Warum ein Passwort heute nicht mehr reicht: Wie Multifaktor-Authentifizierung Ihr Unternehmen schützt

Täglich werden Millionen von Zugangsdaten durch Phishing-Angriffe, Datenlecks oder durch ein paar unachtsame Klicks kompromittiert. Ein einziges gestohlenes Passwort kann im schlimmsten Fall die gesamte IT-Infrastruktur lahmlegen.

Multifaktor-Authentifizierung (MFA) schließt genau diese Sicherheitslücke.

Für Rechtsanwaltskanzleien, Steuerberater und mittelständische Unternehmen, die täglich mit vertraulichen Daten arbeiten, ist MFA längst keine Option mehr – sie ist zur Notwendigkeit geworden.

In diesem Interview mit unserem CISO Reinhard Felgenhauer erfahren Sie, warum MFA heute unverzichtbar ist, wie unsere MFA-Lösung für bds Cloud-Arbeitsplätze funktioniert und weshalb die Einführung einfacher ist, als Sie denken.

Was genau versteht man unter Multifaktor-Authentifizierung (MFA) und warum ist ein Passwort allein heute nicht mehr genug?

Multifaktor-Authentifizierung – kurz MFA – ist eine Sicherheitsmaßnahme, die dafür sorgt, dass der Zugriff auf ein System oder einen Dienst nicht nur durch die klassische Kombination aus Benutzername und Passwort, sondern zusätzlich noch durch einen zweiten, unabhängigen Faktor geschützt wird. Dieser zweite Faktor kann zum Beispiel ein Einmalcode auf dem Smartphone, ein Fingerabdruck oder eine Push-Benachrichtigung über eine Authentifizierungs-App sein.

Das Ziel der MFA ist es, die Identität des Benutzers zweifelsfrei zu bestätigen – selbst dann, wenn das Passwort vielleicht schon kompromittiert wurde. Das ist notwendig, weil Passwörter in der Praxis nach wie vor eine zentrale Schwachstelle darstellen: Sie werden häufig mehrfach verwendet, zu einfach gewählt oder durch Phishing abgefangen. Selbst dann, wenn alle Best-Practices im Umgang und bei der Wahl von Passwörtern eingehalten werden, können Zugangsdaten auch durch Datenlecks bei Drittanbieterdiensten in falsche Hände geraten.

Als IT-Dienstleister, der sensible Daten verarbeitet und besonderen Wert auf den Schutz von Kundendaten legt, wollen wir natürlich ein Sicherheitsniveau gewährleisten, das über den einfachen Passwortschutz hinausgeht. MFA erschwert unautorisierten Zugriff erheblich und ist heute eine unverzichtbare Grundlage moderner IT-Sicherheitskonzepte.

Welche Vorteile bietet der bds RDP-Client mit MFA für Rechtsanwaltskanzleien und Unternehmen?

Unser eigens entwickelter bds RDP-Client mit MFA bietet gleich mehrere Vorteile – insbesondere für sensible Umgebungen wie Rechtsanwaltskanzleien. Aber auch kleine und mittlere Unternehmen profitieren davon, denn sie müssen ebenso den stetig wachsenden Anforderungen an Datenschutz und IT-Sicherheit gerecht werden.

Der größte Mehrwert liegt darin, dass wir die Sicherheit verschlüsselter Remotedesktop-Verbindungen durch eine moderne, integrierte Multifaktor-Authentifizierung deutlich erhöhen und das ohne zusätzliche Komplexität für die Benutzer. Gerade im Kanzlei- wie auch im allgemeinen Arbeitsalltag muss Sicherheit zuverlässig funktionieren, ohne die gewohnten Abläufe zu stören. Hier setzt unser RDP-Client an: Die Anmeldung am Remotedesktop erfolgt mit den vertrauten Zugangsdaten, wird jedoch durch eine zweite Sicherheitsstufe – z.B. um eine Push-Benachrichtigung aufs Smartphone oder eine zusätzliche Bestätigung von einem vertrauenswürdigen Gerät – ergänzt.

