Multi-Faktor-Authentifizierung (MFA) ist ein Authentifizierungsverfahren, bei dem ein Nutzer mindestens zwei voneinander unabhängige ‚Faktoren' aus den Kategorien Wissen (z. B. Passwort, PIN), Besitz (z. B. Hardware-Token, Smartphone, Smart Card) und Inhärenz (z. B. Fingerabdruck, Gesichtserkennung) vorweist, um Zugriff zu erhalten. MFA erhöht die Sicherheit gegenüber reinen Passwortverfahren erheblich, weil ein Angreifer mehrere unabhängige Sicherheitsschichten überwinden muss.
Eingesetzt wird MFA in nahezu allen modernen IT-Diensten: in Cloud-Identity-Providern (Microsoft Entra ID, Google, Apple, Okta, Auth0), in VPNs, in privilegierten Konsolen, in Banking-Anwendungen (PSD2-Compliance verlangt strong customer authentication), in administrativen Konten und zunehmend auch in Endkundenanwendungen. Verbreitete Verfahren sind TOTP (Time-based One-Time Password, RFC 6238) über Authenticator-Apps wie Microsoft Authenticator, Google Authenticator und 1Password; Push-basierte Verfahren mit Approval-Bestätigung; Hardware-Token nach FIDO2/WebAuthn (YubiKey, Solokeys, Titan Key); SMS- und E-Mail-OTP (in dieser Reihenfolge zunehmend abgelehnt); sowie passwortlose Verfahren wie Windows Hello for Business, Apple Passkeys und FIDO2 Resident Keys.
Phishing, Credential Stuffing, Datenbank-Leaks, Keylogger und Brute-Force-Angriffe machen reine Passwortauthentifizierung in Internet-zugänglichen Diensten unzureichend. MFA wirkt strukturell gegen die meisten dieser Angriffsklassen — insbesondere phishing-resistente Verfahren wie FIDO2/WebAuthn machen klassische Phishing-Seiten weitgehend wirkungslos, weil das Schlüsselmaterial an die Domain gebunden ist und nie an den Server übertragen wird.
Historisch reichen Multi-Faktor-Verfahren bis in die 1980er-Jahre zurück (RSA SecurID-Token, eingeführt von Security Dynamics 1986). TOTP wurde 2011 als RFC 6238 standardisiert. Die FIDO Alliance (gegründet 2013 von PayPal, Lenovo und anderen) hat mit U2F (2014) und FIDO2/WebAuthn (W3C-Standard, 2019) phishing-resistente Hardware-basierte Verfahren etabliert. Microsoft, Google und Apple haben 2022 mit der Initiative "Passkeys" begonnen, FIDO2-basierte passwortlose Verfahren in Mainstream-Plattformen zu integrieren.
Microsoft hat 2019 in einem viel zitierten Vortrag (Identity Day) berichtet, dass die Aktivierung von MFA in Microsoft-Konten die Wahrscheinlichkeit eines erfolgreichen Übernahmeangriffs um über 99,9 % reduziert. Diese Zahl ist seitdem Standard-Argument in Awareness-Kampagnen — und bestätigt sich auch in der Praxis: Trotz aller Schwächen einzelner MFA-Methoden (etwa SMS-basiertes OTP) ist jedwede MFA in der Regel um Größenordnungen besser als reine Passwortverfahren.