Adaptive MFA: Warum Standardregeln brechen
„MFA ist an“ ist kein Zielzustand. Statische Zweitfaktoren brechen an Prompt-Fatigue, Session-Hijacking und Hilfsprozessen. Adaptive MFA steuert Risiko pro Login – und entlastet genau dort, wo Standardregeln Lärm erzeugen.
Das Wichtigste in Kürze
- Risiko steuert den Faktor. Gerät, Ort, Verhalten und Ressourcenwert entscheiden über Step-up – nicht ein generisches „immer Push“.
- Phishing-resistente Faktoren zuerst. Passkeys/FIDO wo möglich; SMS und ermüdende Push-Prompts nur als Übergang.
- Hilfsprozesse härten. Helpdesk-Resets und Break-Glass sind oft der schwächste Pfad – nicht der Login-Button.
Verwandt:Was ist ein Passkey? Definition und Standards / Passkeys im Unternehmen: Das Ende des Passworts
Wo Standard-MFA scheitert
Was ist Adaptive MFA? Adaptive MFA (risikobasierte Mehrfaktor-Authentifizierung) steuert anhand von Signalen wie Gerät, Netz, Verhalten und Ressourcenwert, ob und welcher zusätzliche Faktor verlangt wird – bis hin zu Block oder passwordless-only statt starrer Push-für-alle-Regeln.
Viele Organisationen haben MFA „ausgerollt“: App-Push oder SMS auf allen Konten, Haken in der Compliance-Liste. Angreifer und Realität nutzen die Lücken drumherum. Fatigue-Angriffe bombardieren Nutzer mit Push-Anfragen, bis eine bestätigt wird. Session-Cookies und Token-Diebstahl umgehen den zweiten Faktor nach dem Login. Social Engineering am Helpdesk setzt den Faktor zurück, ohne den Account-Inhaber zu verifizieren.
Adaptive MFA adressiert die Entscheidungsfrage: Wann reicht Gerätevertrauen, wann ist ein phishing-resistenter Step-up Pflicht, wann wird der Login hart blockiert?
Definition · Adaptive MFA
Risikobasierte Mehrfaktor-Authentifizierung: Signale (Gerät, Netz, Verhalten, Ressource, Identität) steuern, ob und welcher zusätzliche Faktor verlangt wird – bis hin zu Block oder passwordless-only.
Signale, die wirklich steuern sollten
Mindestset für die Praxis: verwaltetes vs. unbekanntes Gerät, geo- und netzwerk-ungewöhnliche Zugriffe, unmögliche Reise, neue Browser/UA, Zugriff auf privilegierte Apps (Admin-Portale, Finanzsysteme, Identitäts-Admin) und Identitätstyp (Mensch, Service, Break-Glass).
Low-Risk-Login vom verwalteten Gerät im Firmennetz auf eine unkritische App: möglichst reibungsarm (Passkey oder SSO-Session). High-Risk: neuer Standort, privates Gerät, Zugriff auf Entra/AD-Admin – phishing-resistenter Step-up oder Deny. Das reduziert Fatigue, weil nicht jeder Kaffee-Bestell-Login einen Push auslöst.
Faktoren nach Widerstandskraft sortieren
Passkeys und FIDO2-Security-Keys sind der Zielzustand für privilegierte und breite Nutzergruppen, wo Hardware und OS mitspielen. TOTP ist besser als SMS, aber phishbar. Push ohne Number-Matching ist fatigue-anfällig; mit Number-Matching besser, aber nicht phishing-resistent. SMS und Sprachanruf bleiben Notnagel – und gehören aus privilegierten Pfaden raus.
