Zwei-Faktor im Betrieb einführen: welche Konten zuerst

Die Reihenfolge für einen kleinen Betrieb

Zwei-Faktor-Authentisierung führt ein Unternehmen am besten Konto für Konto ein, angefangen bei den Konten, über die ein Angreifer an alle anderen kommt. Das sind die E-Mail-Postfächer, weil sich über sie fast jedes Passwort zurücksetzen lässt, und die Administratorkonten von Microsoft 365, Google Workspace, Domain und Website. Danach folgen Bank und Zahlungsdienste, dann Shop, Social Media und die Portale von Lieferanten. Als Verfahren taugt für die meisten Konten eine Authenticator-App, für Administratoren ein Passkey oder Hardware-Schlüssel. SMS bleibt die Notlösung für Dienste, die nichts anderes anbieten.

Das Team zieht mit, wenn es den Termin vorher kennt, wenn klar ist, auf welchem Handy die App läuft, und wenn für gemeinsam genutzte Konten nicht ein einziges Telefon die Codes bekommt. Rechnen Sie für einen Betrieb mit zehn Leuten mit ein paar Wochen, nicht mit einem Nachmittag. Jede Stufe soll erst laufen, bevor die nächste kommt.

Was das BSI empfiehlt

Das BSI schreibt: „Wenden Sie eine Zwei-Faktor-Authentisierung an, sobald ein Online-Dienst dies ermöglicht.“ Vom Abschalten rät es „in jedem Fall“ ab. Weil nach dem BSI viele Dienste die Funktion ab Werk ausgeschaltet haben, lohnt der Blick in die Einstellungen jedes Kontos. Besonders nennt das BSI Online-Banking, Online-Shopping und Konten mit weitreichenden Rechten wie E-Mail und Social Media. Für Firmen steht im IT-Grundschutz unter ORP.4.A10: „Benutzendenkennungen mit weitreichenden Berechtigungen SOLLTEN mit einer Mehr-Faktor-Authentisierung […] geschützt werden.“

In einer kleinen Firma sind das die Administratoren. Mit dem Passwort einer Bürokraft liest ein Angreifer ein Postfach, mit dem des Administrators alle.

Welche Konten zuerst

Beim Online-Banking hat der Gesetzgeber die Frage schon beantwortet: Nach § 55 des Zahlungsdiensteaufsichtsgesetzes muss die Bank eine starke Kundenauthentifizierung verlangen, wenn jemand online auf das Konto zugreift oder eine Zahlung auslöst. Die Aufgabe der Firma ist dort eine andere, nämlich jedem Mitarbeiter einen eigenen Zugang mit eigenem Gerät zu geben. Das beschreibt die Seite Geschäftskonto: Zugänge für Mitarbeiter. Für Domain und Website steht unter Domain und Website: Zugänge, wie die Konten überhaupt in die Hand der Firma kommen.

Die Verfahren im Vergleich

Das BSI hat die gängigen Verfahren nach Schutz vor Phishing, Bedienbarkeit und Wiederherstellung bewertet. Der größte Unterschied liegt beim Phishing in Echtzeit: Jemand tippt Passwort und Code auf einer gefälschten Seite ein, und der Angreifer reicht beides sofort weiter. Dagegen, so das BSI, „schützen E-Mail- und SMS-TAN-Verfahren sowie TOTP nicht“. Und weiter: „Die beiden Passkey-Verfahren sind resistent gegen übliche Phishing-Angriffe.“ Gemeint sind Passkeys, die zwischen Geräten synchronisiert werden, und solche, die nur auf einem Hardware-Schlüssel liegen.

Für SMS gibt das BSI einen eigenen Rat: Es sei „davon abzuraten, für den Empfang der mTAN dasselbe Gerät zu verwenden“, mit dem man sich anmeldet. Wer am Handy das Shop-Konto öffnet und dort auch die SMS liest, hat zwei Faktoren auf einem Gerät. Was Passkeys im Team bedeuten und wo ihre Grenzen liegen, steht auf der Seite Passkeys im Unternehmen.

Microsoft 365: Sicherheitsstandards einschalten

In Microsoft 365 heißt der einfachste Weg Sicherheitsstandards. Microsoft nennt als Zielgruppe unter anderem Organisationen mit dem kostenlosen Tarif von Microsoft Entra ID. Für Lizenzen der Stufe P1 oder P2 seien die Sicherheitsstandards „wahrscheinlich nicht die richtige Wahl“, dort gibt es den bedingten Zugriff. Neue Mandanten bekommen die Sicherheitsstandards laut Microsoft bei der Erstellung. Ältere Mandanten schalten sie im Microsoft Entra Admin Center unter Entra ID, Übersicht, Eigenschaften, „Sicherheitsstandards verwalten“ ein (Stand der Hilfeseite: aktualisiert am 01.10.2026).

• Alle Benutzer registrieren sich. Vorgesehen ist die Microsoft Authenticator-App mit Benachrichtigung. Daneben nennt Microsoft Apps anderer Hersteller, die Codes nach dem TOTP-Verfahren erzeugen. SMS führt die Hilfeseite bei den Sicherheitsstandards nicht auf.
• Administratoren bestätigen jede Anmeldung. Microsoft nennt dafür eine Liste von Rollen, darunter Globaler Administrator, Exchange-Administrator und Benutzeradministrator.
• Ältere Protokolle sind gesperrt. Programme, die Mail über die älteren Protokolle IMAP, POP3 oder SMTP abrufen oder senden, kommen danach nicht mehr durch, ebenso Clients ohne moderne Anmeldung wie Office 2010. Prüfen Sie vorher den Scanner, der Dokumente per Mail verschickt.

Microsoft rät, die Benutzer vorher über die Umstellung zu informieren, und verweist sie zum Einrichten auf die Seite „Sicherheitsinformationen“ im eigenen Profil. Wie die Firma dabei nicht ihr einziges Administratorkonto aussperrt, behandelt Microsoft 365: Admin und Notfallkonto.

Das Team mitnehmen

1. Den Plan ankündigen. Eine Woche vorher: welche Konten, an welchem Tag, wer hilft. Wer überrascht wird, ruft während des Kundentermins an und kommt nicht in sein Postfach.
2. Das Gerät klären. Firmenhandy oder privates Telefon: Das entscheidet die Firma vor dem ersten Termin, nicht der Mitarbeiter am Morgen der Umstellung. Welche Wege es gibt, wenn jemand die App nicht auf dem eigenen Handy will, beschreibt Authenticator-App auf dem Privathandy.
3. Zu zweit einrichten. Eine Person im Betrieb sitzt bei den ersten Konten daneben. Planen Sie eine Viertelstunde je Konto ein.
4. Gleich einen zweiten Weg hinterlegen. Das BSI rät, „wenn möglich“ mehrere zweite Faktoren zu hinterlegen, etwa ein weiteres Token oder eine weitere App, und schon bei der Einrichtung auf Backup-Codes zu achten. Wo diese Codes hingehören, steht unter Wiederherstellungscodes aufbewahren.
5. Einmal abmelden und neu anmelden. Erst wenn das klappt, ist das Konto umgestellt.

Konten, die mehrere Leute nutzen

Am Paketdienst-Konto, am Werbekonto oder am Portal des Großhändlers melden sich in manchen Betrieben drei oder vier Kollegen mit derselben Anmeldung an. Bekommt nur das Handy der Chefin den Code, ist sie am Telefon, sobald jemand bestellen will. Wo der Dienst eigene Benutzer kennt, ist der bessere Weg ein eigenes Konto je Person mit eigenem zweitem Faktor. Wo nicht, legt die Firma den geheimen Schlüssel aus der Einrichtung beim Zugang in den gemeinsamen Tresor, und jeder Berechtigte ruft den aktuellen Code selbst ab.

