Multifaktor-Authentifizierung (MFA) hat sich sowohl im geschäftlichen als auch im privaten Bereich durchgesetzt, um Nutzer bei der Anmeldung in IT-Systeme zu identifizieren. Dennoch weisen gängige Implementierungen Schwächen auf, die aktuelle Angriffstechniken gezielt ausnutzen – vor allem, weil weiterhin Passwörter zum Einsatz kommen. Um ein höheres Sicherheitsniveau zu erreichen, sollten Unternehmen daher MFA um passwortlose Systeme ergänzen.

Management Summary

Kernaussage: Passwortfreie MFA entwickelt sich zur neuen Sicherheitsbasis moderner Identitätsprüfung. Sie eliminiert zentrale Schwachstellen passwortbasierter Verfahren, erhöht die Phishing‑Resistenz und wird von BSI, NIST und europäischen Behörden aktiv empfohlen.

1. Strategische Bedeutung

Passwortlose MFA ist nicht nur ein technisches Upgrade, sondern eine sicherheitsstrategische Weiterentwicklung. Sie adressiert die Hauptursachen erfolgreicher Angriffe: Passwortdiebstahl, Credential Stuffing, Phishing und fehleranfällige Wiederherstellungsprozesse.

2. Schwachstellen klassischer MFA

Passwörter bleiben der Single Point of Failure – selbst mit zweitem Faktor.
Einmalcodes (SMS, E-Mail, App) sind abfangbar und anfällig für Social Engineering.
Push‑MFA führt zu „Prompt Bombing“ und Fehlbestätigungen.
SIM‑Swap und gestohlene Token untergraben die Sicherheit.

3. Technische Vorteile passwortloser Verfahren

Origin Binding: FIDO/WebAuthn koppeln den privaten Schlüssel kryptografisch an die korrekte Domain.
Hardware‑Schutz: Private Schlüssel verbleiben in Secure Enclave, TPM oder Hardware‑Token.
Lokale Freigabe: Authentifizierung erfolgt per Biometrie oder PIN direkt am Gerät.

4. Enterprise‑Einführung in vier Phasen

SSO mit starker Initialauthentifizierung
Passwortlose Anmeldung für kritische Anwendungen (FIDO‑Token, Biometrie)
Automatisierte Passwortverwaltung & Token‑Integration
Vollständige SSO‑Integration aller Anwendungen (OAuth/OIDC)

5. Marktentwicklung & regulatorische Impulse

BSI empfiehlt FIDO‑basierte Verfahren (TR‑03188).
Österreich ersetzt SMS‑TAN durch FIDO‑Schlüssel.
Nutzer bewerten Passkeys als sicherer und komfortabler.

MFA kombiniert mindestens zwei Faktoren aus den Bereichen Wissen, Besitz und Biometrie. Viele gängige Modelle setzen weiterhin Passwörter als ersten Faktor ein und ergänzen diesen durch Apps, E-Mails, SMS, Biometrie oder ähnliche Methoden. Genau darin liegt die Schwachstelle: Das Passwort bleibt der kritische Punkt.

Passwortfreie Authentifizierung verfolgt dagegen ein Sicherheitskonzept, das aktuelle Richtlinien ausdrücklich empfehlen. Statt Passwörter manuell einzugeben, nutzen Anwender Technologien wie FIDO2-Sicherheitsschlüssel, Passkeys oder biometrische Merkmale. FIDO2 erzeugt ein asymmetrisches Schlüsselpaar: Der private Schlüssel bleibt sicher auf dem Gerät, der öffentliche Schlüssel wird im System gespeichert. Passkeys lassen sich in System-Keychains wie iOS, Android oder ChromeOS sichern oder auf Hardware-Token ablegen. Biometrische Methoden wie Fingerabdruck oder Gesichtserkennung verlassen das Gerät nie. In sensiblen Bereichen wie dem Gesundheitswesen haben sich zudem gerätegebundene Smartcards und Badges etabliert, mit denen sich Nutzer per Tap-and-Go anmelden.

Schwachstellen passwortbasierter MFA.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt, passwortfreie Verfahren überall dort einzusetzen, wo es technisch machbar ist. Passwortbasierte MFA bietet trotz des zweiten Faktors keine zuverlässige Sicherheit, denn Angreifer können Passwörter und Einmalcodes abfangen. Auch die US-Behörde NIST weist in der überarbeiteten Fassung der Digital Identity Guidelines SP 800-63-4 darauf hin, dass Passwörter und Einmalpasswörter anfällig für Phishing sind.

Praktische Fälle, auch im deutschsprachigen Raum, zeigen, dass MFA häufig versagt, wenn Nutzer Einmalpasswörter unbewusst weitergeben, Angreifer Token stehlen oder Wiederherstellungsprozesse untergraben werden. Schwachstellen treten auch bei Push-Benachrichtigungen auf: Beim sogenannten Prompt Bombing bestätigen Nutzer Anfragen versehentlich. SMS-basierte MFA ist anfällig für SIM-Swap-Angriffe, und auch Codes, die Anbieter per E-Mail versenden, sind phishing-gefährdet. Hinzu kommt Credential Stuffing: Angreifer handeln mehrfach verwendete Passwörter im großen Stil im Darknet, weshalb diese Methode zu den häufigsten Angriffsvektoren zählt.

Phishing-resistente Authentifizierung.