Adaptive MFA ohne Faktor-Roadmap endet in „immer noch SMS, nur seltener“. Die Policy muss den Upgrade-Pfad erzwingen: kritische Apps nur noch mit resistenter Methode.
| Szenario | Signal | Reaktion |
|---|---|---|
| Alltag | Managed Device, bekanntes Netz | Passkey/SSO, wenig Reibung |
| Reise / neu | Neues Land, neues Gerät | Step-up FIDO/Passkey |
| Privilegiert | IAM-/Cloud-Admin-Portal | Nur phishing-resistent, ggf. CAE |
| Missbrauch | Unmögliche Reise, Token-Anomalie | Block + SOC-Alert |
Quelle: Praxis-Schema SecurityToday (Conditional Access / risikobasierte Auth)
Die vergessene Hälfte: Recovery und Betrieb
Adaptive Regeln nützen wenig, wenn der Helpdesk per Telefon den zweiten Faktor zurücksetzt, sobald jemand „IT“ sagt. Recovery braucht starke Identität, Vier-Augen bei privilegierten Konten und Logging. Break-Glass-Konten: offline dokumentiert, MFA-resistent, alarmiert bei Nutzung, regelmäßig getestet.
Umsetzungs-Check
- ✓App-Tiers: privilegiert / normal / low-risk mit klaren Auth-Regeln
- ✓Passkey/FIDO-Pilot für Admins und danach Breite
- ✓Push-Fatigue: Number-Matching oder Wechsel auf resistente Faktoren
- ✓Helpdesk-Reset und Break-Glass mit Vier-Augen und Alerting
Adaptive MFA ist Betrieb, nicht Projekt-Haken. Metriken: Anteil phishing-resistenter Logins, Fatigue-Incidents, erfolgreiche vs. blockierte High-Risk-Logins, Zeit bis Step-up-Enrollment. Dann wird aus „MFA an“ eine steuerbare Kontrollschicht.
In der Praxis lohnt ein 90-Tage-Schnitt: erst privilegierte Konten auf Passkey oder FIDO, dann High-Risk-Apps mit Step-up, dann Breite mit weniger Lärm. Metriken monatlich im Security-Report: Anteil phishing-resistenter Logins, blockierte High-Risk-Versuche, Helpdesk-Reset-Vorfälle. So wird aus der Checkbox MFA eine steuerbare Kontrollschicht, die Fatigue senkt und den echten Missbrauch sichtbar macht.
Häufige Fragen
Jede Frage ist verschlossen. Ein Tippen entriegelt die Antwort.
Ist adaptive MFA dasselbe wie Conditional Access?
Conditional Access ist oft das Policy-Werkzeug. Adaptive MFA ist das Zielbild: risikobasierte Faktorwahl. In der Praxis überlappen beide stark.
Können wir SMS sofort abschalten?
Für privilegierte Konten ja anstreben. Für die Breite: Übergang mit Passkey-Enrollment und Ausnahmen nur zeitlich begrenzt.
Hilft Number-Matching gegen alle MFA-Angriffe?
Es senkt Fatigue-Missbrauch, ersetzt aber keine phishing-resistenten Faktoren und schützt nicht vor Token-Diebstahl nach dem Login.
Was zuerst: Passkeys oder adaptive Regeln?
Beides parallel: resistente Faktoren für Admins, adaptive Regeln gegen Lärm und High-Risk-Logins. Reihenfolge: privilegierte Konten zuerst.
Wie messe ich Erfolg?
Anteil phishing-resistenter Auth, blockierte High-Risk-Logins, Helpdesk-Reset-Vorfälle und Nutzer-Beschwerden zu Fatigue – monatlich im Security-Report.
Lesetipps der Redaktion
LesetippWas ist ein Passkey? Definition, Funktionsweise und StandardsLesetippPasskeys im Unternehmen: Das Ende des PasswortsLesetippAdaptive MFA im NIS2-Audit: Wann die Policy zum Nachweis taugt
Mehr aus dem MBF Media Netzwerk
cloudmagazinDie Copilot-Wende: erst mussten die Menschen an Bord seinMyBusinessFutureMehr Tempo im Back Office: Wie Banken ihre dokumentenintensiven Prozesse endlich in den Griff bekommenDigital ChiefsKimi stoppt Abos: 7 Checks fürs KI-Capex
Bildquelle: KI-generiert (Juli 2026), C2PA-Zertifikat im Bild hinterlegt
