Mehrfaktor-Authentifizierung verlangt verschiedene Nachweise für eine Anmeldung. Sie erschwert den Kontozugriff mit gestohlenen Passwörtern. Die US-Sicherheitsbehörde CISA empfiehlt Unternehmen, phishingresistente Verfahren anzustreben und besonders privilegierte Konten sowie sensible Zugänge früh abzusichern. Die Einführung ist zugleich eine organisatorische Aufgabe: Ein verlorenes Gerät darf weder zu dauerhafter Aussperrung noch zu einem ungeprüften Zurücksetzen führen.

Vor dem Rollout klären

  • Welche Geschäftsanwendungen unterstützen welche Anmeldeverfahren?
  • Wer besitzt administrative Rechte und wer benötigt sie tatsächlich?
  • Welche Geräte stehen Beschäftigten zur Verfügung?
  • Wie wird die Identität bei einer Wiederherstellung geprüft?
  • Wer betreut Ausnahmen und wann werden sie erneut bewertet?

Ein hypothetisches Ingenieurbüro startet mit E-Mail, Dateiaustausch und administrativen Konten. Es prüft mit einer kleinen Gruppe unterschiedliche Alltagssituationen: Arbeit im Büro, unterwegs und am Ersatzgerät. Die Ergebnisse landen in einer kurzen Anleitung, die konkrete Bildschirmabläufe und den zuständigen Support nennt.

Den Ausfall mit üben

Zum Pilot gehört ein angekündigter Test: Eine Person hat ihr übliches Gerät nicht zur Hand. Der Support führt den vorgesehenen Wiederherstellungsprozess durch. Dabei wird geprüft, ob die Person ausreichend identifiziert wird, wer eine Änderung genehmigt und wie der Vorgang dokumentiert wird. Zugangsdaten oder Bestätigungscodes werden dabei nicht über beliebige Kommunikationskanäle eingesammelt.

Im hypothetischen Büro zeigt dieser Test vielleicht, dass der einzige zuständige Administrator zugleich im Urlaub ist. Eine benannte, geschulte Vertretung schließt diese organisatorische Lücke.

Erfassen Sie nach dem Start unterstützte Konten, offene Ausnahmen und wiederkehrende Supportprobleme. Eine Ausnahmeliste ohne Verantwortliche wächst leicht zum Dauerzustand. Beschäftigte brauchen zudem einen einfachen Meldeweg für unerwartete Anmeldeaufforderungen.

Fragen Sie den Dienstleister nach einem nachvollziehbaren Einführungskonzept einschließlich Ersatzverfahren. Die bloße Aussage, MFA sei aktiviert, beschreibt noch nicht, wie belastbar der Zugang im Arbeitsalltag organisiert ist.