MFAWerkzeuge.
Multi-Faktor-Authentisierung reduziert den Wert eines gestohlenen Passworts. Die relevante Unterscheidung liegt heute nicht zwischen vielen Apps, sondern zwischen leicht umgehbaren Faktoren und phishing-resistenten Anmeldungen mit Passkeys oder FIDO2-Sicherheitsschlüsseln.
Der zweite Faktor ist nicht immer gleich stark.
Push, TOTP und SMS unterscheiden sich erheblich in ihrer Widerstandsfähigkeit gegen Phishing und Übernahmeversuche. MFA muss ausserdem in die tatsächlichen Anmeldewege passen: Cloud-Dienste, VPN, Admin-Zugänge, Desktop und Offline-Szenarien.
SSO leitet eine Anmeldung an einen zentralen Identity Provider weiter. MFA prüft die Person bei dieser Anmeldung. IGA und PAM entscheiden danach über Berechtigungen und besonders kritische Zugriffe.
Wissen, Besitz,
Sein.
Mehrfaktor-Authentisierung verlangt Nachweise aus mindestens zwei verschiedenen Faktorarten. Zwei Passwörter sind keine MFA, ein Passwort und ein Code aus einer App schon.
| Faktorart | Beispiele | Typische Schwäche |
|---|---|---|
| Wissen | Passwort, PIN, Sicherheitsfrage | Kann ausgespäht, erraten, weitergegeben oder in Datenlecks gefunden werden |
| Besitz | Smartphone mit Authenticator-App, Hardware-Token, Smartcard, FIDO2-Sicherheitsschlüssel, TAN-Liste | Kann verloren gehen; einmalige Codes lassen sich auf Phishing-Seiten abgreifen |
| Sein (Inhärenz) | Fingerabdruck, Gesicht, Iris | Lässt sich nicht ändern, wenn das Merkmal kompromittiert ist; deshalb meist nur lokal zum Entsperren eingesetzt |
Techniken nach Phishing-Resistenz
Vorab ausgegebene Einmalcodes. Auf einer gefälschten Seite eingegeben, sind sie verloren. Im Onlinebanking weitgehend abgelöst.
Anfällig für SIM-Swap und Umleitung. NIST SP 800-63B-4 führt Codes über das Telefonnetz als eingeschränkte Methode.
Authenticator-Apps oder Hardware-OTP-Token. Der Code wird lokal erzeugt und nicht zugestellt, ist aber per Echtzeit-Phishing (Adversary in the Middle) weitergebbar.
Bequem. Ohne Nummernabgleich anfällig für MFA-Fatigue, also das Bestätigen nach vielen Anfragen.
Kryptografischer Nachweis mit privatem Schlüssel auf der Karte. Phishing-resistent, wenn die Anmeldung an Verbindung oder Dienst gebunden ist.
Der Schlüssel ist an die Domain gebunden und funktioniert auf einer gefälschten Seite nicht. Gerätegebunden (Sicherheitsschlüssel) oder synchronisiert (Passkey im Konto).
Der Balken zeigt die Widerstandsfähigkeit gegen Phishing, nicht den Bedienkomfort.
Wo die Biometrie hingehört
Fingerabdruck, Gesicht oder Iris entsperren in der Regel nur den Schlüssel auf dem eigenen Gerät, etwa bei Windows Hello, Touch ID oder einem FIDO2-Schlüssel mit Fingerabdrucksensor. Das biometrische Merkmal verlässt das Gerät nicht. NIST SP 800-63B-4 lässt Biometrie nur zusammen mit einem physischen Authentisierungsmittel zu, nicht als alleinigen Faktor, und verlangt, dass immer eine nicht-biometrische Alternative angeboten wird. Iris-Erkennung kommt vor allem bei physischem Zutritt und in Hochsicherheitsumgebungen vor, selten bei der Anmeldung an Unternehmensanwendungen.
Zehn Werkzeuge im Vergleich.
Der MFA-Markt teilt sich in Authentisierungsdienste von Identity-Plattformen (Microsoft Entra, Okta, Ping Identity), spezialisierte MFA-Plattformen (Cisco Duo, RSA, Thales), Open-Source-Server für Eigenbetrieb (privacyIDEA, LinOTP) und Hersteller von Sicherheitsschlüsseln und Token (Yubico, Token2). Phishing-resistente Verfahren mit FIDO2/Passkeys sind bei allen geprüften Plattformen ausser LinOTP belegt; mehrere Anbieter (Microsoft, Cisco Duo, Okta, privacyIDEA) sichern Push-Bestätigungen mit Nummern- oder Codeabgleich gegen MFA-Fatigue ab. Für Windows- und macOS-Anmeldungen bieten mehrere Anbieter eigene Credential Provider oder Login-Werkzeuge an. Mit privacyIDEA (NetKnights) und LinOTP (netgo) sind quelloffene Server für den Eigenbetrieb vertreten; Token2 bietet FIDO-Schlüssel ausdrücklich für die Schweizer Behördenanmeldung AGOV an.