Phishing-resistente Authentifizierung bietet ein erheblich höheres Sicherheitsniveau. Sie basiert auf drei wesentlichen technischen Prinzipien:

Der Authentifikator prüft kryptografisch, ob sich der Nutzer bei der korrekten Domain anmeldet, wobei FIDO/WebAuthn den privaten Schlüssel mit der Herkunfts-URL verknüpft (Origin Binding). Der private Schlüssel bleibt zudem sicher in geschützter Hardware wie Secure Enclave, TPM oder einem Hardware-Token gespeichert und lässt sich nicht exportieren; NIST fordert diesen Schutz für die höchste Authentifizierungsstufe (AAL3). Die Freigabe des Zugriffs erfolgt schließlich lokal durch den Nutzer, etwa per Biometrie oder PIN.

FIDO2 und Passkeys setzen diese Prinzipien um. Bei der Registrierung entsteht ein Schlüsselpaar, dessen privater Teil auf dem Gerät verbleibt und durch Biometrie oder Geräte-PIN geschützt ist. Passkeys sichern dieses Schlüsselpaar in der System-Keychain oder einer Passwort-Wallet und lassen sich zwischen Geräten synchronisieren.

Einführung von Enterprise Access Management.

Unternehmen implementieren passwortlose MFA in mehreren Phasen:

Single Sign-On (SSO): Im ersten Schritt führen Unternehmen SSO mit einer starken initialen Authentifizierung ein, meist über Zweifaktor-Authentifizierung. Dadurch erhalten Nutzer nach einer einmaligen Anmeldung Zugriff auf alle Systeme und Anwendungen.
Passwortlose Anmeldung für kritische Anwendungen: Im zweiten Schritt rollen Unternehmen die passwortlose Authentifizierung für besonders wichtige Anwendungen aus. Dabei setzen sie berührungslose Verfahren wie Gesichtserkennung oder Fingerabdruck ein, ergänzt durch FIDO-Sicherheitsschlüssel. Beide Methoden sind phishing-resistent und erhöhen die Sicherheit deutlich.
Integration von Token und Biometrie: Anwender müssen sich keine Passwörter mehr merken. Das IT-System überwacht die Passwortrichtlinien und ändert Passwörter bei Bedarf automatisch, ohne dass der Nutzer eingreifen muss. Dadurch lassen sich Passwörter komplexer gestalten und häufiger aktualisieren, während Phishing-Angriffe wirkungslos bleiben.
Integration aller Anwendungen: Im vierten Schritt binden Unternehmen sämtliche Anwendungen in SSO ein. Diese müssen moderne Standards wie OAuth (Open Authentication) und OIDC (OpenID Connect) unterstützen.

Passwortlosigkeit als Weiterentwicklung der MFA-Strategie.

Passwortfreie Authentifizierung ist keine Alternative, sondern eine konsequente Weiterentwicklung von MFA. Besonders in der DACH-Region zeigt sich dieser Trend: Das BSI empfiehlt hardwarebasierte FIDO-Token als besonders sichere Lösung. In Österreich akzeptieren staatliche Systeme SMS-TANs bereits nicht mehr und setzen stattdessen auf FIDO-Sicherheitsschlüssel.

Fazit.

Passwortlose MFA ist nicht nur eine Sicherheitsoption, sondern die Zukunft der Identitätsprüfung: Sie verhindert Angriffe wie Phishing und Credential Stuffing wirksam.

Passwortlose MFA – wichtige Punkte

MFA allein reicht nicht aus: Angriffsvektoren wie Credential Stuffing und Phishing werden häufig unterschätzt.

Passwortlosigkeit ist mehr als Komfort: Passkey-Architekturen bieten erheblichen Schutz gegen gezielte Angriffe wie Phishing, Credential Stuffing und Replay-Attacken.

Passwortlose MFA wird zum Standard: Phishing-sichere Authentifikatoren sind zunehmend etabliert. Das BSI fordert in der Technischen Richtlinie TR-03188, dass Unternehmen Passkeys als gängiges 2FA-Verfahren etablieren.

Passkeys gewinnen an Akzeptanz: So zeigt eine Umfrage der FIDO-Alliance, dass Nutzer Passkeys als sicherer und benutzerfreundlicher wahrnehmen als traditionelle Passwörter.

Nils Hondong,
Director Engineering
bei Imprivata

Warum reicht klassische MFA nicht mehr aus?

Weil Passwörter und Einmalcodes weiterhin angreifbar sind – durch Phishing, Social Engineering, SIM‑Swap und Credential Stuffing. MFA schützt nur bedingt, solange Passwörter Teil des Prozesses bleiben.

Was macht passwortlose MFA phishing‑resistent?

Die Authentifizierung ist an die echte Domain gebunden (Origin Binding), der private Schlüssel verlässt nie das Gerät, und die Freigabe erfolgt lokal per Biometrie oder PIN.

Welche Technologien eignen sich für Unternehmen?

FIDO2‑Token, Passkeys, gerätegebundene Smartcards, biometrische Verfahren (Fingerabdruck, Gesichtserkennung).

Wie aufwendig ist die Einführung?

Unternehmen implementieren passwortlose MFA schrittweise über SSO, kritische Anwendungen, Token‑Integration und vollständige SSO‑Abdeckung.

Ist passwortlose MFA ein Ersatz für MFA?

Nein – sie ist die Weiterentwicklung. MFA bleibt bestehen, aber ohne Passwörter als Risikofaktor.

58 Artikel zu „passwortlos MFA“