Die NIS2-Richtlinie erkennt die Multi-Faktor-Authentifizierung (MFA) als strukturellen Bestandteil der zu implementierenden Sicherheitsmaßnahmen an. Artikel 21, Absatz 2, Buchstabe j, legt fest, dass verpflichtete Organisationen den Einsatz von Multi-Faktor- oder kontinuierlichen Authentifizierungslösungen „sofern angemessen“ vorsehen müssen.
Auch wenn die Richtlinie auf den ersten Blick Interpretationsspielraum lässt, impliziert diese Klausel, dass MFA immer dann eingeführt werden muss, wenn das Fehlen dieser Maßnahme die Organisation einem nicht akzeptablen Risiko aussetzt. Insbesondere gilt die Verpflichtung für alle Systeme, die sensible Daten, kritische Ressourcen oder privilegierte Zugänge verwalten.
Was ist MFA und warum ist sie wichtig
MFA basiert auf der kombinierten Nutzung von mindestens zwei Faktoren: etwas, das der Benutzer weiß (Passwort oder PIN), etwas, das er besitzt (Token, Mobilgerät, Sicherheitsschlüssel), und etwas, das er ist (biometrische Merkmale). Dieser Ansatz reduziert drastisch die Wahrscheinlichkeit, dass ein Angriff auf Zugangsdaten erfolgreich ist.
Zahlreiche Studien bestätigen die Wirksamkeit der MFA. Ein Bericht von Google zeigte, dass die Multi-Faktor-Authentifizierung bis zu 100 % automatisierter Angriffe, 96 % der Massen-Phishing-Versuche und 76 % gezielter Angriffe verhindern kann. Microsoft stellte zudem fest, dass über 99,99 % der kompromittierten Konten im Untersuchungszeitraum keine MFA aktiviert hatten.
Um die Anforderungen der NIS2 zu erfüllen, müssen Organisationen einen ganzheitlichen Ansatz für digitale Identitäten verfolgen, der Folgendes umfasst:
- Bewertung der Angriffsfläche im Bereich Identität,
- Erkennung von Schwachstellen in den Zugriffsabläufen,
- Definition granularer, kontextbasierter Regeln (z. B. Ort, Gerät, Uhrzeit).
Neben der MFA fördert die Richtlinie weitere ergänzende Maßnahmen wie rollenbasierten Zugriff (RBAC), das Prinzip des geringsten Privilegs, regelmäßige Überprüfungen von Berechtigungen sowie kontextabhängige Zugriffsbeschränkungen.
Praktische Umsetzung der MFA zur NIS2-Konformität
Die Integration von MFA in Unternehmenssysteme ist keine triviale Aufgabe – insbesondere in komplexen oder legacy-basierten Umgebungen. Deshalb sollte die Implementierung im Rahmen eines strukturierten Prozesses erfolgen, der eng mit dem NIS2-Umsetzungsplan abgestimmt ist.
Der erste Schritt besteht in der Erfassung der Angriffsoberfläche, also der Analyse sämtlicher Zugangspunkte zu kritischen Ressourcen: Cloud-Anwendungen, VPNs, Administrationskonsolen, Remote-Endpunkte usw. Anschließend gilt es zu ermitteln, wo das Fehlen von MFA ein reales Sicherheitsrisiko darstellt, und die schrittweise Einführung kompatibler Lösungen zu planen.
Besonders empfehlenswert sind moderne Technologien wie der FIDO2-Standard (der auf öffentlicher Schlüsselverschlüsselung für phishingsichere Authentifizierung basiert), biometrische Verfahren sowie adaptive oder kontextbasierte Authentifizierungssysteme. Letztere können MFA-Anforderungen dynamisch an das jeweilige Risikoniveau einer Sitzung anpassen.
MFA sollte in eine umfassendere IAM-Strategie (Identity and Access Management) im Sinne der NIS2 eingebettet sein, die Folgendes einschließt:
- Definition von Rollen und Zuweisung von Berechtigungen (RBAC),
- Verwaltung privilegierter Zugänge (Privileged Access Management – PAM),
- Logging und Audit-Trails von Zugriffen,
- Interoperabilität mit SSO und anderen Identitätsmanagementlösungen.
Abschließend ist es entscheidend, dass die gewählten Lösungen ein ausgewogenes Verhältnis zwischen Sicherheit und Benutzerfreundlichkeit gewährleisten – um Akzeptanzprobleme bei den Anwendern zu vermeiden und den Einfluss auf tägliche Betriebsabläufe so gering wie möglich zu halten.