FIDO2: FIDO2 oder Passkeys · Hardware: Hardware-Token oder Sicherheitsschlüssel · Push-Abgleich: Push mit Nummern- oder Codeabgleich · OTP: OTP oder Offline-Faktor · Desktop: Windows- oder macOS-Anmeldung · SaaS: als SaaS · On-Prem: On-Premises möglich. ● = auf offizieller Hersteller- oder Projektseite beschrieben, – = nicht belegt (nicht zwingend nicht vorhanden), n/a = für diese Produktgruppe nicht anwendbar. Auswahl nicht abschliessend, keine Rangliste. Stand: Oktober 2026.
Microsoft Entra MFA (Microsoft Authenticator, Passkeys)
Microsoft
MFA für Entra-ID-Anmeldungen mit Microsoft Authenticator, TOTP und Passkeys (FIDO2) auf Sicherheitsschlüsseln oder in Authenticator.
Push-Benachrichtigungen in Authenticator verlangen Number Matching; Conditional Access kann über Authentication Strength Passkeys erzwingen.
Risikobasierte Conditional-Access-Richtlinien verlangen MFA bei erhöhtem Anmelderisiko.
Clouddienst als Teil von Entra ID; Funktionsumfang abhängig von der Lizenzstufe.
MFA und Passkeys direkt im Identity Provider, ohne zusätzliche Plattform.
Schützt in erster Linie Entra-gebundene Anmeldungen; ein eigenständiger Windows-Login-Faktor für lokale Konten ist in den geprüften Seiten nicht beschrieben.
Okta Adaptive MFA (Okta Verify, Okta Device Access)
Okta
Adaptive MFA mit phishing-resistenten Faktoren wie Okta FastPass, FIDO2-WebAuthn-Authenticators und Smartcards (PIV/CAC).
Okta Verify Number Challenge verhindert das Annehmen betrügerischer Push-Benachrichtigungen.
Okta Device Access: passwortlose Windows-Anmeldung mit Okta Verify Push, FIDO2-Schlüssel oder Windows Hello sowie Platform SSO für macOS.
Clouddienst als Teil der Okta-Plattform.
MFA mit Kontextsignalen und Desktop-Anmeldung aus derselben Plattform wie SSO.
Setzt Okta als Identity Provider voraus; Offline-OTP ist in den geprüften Seiten nicht ausdrücklich beschrieben.
PingID
Ping Identity
Methoden: Mobile Push, E-Mail- und SMS-OTP, TOTP-Apps, QR-Codes, Magic Links, FIDO2-gebundene Biometrie und Sicherheitsschlüssel.
MFA für Windows-Login, Mac-Login und SSH-Anwendungen.
Integration mit Microsoft Entra ID (Azure AD), AD FS sowie lokalen oder Cloud-Webanwendungen über SSO und Web Access Management.
PingID ist laut Hersteller ein SaaS-Dienst mit Mobile App für iOS und Android.
Breite Faktorauswahl inklusive Desktop- und SSH-Anmeldung, auch neben bestehender Microsoft-Infrastruktur.
Nummernabgleich bei Push war auf den geprüften Seiten nicht belegt; Funktionsumfang hängt vom Ping-Paket ab.
Cisco Duo MFA
Cisco
MFA für lokale und Cloud-Ressourcen inklusive Active-Directory-verwalteter Systeme, VPN, SaaS, eigene Anwendungen und Offline-Geräte.
Duo Push und Verified Duo Push (Codeeingabe aus dem Login-Fenster), Passkeys/Plattform- und Roaming-Authenticators, Hardware-Token und Passcodes.
Duo Authentication for Windows Logon und RDP als Credential Provider, FIDO2-/U2F-Schlüssel (z. B. Yubico) werden dort nur für den Offline-Zugang unterstützt.
Clouddienst von Cisco; Richtlinien wie Gerätezustand und Betriebssystemversion werden im Admin Panel gesteuert.