Besonders hervorzuheben ist auch, dass sowohl der Client als auch das zugehörige Cloud-Backend von uns entwickelt und auf unseren eigenen Servern in Österreich betrieben wird. Damit garantieren wir nicht nur höchste Schutzstandards, sondern schaffen auch volle Transparenz und Unabhängigkeit – für ein Höchstmaß an Sicherheit und Vertrauen.

Für unsere Kunden heißt das: eine sichere, DSGVO-konforme Lösung, die genau auf ihren Arbeitsalltag abgestimmt ist und den bekannten Komfort der zentral bereitgestellten, professionell betreuten cloudANWALT- bzw. cloudDESKTOP-Umgebung nahtlos ergänzt.

Wie aufwendig ist die Einrichtung für die Endbenutzer? Gibt es Schulungsbedarf?

Die Einrichtung für Endbenutzer haben wir bewusst so gestaltet, dass sie möglichst unkompliziert und intuitiv abläuft: Der Benutzer installiert den RDP-Client wie jede andere Software und wird bei der ersten Verbindung Schritt für Schritt durch den Anmeldeprozess geführt. Die Kopplung mit dem zweiten Faktor erfolgt über einen kurzen Einrichtungsdialog und ist in wenigen Schritten abgeschlossen.

Gesonderter Schulungsaufwand ist in der Regel nicht notwendig. Unsere Kunden erhalten eine kompakte Anleitung, und natürlich steht unser Support-Team bei Bedarf zur Verfügung.

Welche Rolle spielt MFA in einem modernen Sicherheitskonzept – ist es Kür oder Pflicht?

In einem modernen Sicherheitskonzept ist MFA keine Kür mehr – sie ist definitiv Pflicht! Und das nicht nur aus technischer Sicht, sondern auch aus regulatorischer und geschäftlicher Verantwortung.

Die digitale Bedrohungslage hat sich in den letzten Jahren massiv verändert. Cyberangriffe – etwa durch Phishing, das Durchprobieren von Zugangsdaten oder Ransomware – treffen längst nicht mehr nur medienwirksame Großkonzerne. Auch kleine und mittlere Unternehmen, Kanzleien und andere Organisationen sind betroffen. Sie alle arbeiten mit sensiblen Daten. Schon ein einziges kompromittiertes Passwort könnte, ohne den Schutz durch MFA, im schlimmsten Fall zum vollständigen Verlust der Kontrolle über die IT-Infrastruktur führen. Die Folgen: eingeschränkte Verfügbarkeit, Datenverlust und ein massiver Vertrauensverlust bei Kunden.

Multifaktor-Authentifizierung gehört deshalb heute zu den grundlegenden Maßnahmen im Rahmen von Informationssicherheit und Datenschutz. Auch Standards wie die ISO 27001, nach der wir als Unternehmensgruppe zertifiziert sind, oder auch nationale Vorgaben wie die DSGVO, erwarten den Einsatz solcher Schutzmechanismen, wo immer sie angemessen und technisch möglich sind.

Wer heute noch ausschließlich auf Passwörter setzt, akzeptiert ein unnötiges Risiko. MFA ist ein verhältnismäßiger, effektiver und mittlerweile auch benutzerfreundlicher Weg, um genau dieses Risiko deutlich zu reduzieren.

Gibt es regulatorische Vorgaben oder Empfehlungen (z. B. durch die DSGVO, die Rechtsanwaltskammer etc.), bei denen MFA mittlerweile erwartet oder vorausgesetzt wird?

Ja, der Einsatz von MFA wird heute von vielen Stellen empfohlen und teilweise sogar explizit gefordert. Vor allem dort, wo personenbezogene oder besonders schützenswerte Daten verarbeitet werden.