Herausforderungen und Lösungen bei der MFA-Umsetzung im Rahmen von NIS2
Laut dem ENISA-Bericht „NIS Investments 2024“ wird die Implementierung von MFA als eine der komplexesten Anforderungen der Richtlinie wahrgenommen: 45% der befragten Unternehmen nannten MFA unter den drei größten Hindernissen für die Einhaltung der Vorschriften.
Zu den häufigsten Schwierigkeiten zählen:
- Mangel an internen Kompetenzen im Bereich IAM und Cybersecurity,
- Integration in Legacy-Systeme, die oft keine modernen APIs besitzen oder mit fortgeschrittenen MFA-Tools nicht kompatibel sind,
- Budgetbeschränkungen, die den Einsatz von Enterprise-Lösungen einschränken,
- Widerstand gegen Veränderungen, insbesondere in Umgebungen, in denen die Benutzererfahrung operativ stark gewichtet wird.
Eine wirksame Strategie sieht die Einrichtung eines internen oder hybriden Teams vor, das speziell für NIS2 verantwortlich ist und vom CISO oder einem IT-Verantwortlichen mit Sicherheitsmandat geleitet wird. Diese Gruppe sollte eine technische und organisatorische Bewertung durchführen, geeignete Lösungen auswählen und eine realistische Roadmap für die Einführung von MFA an allen kritischen Punkten festlegen.
Der Einsatz von Lösungen wie Single Sign-On (SSO), integriert mit MFA – beispielsweise über einen Access Manager – stellt oft eine optimale Kombination aus zentralisierter Kontrolle, reibungsloser Benutzererfahrung und schneller Implementierung dar. Um die Infrastruktur weiter zu vereinfachen, konsolidieren viele Unternehmen derzeit ihre Technologielandschaft, reduzieren die Anzahl der Plattformen und bevorzugen solche, die sich nativ miteinander integrieren lassen.
Cybersecurity Awareness und interne Kommunikation sind schließlich entscheidend für den Erfolg: Die NIS2-Richtlinie verlangt, dass Führungsgremien nicht nur informiert, sondern auch im Bereich Cybersicherheit geschult sind und aktiv die Sicherheitskultur innerhalb der Organisation fördern.
MFA als strategische Investition in Cyber Resilience
Im Jahr 2023 wurden weltweit über 8,2 Milliarden Datensätze bei Angriffen kompromittiert, die gestohlene Zugangsdaten betrafen – davon 3,4 Milliarden in einem einzigen Vorfall. Laut Verizon hatten rund 80% aller Cyberangriffe ihren Ursprung im Missbrauch von Zugangsdaten.
Wenn MFA korrekt implementiert ist, reduziert sie das Risiko kompromittierter Konten um über 99%. Diese Zahl allein rechtfertigt die breite Einführung von MFA als essentielle Sicherheitsmaßnahme – weit über die reine Einhaltung gesetzlicher Vorgaben hinaus.
Neben dem konkreten Schutz vor Phishing, Brute-Force- und unbefugten Zugriffen trägt MFA dazu bei:
- das Vertrauen von Kunden und Partnern in die Organisation zu stärken,
- potenzielle Kosten durch Sicherheitsvorfälle und Ausfallzeiten zu senken,
- regulatorische Anforderungen wie GDPR, PCI-DSS oder ISO/IEC 27001 zu erfüllen.
MFA ist zudem ein unverzichtbares Element des Zero-Trust-Ansatzes, der eine kontinuierliche Authentifizierung der Benutzer während der gesamten Sitzung vorsieht – auch bei Zugriffen aus internen Netzwerken. Dieses Modell wird heute eingesetzt, um Cloud-Anwendungen, Unternehmensendgeräte, Kollaborationstools und Remote-Zugriffe zu schützen.
MFA – ein Instrument zur NIS2-Compliance
Die Einhaltung der NIS2-Richtlinie bietet die Chance, die Sicherheitslage der gesamten Organisation nachhaltig zu stärken. MFA stellt in diesem Prozess eine konkrete, zugängliche und wirkungsvolle Maßnahme dar, die echten Schutz vor den häufigsten Cyberbedrohungen bietet.
Eine strategische, schrittweise und integrierte Implementierung der MFA in bestehende Unternehmenssysteme bedeutet daher nicht nur, die gesetzlichen Anforderungen zu erfüllen, sondern auch eine dauerhafte Cyber-Resilienz aufzubauen.
