Phishing-resistente MFA für Microsoft 365

Phishing-resistente MFA ist eine Multi-Faktor-Authentifizierung, die sich durch gefälschte Anmeldeseiten nicht aushebeln lässt. Statt eines Codes, den ein Angreifer abfangen und weitergeben kann, nutzt sie einen kryptografischen Schlüssel, der fest an Ihr Gerät und an die echte Microsoft-Anmeldeseite gebunden ist. Gibt ein Mitarbeitender seine Daten auf einer Phishing-Seite ein, funktioniert die Anmeldung dort schlicht nicht.

Zu den phishing-resistenten Verfahren in Microsoft 365 gehören Passkeys im Microsoft Authenticator, Windows Hello for Business, FIDO2-Sicher­heits­schlüssel und die zerti­fikat­basierte Anmeldung.

Warum klassische MFA nicht mehr reicht

SMS-Codes, Sprachanrufe, Einmalcodes aus einer App und Push-Bestätigungen schützen zwar vor gestohlenen Passwörtern, aber nicht vor modernen Phishing-Angriffen. Angreifer schalten heute eine täuschend echte Anmeldeseite zwischen Nutzer und Microsoft, leiten Passwort und Code in Echtzeit weiter und übernehmen anschließend die Sitzung. Solche Phishing-Baukästen sind frei verfügbar - und mit KI-generierten E-Mails werden die Angriffe immer überzeugender.

1. Bestands­aufnahme: Wir prüfen, welche Anmeldeverfahren Ihre Nutzer registriert haben, welche Geräte vorhanden sind und welche Konten besonders gefährdet sind.
2. Admi­nistra­toren zuerst: Globale Administratoren und andere privilegierte Rollen erhalten Passkeys oder FIDO2-Sicher­heits­schlüssel. Eine Richtlinie für den bedingten Zugriff schreibt für diese Rollen phishing-resistente MFA vor.
3. Registrierung aller Nutzer: Über eine Regis­trie­rungs­kampagne werden die Mitarbeitenden bei der Anmeldung zur Einrichtung eines Passkeys aufgefordert. Neue Mitarbeitende starten mit einem befristeten Zugriffspass direkt ohne Passwort.
4. Durchsetzung: Per Conditional Access mit der Authen­tifi­zierungs­stärke „Phishing-resistente MFA“ wird das neue Verfahren verbindlich. SMS und Sprachanruf werden deaktiviert, Notfallkonten bleiben gesondert abgesichert.

So stellen wir sicher, dass niemand ausgesperrt wird und der Betrieb ohne Unterbrechung weiterläuft.

Beim CEO-Fraud geben sich Angreifer als Geschäftsführer, Vorstand oder Lieferant aus und veranlassen Mitarbeitende zu dringenden Überweisungen oder zur Herausgabe vertraulicher Daten. Besonders gefährlich wird es, wenn die Nachricht aus einem echten, aber übernommenen Postfach kommt: Dann stimmen Absender, Signatur und bisheriger E-Mail-Verlauf. Zunehmend kommen KI-generierte Sprachnachrichten und Deepfake-Videoanrufe hinzu.

Phishing-resistente MFA setzt an der Wurzel an: Ohne den an Gerät und Anmeldeseite gebundenen Schlüssel kann ein Angreifer das Postfach der Geschäftsführung oder der Buchhaltung nicht übernehmen - auch dann nicht, wenn das Passwort auf einer gefälschten Anmeldeseite eingegeben wurde. Diese Konten sollten deshalb gemeinsam mit den Administratoren als Erste umgestellt werden.

Gegen gefälschte Anweisungen von außen hilft Technik allein nicht. Ergänzen Sie die Umstellung um klare Freigabeprozesse: Zahlungen auf neue oder geänderte Bankverbindungen nur nach Rückruf unter einer bekannten Telefonnummer, Vier-Augen-Prinzip ab festgelegten Beträgen und ein vereinbartes Kennwort für ungewöhnliche Anweisungen per Telefon oder Video. Wie Sie verdächtige Anmeldungen und Weiter­leitungs­regeln in Postfächern zusätzlich erkennen, zeigt unsere Seite zu Microsoft Defender XDR.

Unsere Security System Engineers stellen Ihr Unternehmen auf phishing-resistente MFA um - von der Bestandsaufnahme bis zur Durchsetzung per Conditional Access. Die Umstellung beauftragen Sie als Dienst­leis­tungs­ticket nach Aufwand oder im Rahmen Ihres Microsoft Secure Score Managed Service (SSMS).

Sie wissen nicht, welche Konten heute noch mit SMS-Codes oder Push-Bestätigungen arbeiten? Den Einstieg bildet unser Microsoft 365 Tenant Check: Er zeigt Ihnen, welche Anmeldeverfahren in Ihrem Tenant aktiv sind und wo Handlungsbedarf besteht.

Rufen Sie uns an unter +49 (521) 260105-0 oder nutzen Sie unser Kontaktformular.