2022 galt MFA als zentrale Mindestanforderung der Cyber-Versicherung. Heute zählt nicht mehr nur, ob MFA vorhanden ist, sondern wie stark, vollständig und nachweisbar sie umgesetzt wurde.
Multi-Faktor-Authentifizierung ist heute selbstverständlicher Bestandteil der Cyber-Sicherheit und des Underwritings. Doch seit 2022 hat sich die entscheidende Frage verändert: Nicht mehr nur, ob MFA eingesetzt wird, sondern wo, wie stark und wie konsequent sie umgesetzt ist.
Als wir 2022 über Multi-Faktor-Authentifizierung geschrieben haben, war die Kernbotschaft klar: Ein Passwort allein reicht nicht aus. Cyber-Versicherer verlangten MFA zunehmend als Mindestvoraussetzung – vor allem für Fernzugriffe und privilegierte Konten.
Diese Aussage gilt weiterhin. Sie ist heute aber unvollständig. Angreifer haben gelernt, schwächere MFA-Verfahren zu umgehen, Passkeys haben den Schritt aus der Nische in den Massenmarkt geschafft und neue regulatorische Vorgaben machen starke Authentifizierung zunehmend zu einem Compliance-Thema. Auch im Underwriting genügt daher ein einfaches „MFA vorhanden“ immer seltener.
Was sich verändert hat
2022 wurde MFA häufig noch als binäre Kontrolle betrachtet: vorhanden oder nicht vorhanden. Heute wird stärker zwischen den verschiedenen Verfahren, ihrem tatsächlichen Schutz und dem Umfang ihrer Implementierung unterschieden.
Der Grund dafür liegt in der Entwicklung der Angriffsmethoden. Bei sogenanntem MFA Fatigue oder Push Bombing wird ein Benutzer mit Freigabeaufforderungen überhäuft, bis er eine davon aus Versehen oder aus Überforderung bestätigt. CISA empfiehlt deshalb bei Push-Verfahren zumindest „Number Matching“ als Zwischenlösung, stuft phishing-resistente Verfahren aber ausdrücklich als Goldstandard ein.
Noch problematischer sind Adversary-in-the-Middle-Angriffe. Dabei schaltet sich eine täuschend echte Phishing-Seite zwischen Benutzer und legitimen Dienst. Sie kann nicht nur Passwort und Einmalcode in Echtzeit weiterleiten, sondern unter Umständen auch die nach erfolgreicher Anmeldung ausgestellte Sitzung übernehmen. Damit schützt klassische MFA weiterhin sehr gut gegen bloßen Passwortdiebstahl – aber nicht automatisch gegen modernes Echtzeit-Phishing und Session-Hijacking.
Die wichtigste Aktualisierung zur Botschaft von 2022 lautet daher: MFA ist nicht gleich MFA.
Die neue MFA-Hierarchie
Die verschiedenen Verfahren bieten sehr unterschiedliche Sicherheitsniveaus:
| Verfahren | Schutzwirkung | Wesentliche Schwäche | Einordnung 2026 |
|---|---|---|---|
| E-Mail-Code | Besser als nur Passwort | Zweiter Faktor kann über dasselbe kompromittierte Postfach erreichbar sein | Nur als Übergangslösung |
| SMS-Code | Schutz gegen einfachen Passwortdiebstahl | SIM-Swapping, Social Engineering und Echtzeit-Phishing | Wenn keine stärkere Methode verfügbar ist |
| TOTP-Code aus Authenticator-App | Unabhängig vom Mobilfunknetz | Code kann über eine Phishing-Seite in Echtzeit abgegriffen und weitergeleitet werden | Solide, aber nicht phishing-resistent |
| Push-Freigabe ohne Number Matching | Benutzerfreundlich | MFA Fatigue und versehentliche Freigaben | Sollte abgelöst werden |
| Push mit Number Matching | Besserer Schutz gegen Push Bombing | Weiterhin nicht vollständig phishing-resistent | Sinnvolle Zwischenstufe |
| Passkeys, FIDO2-Sicherheitsschlüssel, geeignete zertifikatsbasierte Verfahren | Kryptografisch an den echten Dienst gebunden | Erfordert saubere Einführung, Wiederherstellung und Geräteverwaltung | Bevorzugter Standard für erhöhte Risiken |
CISA ordnet hardwarebasierte FIDO/WebAuthn- oder PKI-Verfahren an der Spitze ein, während SMS und Sprachanruf nur eingesetzt werden sollen, wenn keine besseren Optionen möglich sind. Auch NIST hält manuell eingegebene OTPs nicht für resistent gegen die Nachahmung des legitimen Dienstes, weil der Code nicht kryptografisch an die konkrete Sitzung gebunden ist.
