In Woche 1 haben Sie sichtbar gemacht, welche Cloud-Dienste Sie nutzen. Jetzt sichern wir den Zugang zu diesen Diensten ab — mit der vermutlich wirkungsvollsten Einzelmaßnahme der gesamten IT-Sicherheit: der Multi-Faktor-Authentifizierung (MFA).
Warum MFA so viel bringt
Die mit Abstand häufigste Methode, mit der Angreifer in Cloud-Konten gelangen, ist nicht der raffinierte Hack, sondern das gestohlene oder erratene Passwort. Phishing-Mails, in Datenlecks abgegriffene Zugangsdaten, mehrfach genutzte Passwörter — die Wege sind vielfältig, das Ergebnis ist dasselbe: Jemand loggt sich mit gültigen Daten ein, und niemand merkt es.
MFA durchbricht diese Kette. Selbst wenn das Passwort bekannt ist, fehlt dem Angreifer der zweite Faktor — der Code aus der App, der Fingerabdruck, der Hardware-Schlüssel. Microsoft beziffert die Wirkung seit Jahren mit über 99 % verhinderter Kontoübernahmen. Es gibt kaum eine Maßnahme mit einem besseren Verhältnis von Aufwand zu Schutz.
Das Identitäts- und Zugriffsmanagement ist einer der zentralen Themenbereiche in C5:2026 — und starke Authentifizierung dessen Herzstück.
So machen Sie mit
- Nehmen Sie Ihr Cloud-Inventar aus Woche 1 zur Hand und gehen Sie es Dienst für Dienst durch.
- Aktivieren Sie MFA zuerst für die wichtigsten Konten: E-Mail, zentraler Identitätsdienst (Microsoft 365 / Google Workspace), Banking, Buchhaltung.
- Erzwingen Sie MFA per Richtlinie für alle Nutzer — nicht freiwillig, sondern verpflichtend. In Microsoft 365 und Google Workspace geht das zentral.
- Bevorzugen Sie Authenticator-Apps oder Hardware-Schlüssel gegenüber SMS-Codes. SMS ist besser als nichts, aber abfangbar.
- Hinterlegen Sie für jedes Konto eine Wiederherstellungsmethode (Backup-Codes), und bewahren Sie diese sicher auf.
Stolpersteine
- Das Notfall-Admin-Konto. Sperren Sie sich nicht selbst aus: Richten Sie ein separates Administrator-Konto mit eigenem MFA und sicher verwahrten Backup-Codes ein, falls der reguläre Zugang scheitert.
- Geteilte Konten. Funktionspostfächer oder von mehreren genutzte Logins vertragen sich schlecht mit MFA — und sind ohnehin ein Risiko. Lösen Sie sie nach Möglichkeit in persönliche Konten auf.
- Kommunikation. Kündigen Sie die Umstellung an, erklären Sie das Warum und stellen Sie eine kurze Anleitung bereit. MFA, die überraschend kommt, erzeugt Support-Anrufe und Frust.
Bezug zu C5:2026
MFA ist die Voraussetzung dafür, dass die folgenden Quick Wins überhaupt greifen. Besonders eng verzahnt ist sie mit Woche 3, in der wir die privilegierten Konten — Ihre Administratoren — gesondert absichern.
Fazit
Wenn Sie diesen Sommer nur eine Maßnahme umsetzen, dann diese. MFA flächendeckend zu erzwingen kostet wenig und verhindert die häufigste Art von Cloud-Einbruch. Nächsten Montag schauen wir auf die Konten mit den meisten Rechten: Quick Win 3 sichert Ihre Administratoren ab.
Sie wissen nicht, wie Sie MFA in Ihrer Umgebung zentral erzwingen? Kontaktieren Sie uns für eine konkrete Umsetzungshilfe.