So schreibt etwa die DSGVO „Multifaktor-Authentifizierung“ zwar nicht explizit vor, verpflichtet aber Verantwortliche dazu, ein angemessenes und risikobasiertes Schutzniveau für personenbezogene Daten zu gewährleisten. In der Praxis wird MFA dabei zunehmend als ein solches „angemessenes“ Mittel angesehen, insbesondere bei Remote-Zugriffen oder bei administrativen Zugängen. Wird MFA nicht eingesetzt und kommt es zu einer Datenschutzverletzung, könnte das unter bestimmten Voraussetzungen sogar als Sicherheitslücke gewertet werden.

Das Bewusstsein für IT-Sicherheit ist mittlerweile auch in der Anwaltschaft deutlich gestiegen. Rechtsanwaltskammern und der Österreichische Rechtsanwaltskammertag (ÖRAK) empfehlen den Einsatz sicherer Authentifizierungsverfahren inzwischen ausdrücklich.

Darüber hinaus fordern mittlerweile auch viele (Cyber-)Versicherungen den Einsatz von MFA als Mindestmaßnahme, um überhaupt einen Versicherungsschutz zu erhalten.

Worauf sollten Unternehmen achten, wenn sie MFA einführen?

Unternehmen, die MFA einführen wollen, sollten vor allem darauf achten, dass die Lösung nicht nur sicher, sondern auch praxistauglich ist. Aus unserer Erfahrung kommt es dabei auf zwei wesentliche Dinge an.

Erstens: Die Benutzerfreundlichkeit. MFA darf im Alltag kein Hindernis sein. Wenn der Anmeldeprozess zu umständlich ist, stößt das schnell auf Widerstand – vor allem bei Mitarbeitenden, die nicht besonders technikaffin sind. Deshalb haben wir unseren bds RDP-Client mit MFA so entwickelt, dass die Anmeldung für die Nutzer schnell und unkompliziert funktioniert.

Und zweitens: Die nahtlose Integration in bestehende IT-Strukturen. Unsere Lösung lässt sich daher einfach mit bestehenden Windows-Endgeräten verwenden und ist optimal auf unsere Cloud-Produkte cloudANWALT und cloudDESKTOP abgestimmt. Damit senken wir die Hürde zur Einführung von MFA auf ein absolutes Minimum.

Wie unterstützt bds konkret?

Unser RDP-Client mit MFA ist als Add-On zu unseren Cloud-Arbeitsplätzen – also cloudANWALT und cloudDESKTOP – konzipiert. Das heißt: Kundinnen und Kunden, die eine solche Cloudlösung bereits nutzen, können die Multifaktor-Authentifizierung einfach zusätzlich aktivieren – je nach Bedarf und Sicherheitsanforderung.

Zur Auswahl stehen zwei Varianten: eine Lösung auf Basis von Cisco Duo, bei der eine Push- Benachrichtigung am Smartphone bestätigt wird bzw. eine Entra-basierte Variante, die besonders gut geeignet ist, wenn bereits Microsoft Teams oder andere Microsoft 365-Dienste im Einsatz sind. So lässt sich die MFA optimal an die Arbeitsweise der jeweiligen Kanzlei oder des Unternehmens anpassen.

Gerade weil viele unserer Kunden keine eigene IT-Abteilung haben, übernehmen wir bei Bedarf nicht nur die Bereitstellung, sondern auch die komplette technische Umsetzung: von der Aktivierung über die Einrichtung bis hin zur Begleitung der ersten Anmeldung. Ziel ist, dass die MFA im Alltag einfach funktioniert – ohne komplizierte Zusatzsoftware oder zusätzliche Schulungen.

Unabhängig davon unterstützen wir unsere Kunden auch außerhalb unserer eigenen Produkte bei der Einführung von MFA – etwa im Rahmen von IT-Sicherheitskonzepten, Microsoft 365 oder bei Drittanbieterdiensten.

Gibt es konkrete Beispiele, bei denen MFA einen Vorfall verhindern konnte oder hätte verhindern können?

Ja, es gibt zahlreiche reale Szenarien, in denen MFA entweder einen Sicherheitsvorfall verhindert oder dessen Auswirkungen deutlich begrenzt hat.