Passkeys statt Passwörter
Die sichtbarste technische Entwicklung seit 2022 sind Passkeys. Dabei wird kein gemeinsames Geheimnis wie ein Passwort an einen Server übertragen. Stattdessen erzeugt das Gerät ein kryptografisches Schlüsselpaar: Der private Schlüssel verbleibt beim Benutzer, während der Dienst nur den öffentlichen Schlüssel erhält.
Entscheidend ist die Bindung an die echte Website beziehungsweise den legitimen Dienst. Ein Passkey für eine bestimmte Domain funktioniert nicht auf einer täuschend ähnlichen Phishing-Seite. Gerade diese technische Bindung macht FIDO-basierte Passkeys phishing-resistent.
Für den Benutzer wirkt die Anmeldung häufig einfacher als klassische MFA: Das Gerät wird mit Fingerabdruck, Gesichtserkennung oder PIN entsperrt, im Hintergrund werden aber Besitz des Geräts und lokale Benutzerverifikation kombiniert. Passkeys können damit eine starke, passwortlose Mehrfaktor-Authentifizierung in einem einzigen Bedienvorgang ermöglichen.
Seit 2023 haben große Plattformen Passkeys breit ausgerollt; Google stellte sie damals unter anderem für persönliche Konten und Nutzer von mehr als neun Millionen Workspace-Kunden bereit. Ende 2024 konnten laut FIDO Alliance bereits mehr als 15 Milliarden Online-Konten Passkeys verwenden.
Für Unternehmen ist jedoch zu unterscheiden:
Die FIDO Alliance empfiehlt für Umgebungen mit moderatem Schutzbedarf eine Kombination: synchronisierte Passkeys für Standardnutzer und gerätegebundene Passkeys für besonders privilegierte Konten.
Bedeutung für Cyber-Versicherungen
MFA bleibt eine der zentralen Kontrollen im Cyber-Underwriting. Die Prüfung wird jedoch granularer: Entscheidend ist nicht nur die Existenz der Lösung, sondern ihre Reichweite, Qualität und dauerhafte Durchsetzung.
Bereits eine Marsh-Analyse aus 2023 zeigte, dass MFA ihren starken positiven Effekt vor allem dann entfaltet, wenn sie für alle kritischen und sensiblen Daten, sämtliche Fernzugriffe sowie administrative Konten umgesetzt ist. Unternehmen mit einer derart breiten Implementierung waren in der untersuchten Datenbasis 1,4-mal weniger wahrscheinlich von einem erfolgreichen Cyber-Angriff betroffen.
2025 ging die Analyse einen Schritt weiter: Phishing-resistente MFA korrelierte mit einer um 9 Prozent geringeren Wahrscheinlichkeit eines schadensrelevanten Vorfalls als schwächere MFA-Verfahren. Das ist für Underwriter ein wichtiges Signal: Die Methode selbst wird neben dem bloßen Vorhandensein der Kontrolle zum Risikomerkmal.
Diese Entwicklung passt zum Schadenbild. Business Email Compromise und betrügerische Zahlungsumleitungen machten nach den Schadendaten von Coalition 58 Prozent der im Jahr 2025 beobachteten Cyber-Vorfälle aus; Ransomware blieb zugleich die teuerste Schadenart. Identitätsschutz ist daher nicht nur ein technisches Detail, sondern unmittelbar mit Betriebsunterbrechung, Vermögensverlust und versicherten Krisenkosten verbunden.
Was man im Unternehmen wissen sollte
Für eine belastbare Risikodarstellung sollten Unternehmen heute konkreter antworten können als mit „Ja, wir haben MFA“. Typische Prüfpunkte sind:
Gerade der letzte Punkt wird wichtiger. Versicherungsanträge sollten gemeinsam von Geschäftsleitung und IT beantwortet und die Angaben vor Abgabe technisch verifiziert werden.
Der US-Fall Travelers v. International Control Services zeigt, welche Tragweite unzutreffende Angaben haben können: Nach einem Ransomware-Angriff und dem Vorwurf, MFA sei deutlich weniger umfassend umgesetzt gewesen als im Antrag angegeben, vereinbarten die Parteien die Aufhebung der Polizze von Beginn an. Der Fall wurde einvernehmlich beendet und ist daher kein gerichtliches Sachurteil; er verdeutlicht dennoch das Risiko unpräziser Selbstauskünfte.
