6 Min. Lesezeit
Die meisten Cyberangriffe auf Unternehmen starten nicht mit einem ausgeklügelten Hack, sondern mit einem gestohlenen Passwort. Trotzdem setzen viele Schweizer KMU noch immer nur auf ein einzelnes Passwort als Schutz. In diesem Beitrag erfährst Du, was MFA und Conditional Access für Dein Unternehmen bedeuten und warum Du jetzt handeln solltest.
Inhaltsverzeichnis
Was ist MFA?
Multi-Faktor-Authentifizierung bedeutet: Neben dem Passwort brauchst Du mindestens einen zweiten Nachweis, um Dich anzumelden. Etwas das Du weisst (Passwort), etwas das Du hast (Handy, Security Key) oder etwas das Du bist (Fingerabdruck, Gesichtserkennung).
Selbst wenn ein Angreifer Dein Passwort kennt, kommt er ohne den zweiten Faktor nicht rein. Laut Microsoft blockiert phishing-resistentes MFA 99.2 Prozent aller Account-Übernahmen.
Wissen
Passwort oder PIN
Besitz
Handy, Token oder Security Key
Biometrie
Fingerabdruck oder Gesicht
Warum reicht ein Passwort nicht mehr?
Angreifer brauchen heute kein technisches Know-how mehr. Sie kaufen gestohlene Zugangsdaten im Darknet, nutzen Phishing-Mails oder lassen Infostealers automatisiert Passwörter abgreifen. Bei Password-Spray-Attacken werden gängige Passwörter an tausenden Accounts gleichzeitig ausprobiert.
In der Schweiz zielen Phishing-Kampagnen gezielt auf KMU und Bankkunden (BACS Halbjahresbericht 2025). Das Schweizer Datenschutzgesetz (DSG) fordert zudem angemessene technische Schutzmassnahmen. Ein einzelnes Passwort erfüllt das längst nicht mehr.
Ein Passwort allein, egal wie stark, ist 2026 keine Sicherheit mehr. Es ist nur noch die erste Hürde, die Angreifer in Sekunden überwinden.
Conditional Access und MFA: Deine Lösung mit HEAD IT Solutions
Stell Dir MFA wie das Schloss an Deiner Tür vor. Conditional Access ist der Türsteher, der davorsteht. Er prüft bei jedem Login: Wer meldet sich an? Von welchem Gerät? Von welchem Standort? Wie verdächtig sieht das Ganze aus?
Wenn Du Dich morgens vom Firmen-Laptop im Büro einloggst, wirst Du einfach durchgelassen. Meldet sich aber jemand nachts von einem fremden Gerät aus dem Ausland an, wird sofort ein zweiter Faktor verlangt oder der Zugang komplett gesperrt. So bist Du geschützt, ohne dass Dein Team bei jeder Anmeldung genervt einen Code eintippen muss.
Eingerichtet und überwacht von
HEAD IT Solutions
Login-Versuch
Jemand will auf Deine Systeme zugreifen
MFA – Die Tür
Dein zweiter Schutzfaktor beim Login
Passwort
Authenticator
Conditional Access – Der Türsteher
Prüft Gerät, Standort und Verhalten
Gerät
Standort
Verhalten
Zugriff gewährt
Deine Daten sind geschützt
Conditional Access ist in Microsoft 365 Business Premium bereits enthalten. In unserem Blogbeitrag zu Conditional Access erfährst Du mehr dazu. Viele KMU bezahlen heute schon dafür, haben es aber noch gar nicht aktiviert.
Und genau das sollte sich ändern. Microsoft verschärft die Regeln: Seit Oktober 2024 ist MFA für das Azure Portal und alle Admin-Center Pflicht. Anfang 2025 folgten Azure CLI, PowerShell und weitere Tools. Wer jetzt nicht handelt, riskiert nicht nur offene Sicherheitslücken, sondern auch eingeschränkte Zugänge zu seinen eigenen Systemen.
Häufige Fragen zu MFA und Conditional Access
Kostet MFA extra?
MFA ist in allen Microsoft 365 Business Plänen enthalten, auch in Business Basic. Du bezahlst also höchstwahrscheinlich bereits dafür, ohne es zu nutzen.
Funktioniert MFA auch ohne Smartphone?
Ja. Neben der Microsoft Authenticator App gibt es physische FIDO2 Security Keys und telefonische Bestätigung. Für Mitarbeitende ohne Firmenhandy ist ein Security Key oft die beste Lösung.
Was ist der Unterschied zwischen MFA und Conditional Access?
MFA ist die Tür – es verlangt einen zweiten Nachweis bei der Anmeldung. Conditional Access ist der Türsteher – er entscheidet anhand von Gerät, Standort und Verhalten, ob überhaupt gefragt oder direkt gesperrt wird. Zusammen bilden sie ein intelligentes Sicherheitssystem.
Können wir Conditional Access so einstellen, dass es unsere Mitarbeitenden nicht stört?
Genau das ist der Punkt. Wenn sich jemand vom bekannten Firmen-Laptop im Büro anmeldet, passiert gar nichts – kein Code, keine Abfrage. Conditional Access greift nur ein, wenn etwas ungewöhnlich ist: fremdes Gerät, anderer Standort, verdächtiges Verhalten. Sicherheit ohne Aufwand im Alltag.