Breite Abdeckung von VPN, Windows-Login und Anwendungen mit abgesicherter Push-Bestätigung.
Der Dienst läuft in der Duo-Cloud; lokale Komponenten vermitteln nur, ein vollständiger Eigenbetrieb ist nicht vorgesehen.
RSA ID Plus (inkl. SecurID)
RSA
Methoden: FIDO2 und Passkeys, Mobile Push, Biometrie, OTP, QR-Code, SMS/Voice, Hardware-Token (SID700, DS100) und Drittanbieter-Authenticators.
Hybride MFA mit Offline-Authentisierung als Rückfallebene bei Cloud-Ausfällen.
Federation, RADIUS, Windows (QR-Code), macOS und Linux.
Für Cloud-, Hybrid- und On-Premises-Umgebungen beschrieben, mit Ausrichtung auf Behörden, Finanzbranche und hohe Sicherheitsanforderungen.
Hybrider Betrieb mit Offline-Faktoren und Hardware-Token für Umgebungen mit hohen Verfügbarkeitsanforderungen.
Nummernabgleich bei Push ist auf der Produktseite nicht beschrieben; Migrationspfad von klassischen SecurID-Token zu FIDO2 ist zu planen.
SafeNet Trusted Access
Thales
Zugriffs- und MFA-Dienst mit Smart Single Sign-On für Cloud-Anwendungen.
Kontextbezogene bzw. adaptive Authentisierung und Unterstützung hochsicherer FIDO-Geräte.
Thales führt FIDO-Passkeys und Geräte sowie On-Prem-Managementplattformen als eigene Produktlinien neben dem Dienst.
Laut Hersteller als SaaS bereitgestellt.
MFA-Dienst und Hardware-Portfolio (FIDO, Token, PKI) aus einer Hand für regulierte Umgebungen.
Push-Nummernabgleich, OTP-Varianten und Desktop-Login sind auf der Produktseite nicht ausgeführt; Details nur über Produktdokumentation prüfbar.
privacyIDEA
NetKnights GmbH
Authentisierungsserver für OTP-Token, Challenge-Response, U2F, YubiKeys, SSH-Schlüssel, X.509-Zertifikate, WebAuthn und Passkeys.
Push-Token mit optionaler Präsenzprüfung, bei der eine falsche Antwort die Anmeldung nicht freigibt.
REST-API mit JWT; privacyIDEA Credential Provider für die Windows-Anmeldung.
Läuft auf Linux und vollständig unter AGPLv3; Eigenbetrieb, die Daten liegen auf dem eigenen Server.
Datensouveräner Token- und Richtlinienserver mit breiter Faktorauswahl.
Betrieb, Hochverfügbarkeit und Integrationen liegen beim Betreiber; Herstellersupport nur über die Enterprise Edition.
LinOTP
netgo GmbH
Open-Source-OTP-Lösung für Zwei-Faktor-Authentisierung auf Enterprise-Niveau.
Push-Token und Offline-OTP-Authentisierung (ab LinOTP 3).
Hochverfügbarkeit laut Hersteller ohne Zusatzaufwand.
Betrieb als LinOTP Cloud oder On-Premises; netgo GmbH bietet Enterprise-Support.
Offener OTP-Server mit Wahl zwischen Eigenbetrieb und Cloud.
FIDO2, Hardware-Schlüssel und Desktop-Anmeldung sind auf der Projektseite nicht beschrieben; der Schwerpunkt liegt auf OTP.
YubiKey
Yubico
Sicherheitsschlüssel mit FIDO2/WebAuthn, U2F, Smartcard (PIV), OpenPGP und OTP über USB-A, USB-C, Lightning und NFC.
Phishing-resistente, gerätegebundene Anmeldung durch Berührung; Varianten mit Fingerabdruckerkennung.
Windows-Login mit Entra ID über Smartcard-Funktion sowie Yubico Login for Windows für lokale Konten.
Hardware-Schlüssel ohne Cloud-Abhängigkeit im Betrieb; für Organisationen ab 500 Benutzern als Abonnement erhältlich.
Phishing-resistenter Hardware-Faktor, der mit vielen Identity Providern zusammenarbeitet.
Kein eigenständiger MFA-Dienst; Beschaffung, Ersatz, Registrierung und Wiederherstellung sind organisatorisch zu lösen.
Token2 FIDO2-Schlüssel und OTP-Token
Token2
FIDO2- und U2F-Schlüssel, programmierbare und klassische TOTP-Hardware-Token sowie PGP- und PIV-Funktionen.
Phishing-resistente FIDO2-Schlüssel sowie passwortlose Anmeldung für Teams.
FIDO-Schlüssel für die Schweizer Behördenanmeldung AGOV werden ausdrücklich angeboten; programmierbare OTP-Token lassen sich mit eigenen Seeds laden.
Batteriebetriebene TOTP-Token arbeiten laut Hersteller ohne Telefon, App oder Cloud-Abhängigkeit.
Hardware-Faktoren einschliesslich programmierbarer TOTP-Token als Ersatz für Smartphone-Apps.
Kein eigener MFA-Dienst und kein Desktop-Login-Werkzeug belegt; Hersteller mit Sitz in Genf («Headquartered in Geneva, Switzerland»).
Weitere Anbieter
Kurz eingeordnet, ausserhalb der Vergleichsmatrix.
- Futurae: Authentisierungsplattform aus Zürich mit Fokus auf Kunden- und Banking-Apps; gehört eher zur Klasse Customer Identity
- Silverfort: erweitert MFA ohne Agenten auf Protokolle wie Kerberos und NTLM; Schwerpunkt Identity Protection/ITDR
- HYPR: passwortlose Workforce-Authentisierung
- ESET Secure Authentication: MFA für Windows-Login, RDP und VPN
- Swissbit iShield Key: FIDO2-Sicherheitsschlüssel von Swissbit
- Google Titan Security Key, Feitian: weitere FIDO-Sicherheitsschlüssel
Vom Faktor
zur Richtlinie.
- Alle Anmeldewege erheben, auch die vergessenen: Legacy-Protokolle (z. B. IMAP, POP, SMTP-Auth), Dienstkonten, Fernwartung und Partnerzugänge. Wege ohne MFA-Fähigkeit sperren oder mit Frist ersetzen.
- Phishing-resistente Faktoren zuerst für Administratoren, Fernzugriff und Zahlungsfreigaben verpflichtend machen, danach für alle Mitarbeitenden.
- Die Registrierung neuer Faktoren absichern: nur aus vertrauenswürdigem Kontext oder mit identitätsgeprüftem Erstzugang, nicht per Selbstbedienung direkt nach einer Passwortanmeldung.
- SMS und Sprachanruf als Rückfalloption mit festem Datum auslaufen lassen.
- Anteil Konten mit phishing-resistentem Faktor, getrennt nach Administratoren und übrigen Mitarbeitenden
- Anzahl erfolgreicher Anmeldungen über Protokolle ohne MFA
- Anzahl Faktor-Zurücksetzungen pro Monat und Anteil mit dokumentierter Identitätsprüfung
Das IAM-Team verantwortet Richtlinien und Faktoren, der Service Desk die Identitätsprüfung bei Zurücksetzungen. Security legt fest, welche Zugänge welche Stärke der Anmeldung erfordern.
NIS2 Art. 21 Abs. 2 lit. j nennt Lösungen zur Multi-Faktor- oder kontinuierlichen Authentifizierung; DORA Art. 9 Abs. 4 lit. d verlangt von Finanzunternehmen starke Authentifizierungsmechanismen auf Basis einschlägiger Normen.
ISO/IEC 27001:2022 Annex A 8.5 (sichere Authentisierung) und 5.17 (Authentisierungsinformationen); NIST SP 800-63B-4 verlangt auf der höchsten Stufe AAL3 phishing-resistente Authentisierung.
MFA beendet Kontoübernahmen nicht. Angreifer stehlen Sitzungs-Token nach erfolgreicher Anmeldung oder überreden den Service Desk zur Zurücksetzung; kurze Sitzungsdauer und strenge Rücksetzprozesse gehören dazu.
Mit dem Angriffsweg testen.
- Phishing: Passkey oder FIDO2 mit realer Zielanwendung prüfen, nicht nur behaupten.
- Recovery: Konto-Wiederherstellung darf die stärkste Anmeldung nicht aushebeln.
- Legacy: VPN, RDP und ältere Anwendungen brauchen einen klaren Migrationspfad.
- Administratoren: Besonders wirksame Zugänge müssen stärker geschützt werden als der Durchschnitt.
Die angrenzenden Klassen.
MFA ist die Nachweisstufe der Anmeldung. SSO bündelt den Anmeldeweg; PAM baut darauf für privilegierte Sitzungen auf.
Security Tool Navigator · Gebiet 03
Im Gebiet Identity Security einordnen.
Diese Werkzeugklasse gehört zum Gebiet Identity Security. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.