MFA wird regulatorisch
Auch regulatorisch hat MFA seit 2022 an Gewicht gewonnen. Die NIS-2-Richtlinie nennt Multi-Faktor- oder kontinuierliche Authentifizierung ausdrücklich als mögliche Cyber-Risikomanagementmaßnahme.
In Österreich setzt das NISG 2026 diese Vorgaben um. Seine zentralen Bestimmungen sind am 1. Oktober 2026 in Kraft getreten; § 32 nennt Lösungen zur Multi-Faktor- oder kontinuierlichen Authentifizierung ausdrücklich unter den Risikomanagementmaßnahmen.
Für Finanzunternehmen ist zusätzlich DORA relevant. Die technischen Regulierungsstandards verlangen risikoadäquate und starke Authentifizierung nach führenden Praktiken, insbesondere für Fernzugriffe, privilegierte Zugänge sowie den Zugriff auf IKT-Assets, die kritische oder wichtige Funktionen unterstützen.
Für betroffene Unternehmen entsteht damit eine wichtige Verbindung: Dieselbe Kontrolle kann gleichzeitig regulatorische Pflicht, Instrument des Risikomanagements und wesentliches Kriterium der Versicherbarkeit sein.
Der blinde Fleck: Wiederherstellung
Selbst die stärkste Anmeldung verliert an Wirkung, wenn der Wiederherstellungsprozess schwach ist. Angreifer versuchen daher zunehmend nicht nur, den eigentlichen Login zu überwinden, sondern den Helpdesk zu täuschen, neue Faktoren zu registrieren oder ein Konto über unsichere Ersatzverfahren zurückzusetzen.
Ein Unternehmen sollte daher auch für Enrollment, Faktorwechsel und Account Recovery klare Regeln festlegen:
Aktuelle Empfehlungen stellen deshalb nicht nur auf den Login ab, sondern auch auf eine robuste Identitätsprüfung bei der Ausgabe und beim Zurücksetzen von Authentifikatoren.
Was Unternehmen jetzt tun sollten
Eine zeitgemäße MFA-Strategie lässt sich in sechs Schritten aufbauen:
Die neue Mindestanforderung
MFA ist 2026 nicht weniger wichtig als 2022 – im Gegenteil. Aber die Messlatte ist gestiegen. Ein Passwort plus beliebiger zweiter Faktor ist weiterhin deutlich besser als ein Passwort allein, bildet jedoch nicht mehr in jedem Fall den Stand der Technik für sensible und privilegierte Zugänge ab.
Für Unternehmen lautet die richtige Frage daher nicht mehr: „Haben wir MFA?“ Sie lautet: „Schützt unsere Authentifizierung alle relevanten Zugänge, widersteht sie modernen Angriffen und können wir ihre Wirksamkeit nachweisen?“
Genau diese Differenzierung wird auch im Cyber-Underwriting immer wichtiger. Wer MFA flächendeckend, phishing-resistent und nachvollziehbar umsetzt, verbessert nicht nur die eigene Sicherheitslage, sondern schafft zugleich eine bessere Grundlage für Versicherbarkeit, Vertragsklarheit und belastbaren Versicherungsschutz.
TEILEN SIE DEN ARTIKEL
Für Unternehmen, Stiftungen, Vereine, einzelne Personen & D&O mit Strafrechtschutz
Für Dienstleister & Gewerbe, Versicherungs-Vermitttler, Produktions-Unternehmen etc.
Strafrechtsschutz, Manager-Rechtsschutz, Steuerberater & Wirtschaftsprüfer
Finanzinstitutionen,
Kommerzielle Kunden
Finanzinstitute, Private Equity, Werbung & Medien etc.
Cyber, Vertrauensschaden und D&O sind seit dem NISG 2026 kein loses Nebeneinander mehr, sondern eine Haftungskette. Jede Lücke im ersten Glied wird zum Anspruch gegen die Geschäftsführung.
WEITERLESEN
PHP bildet die technische Grundlage zahlreicher Systeme im Web und ist nun von zwei schwerwiegenden Schwachstellen betroffen. Ein massives Problem oder ist die Aufregung übertrieben?
WEITERLESEN
Managerhaftung, Strafrecht, Cyber und Künstliche Intelligenz treffen zusammen und was Entscheidungsträger konkret tun können, um sich wirksam zu schützen.
WEITERLESEN
PHP2Shell: Kritische Lücken im Fundament des Webs
Nach oben scrollen
Sie sehen gerade einen Platzhalterinhalt von Facebook. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Instagram. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von reCAPTCHA. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie müssen den Inhalt von hCaptcha laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Turnstile. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von X. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen