Klassische Passwörter reichen für den Schutz von Unternehmenszugängen nicht mehr aus. Sicherheitsanbieter ESET sieht Multi-Faktor-Authentifizierung als zentralen Baustein gegen zunehmend identitätsbasierte Angriffe.

Foto: ESET / Roman Moebius Michael Schröder, Head of Product Marketing bei ESET Deutschland Angriffe auf Unternehmens-IT erfolgen immer häufiger nicht über technische Schwachstellen, sondern über gültige Zugangsdaten. Damit verschiebt sich der Fokus der Angreifer – und stellt Unternehmen vor die Aufgabe, ihre Authentifizierungsstrategien anzupassen. Aktuelle Zahlen zeigen, dass sowohl Phishing als auch klassische Passwortangriffe weiter zunehmen.

Im jüngsten Threat Report von ESET stiegen E-Mail-Bedrohungen in der zweiten Jahreshälfte 2025 um 36 Prozent gegenüber dem ersten Halbjahr. Besonders häufig trat dabei HTML/Phishing.Agent auf, mit einem Anteil von 30,8 Prozent an den beobachteten Bedrohungen. Parallel dazu bleiben Passwortangriffe ein dominanter Faktor: 43,3 Prozent der externen Netzwerkangriffe entfielen auf Password Guessing. Ergänzt wird das Risiko durch Infostealer wie Formbook, Agent Tesla oder SnakeStealer, die Zugangsdaten und weitere sensible Informationen von kompromittierten Systemen auslesen.

Michael Schröder, Head of Product Marketing bei ESET Deutschland, sagt:

„Viele Angriffe beginnen heute mit einer ganz normalen Anmeldung. Genau deshalb dürfen Unternehmen Passwörter nicht länger alleinlassen. Multi-Faktor-Authentifizierung sorgt dafür, dass ein gestohlenes Passwort nicht automatisch zum Zugang ins Unternehmen wird. Wichtig ist aber, dass MFA sauber eingeführt und im Alltag akzeptiert wird.“

Multi-Faktor-Authentifizierung wird zur Pflichtaufgabe

Multi-Faktor-Authentifizierung (MFA) ergänzt Passwörter um zusätzliche Faktoren wie Einmalcodes, App-Freigaben, Hardware-Token, biometrische Merkmale oder FIDO-basierte Sicherheitsschlüssel. Dadurch wird verhindert, dass kompromittierte Zugangsdaten allein für einen erfolgreichen Angriff ausreichen.

Neben der technischen Notwendigkeit gewinnt MFA auch regulatorisch an Bedeutung. Im Kontext der NIS2-Richtlinie wird sie als Teil von Risikomanagementmaßnahmen für kritische und wichtige Einrichtungen genannt. Damit entwickelt sich MFA zunehmend von einer Best Practice zu einer Anforderung für Unternehmen im DACH-Raum.

ESET empfiehlt, MFA nicht isoliert umzusetzen. Stattdessen sollten Unternehmen eine umfassende Strategie entwickeln, die kritische Zugänge priorisiert, unterschiedliche Nutzergruppen berücksichtigt und Sonderfälle wie verlorene Geräte, Dienstleisterzugänge oder Legacy-Systeme einbezieht.

Passwörter bleiben relevant aber nicht ausreichend

Trotz der wachsenden Bedeutung von MFA behalten Passwörter ihre Rolle als grundlegender Sicherheitsfaktor. Entscheidend ist dabei deren Qualität. Sie sollten lang, einzigartig und nicht mehrfach verwendet werden. Passwortmanager können helfen, diese Anforderungen praktikabel umzusetzen.

Der regelmäßige erzwungene Passwortwechsel gilt hingegen nicht als effektive Maßnahme, solange kein konkreter Anlass besteht. Wichtiger ist es, kompromittierte Zugangsdaten frühzeitig zu erkennen und besonders sensible Konten zusätzlich abzusichern.

Unternehmen stehen damit vor der Aufgabe, ihre Identity-Security ganzheitlich zu betrachten. Dazu gehört die Frage, welche Konten besonders kritisch sind, wo zusätzliche Schutzmechanismen fehlen und wie schnell missbräuchliche Zugriffe erkannt werden können.