren als schwächste Variante, weil SIM-Swapping und SS7-Angriffe praktikabel sind; das BSI und Microsoft empfehlen beide, davon wegzugehen.
Die Durchsetzung passiert beim Identitätsanbieter, nicht in jeder App einzeln. Microsoft Entra ID, Okta oder Google Workspace prüfen die Anmeldung und entscheiden anhand von Richtlinien, wann ein zweiter Faktor fällig wird. Microsoft erzwingt seit 2025 MFA für administrative Zugänge zum Azure-Portal, unabhängig von der Mandantenkonfiguration. Die nächste Stufe heißt phishing-resistent: Passkeys und FIDO2-Schlüssel, bei denen kein Code existiert, den jemand abtippen und weitergeben kann.
Hier kommt das MDM ins Spiel. Ein verwaltetes Gerät kann selbst ein Faktor sein, weil es ein Zertifikat aus Ihrer PKI trägt und sich damit ausweist. Und es macht die MFA-App überhaupt erst zuverlässig: installiert, aktuell, hinter einem Sperrcode, nicht auf einem gerooteten Telefon.
Warum es für eine Flotte wichtig ist
MFA verlagert das Risiko vom Passwort auf das Telefon. Das ist ein guter Tausch, schafft aber neue Aufgaben. Verliert ein Mitarbeiter sein Gerät, verliert er seinen zweiten Faktor, und Ihr Helpdesk bekommt einen Anruf, der ohne saubere Wiederherstellungsprozedur selbst zur Schwachstelle wird. Die meisten erfolgreichen Angriffe auf MFA laufen heute über den Helpdesk oder über Push-Müdigkeit, nicht über die Kryptografie.
Dazu kommen regulatorische Gründe. NIS2 nennt Multi-Faktor-Authentifizierung ausdrücklich unter den Mindestmaßnahmen, und Cyberversicherer fragen sie in Fragebögen ab. Ohne MFA auf Fernzugängen und Administratorkonten bekommen Sie schlechtere Konditionen oder gar keine.
Praktischer Rat: Koppeln Sie MFA mit dem Gerätezustand, statt sie als einzelne Hürde zu betrachten. Ein Code aus einer App auf einem gerooteten Privattelefon ist weniger wert als eine stille Zertifikatsprüfung auf einem registrierten Firmengerät.
So handhabt es Appaloosa
Appaloosa verteilt Authenticator-Apps und Zertifikate auf registrierte Geräte, erzwingt Sperrcode und Verschlüsselung als Voraussetzung und meldet den Compliance-Zustand, den Ihr Identitätsanbieter für seine Zugriffsentscheidungen nutzen kann. Geht ein Telefon verloren, entziehen Sie Zertifikat und Arbeitsdaten aus der Konsole, wie auf der Seite Mobile Device Management beschrieben.
Entdecken
Die ganze Plattform
Registrierung, Apps, Sicherheit, Fernsupport: alles an einem Ort.
Appaloosa entdecken →Sehen Sie Appaloosa auf Ihrer Flotte Demo buchen