Liegen Passwort und Schlüssel im selben Tresor, hängt der Schutz dieses Kontos am Tresor. Jeder Mitarbeiter meldet sich deshalb am Tresor mit eigenem Master-Passwort und eigenem zweiten Faktor an, der nicht im Tresor liegt. Eigentümer und Administratoren richten den zweiten Faktor selbst ein. SMS-Codes kann kein Tresor empfangen, bei Diensten, die nur SMS anbieten, bleibt der Code an die Rufnummer gebunden. Die Umstellung Schritt für Schritt und die Konten, bei denen ein getrenntes Gerät besser bleibt, erklärt Bestätigungscodes im Team teilen.

Fehler bei der Einführung

• Codes per SMS an eine private Nummer. Verlässt die Person die Firma oder wechselt sie den Vertrag, hängt das Konto an einer Nummer, die der Firma nicht gehört. Was beim Austritt alles umzustellen ist, zeigt die Checkliste Mitarbeiter verlässt die Firma.
• Alle Konten auf einem Firmenhandy. Fällt es ins Wasser, kommt am selben Tag niemand mehr in Bank, Shop und Postfach.
• Abschalten, weil es nervt. Davon rät das BSI „in jedem Fall“ ab. Beschwert sich jemand über zu viele Abfragen, soll er den Dienst nennen, damit die zuständige Person dort die Einstellungen ansieht.

Ein Beispiel aus einer Fahrschule

Eine erfundene Fahrschule mit vier Fahrlehrern, einer Bürokraft und einem Inhaber nutzt Microsoft 365, ein Geschäftskonto, eine Website und ein Instagram-Konto. In der ersten Woche schaltet der Inhaber die Sicherheitsstandards ein, nachdem er geprüft hat, dass der Bürokopierer seine Scans nicht mehr über SMTP mit Passwort verschickt. Für die zwei Notfallkonten, die Microsoft für jeden Mandanten empfiehlt, legt er Hardware-Schlüssel an zwei getrennten Orten ab: einen im Schließfach bei der Bank, einen im Büro.

In der zweiten Woche richten die Fahrlehrer die Authenticator-App auf ihren Diensthandys ein, die Bürokraft sitzt jeweils daneben. Das Instagram-Konto nutzen drei Personen, sein Schlüssel kommt beim Zugang in die Sammlung „Werbung“ des Tresors. Beim Domain-Anbieter stellt der Inhaber von SMS auf App um und legt die Ersatzcodes in eine Sammlung des Tresors, die nur er und die Bürokraft sehen.

Was Passwortheld dazu beiträgt

Bei Passwortheld gilt für alle Mitarbeiter am Tresor die Zwei-Faktor-Pflicht, die wir bei der Einrichtung einschalten. Eigentümer und Administratoren richten den zweiten Faktor selbst ein. Als zweiter Faktor am Tresor stehen eine Authenticator-App und ein Code per E-Mail zur Wahl. Die App ist sicherer, besonders wenn das Passwort des Postfachs selbst im Tresor liegt. Den Wiederherstellungscode seines Tresorkontos druckt jeder Nutzer bei der Einrichtung aus. Im Tresor lassen sich die Schlüssel für Bestätigungscodes beim Zugang speichern, sodass gemeinsame Konten nicht an einem Handy hängen. Die Wartung kostet 16,99 € im Monat inkl. MwSt. bei 12 Monaten Mindestlaufzeit, ohne Kosten pro Nutzer, dazu die Servermiete bei netcup ab 3,69 € im Monat inkl. MwSt. Das Angebot gilt nur für Unternehmer.

Die Umstellung Ihrer Konten bei Microsoft, Bank oder Shop gehört nicht zur Wartung und auch keine Schulung des Teams. Helfen wir dabei, rechnen wir nach Aufwand ab: 74,99 € je Stunde inkl. MwSt., je angefangener Viertelstunde. Welche Konten bei Ihnen zuerst dran sind, besprechen wir im kostenlosen Erstgespräch (15 Minuten).