Ein klassisches Beispiel ist Phishing: Eine täuschend echte E-Mail führt den Empfänger auf eine gefälschte Login-Seite, auf der er seine Zugangsdaten eingibt. Die Angreifer versuchen anschließend, mit diesen Daten auf Systeme zuzugreifen. Ist jedoch ein zweiter Faktor erforderlich – etwa eine Bestätigung per App – scheitert der Zugriff genau an dieser Stelle, da der Angreifer diesen zusätzlichen Nachweis nicht erbringen kann.

Ein weiteres, häufig beobachtetes, Szenario betrifft den Verlust oder Diebstahl mobiler Geräte. Geht ein Laptop oder Smartphone verloren, auf dem Zugangsdaten gespeichert sind, bietet MFA eine zusätzliche Schutzschicht. Selbst wenn es gelingt, die gespeicherten Zugangsdaten zu extrahieren und damit einen neuen Verbindungsversuch zu unternehmen, verhindert der fehlende zweite Faktor das Eindringen – besonders relevant ist das natürlich bei Remote-Zugängen und Cloud-Arbeitsplätzen.

Wie siehst du die Weiterentwicklung der IT-Sicherheit in mittelständischen Unternehmen – was kommt nach der MFA?

Für viele Unternehmen ist MFA der erste konkrete Schritt auf dem Weg hin zu einem ganzheitlicheren Sicherheitsansatz. Und genau dieser Weg wird in den nächsten Jahren immer entscheidender werden – gerade im Mittelstand, wo der Druck durch gesetzliche Anforderungen, Kundenerwartungen und reale Bedrohungen spürbar wächst.

Was also kommt danach? Ich glaube, wir werden zunehmend sehen, dass Sicherheit kontextabhängig gedacht wird. Statt starrer Regeln geht es um dynamische Entscheidungen: Woher kommt der Zugriff? Ist das Verhalten typisch für den Nutzer? Passt der Zeitpunkt, passt das Gerät? Solche kontextbasierten Mechanismen – oft unter dem Begriff „adaptive Sicherheit“ oder „Conditional Access“ zusammengefasst – werden MFA keineswegs ersetzen, sondern sinnvoll ergänzen.

Ein weiterer Trend ist die Bewegung hin zur passwortlosen Authentifizierung. Biometrie, Hardware-Token, vertrauenswürdige Geräte – das ist nicht mehr Zukunftsmusik, sondern bereits im Alltag vieler Organisationen angekommen. Auch unsere eigene Lösung, der bds RDP-Client mit MFA, ist in diese Richtung ausbaubar, zum Beispiel mit Windows Hello for Business oder FIDO2.

Letztendlich geht es meiner Ansicht nach um eine neue Denkweise: Zero Trust. Das klassische Modell – innen sicher, außen unsicher – funktioniert nicht mehr. In modernen IT-Strukturen braucht jeder Zugriff eine nachvollziehbare Legitimation, unabhängig davon, woher er kommt. MFA spielt hier eine wichtige Rolle, aber es ist nur ein Teil eines größeren Ganzen.

Unsere Aufgabe als IT-Dienstleister ist es, Lösungen zu schaffen, die Sicherheit mit Alltagstauglichkeit verbinden – ob bei der Einführung von MFA, beim Aufbau sicherer Cloud-Arbeitsplätze oder in der Integration komplexer Identitäts- und Netzwerkkonzepte. Am Ende geht es immer um mehr als nur um Technik. Es geht um Vertrauen – das der Kunden, der Partner, der Mitarbeitenden. Und dieses Vertrauen entsteht nicht durch einzelne Maßnahmen, sondern durch einen klaren, konsequenten Sicherheitsansatz. Wer den frühzeitig verfolgt, ist nicht nur besser geschützt – sondern auch zukunftsfähig aufgestellt.

Sie möchten mehr zu unseren IT-Sicherheitslösungen erfahren?
Kontaktieren Sie uns gerne.