Mit einem gestohlenen Passwort meldet sich ein Angreifer einfach an.
In vielen Umgebungen gilt die Mehrfaktor-Anmeldung (MFA) nur für einen Teil der Konten: Altanwendungen fallen raus, schwache Methoden wie SMS sind weiter erlaubt, Notfallzugänge hängen an einem einzigen Passwort. Und der Rollout stockt bei Ausnahmen und Akzeptanz – ausgesperrte Nutzer, Support-Tickets, Übergangslösungen ohne Enddatum. Wir geben Ihnen ein Anmeldekonzept, das beides auflöst: Stärke nach Risiko, Ausnahmen mit Ablaufdatum, Notfallzugänge mit Kontrolle und ein Rollout mit Registrierung, Kommunikation und Support.
Starke Authentifizierung: Externe Treiber.
„Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung“ – § 30 Abs. 2 Nr. 10 BSIG (EU: Art. 21 Abs. 2 lit. j): MFA steht wörtlich im gesetzlichen Maßnahmenkatalog. Ein Anmeldekonzept mit Methodenstandard und Abdeckungsbericht zahlt direkt darauf ein.
„Konzepte und Protokolle für starke Authentifizierungsmechanismen“, basierend auf einschlägigen Normen (Art. 9 Abs. 4 lit. d) – dokumentierte Methodenstandards und Anmelderegeln je Risiko machen diese Vorgabe prüfbar.
Sicherheit der Verarbeitung (Art. 32 Abs. 1): Maßnahmen müssen dem Risiko angemessen sein – bei von außen erreichbaren Konten mit Zugriff auf personenbezogene Daten unterstützt starke Authentifizierung genau dieses Schutzniveau.
Kaum ein Risikofragebogen ohne MFA-Frage: Häufig ist flächendeckende MFA Voraussetzung für Abschluss oder Deckung, bis hin zur Regulierung im Schadenfall. Ein Anmeldekonzept mit Abdeckungsbericht liefert die Antwort samt Beleg.
Unsere technische Basis.
Angepasst an Ihre Umgebung und Lizenzen.
01 · Zielsysteme
Die Anmeldung an Microsoft 365, Azure und den an die zentrale Anmeldung angebundenen Anwendungen – dort greift das Konzept, im Büro wie unterwegs.
02 · Durchführung & Self-Service
Anmelderegeln nach Rolle, Gerät und Risiko laufen automatisch in Microsoft Entra ID; Registrierung und Gerätewechsel folgen geführten Abläufen. heylogin übernimmt den zweiten Faktor für Webzugänge außerhalb der zentralen Anmeldung.
03 · Prozess-Dokumentation & Ablauf
Jede Ausnahme wird ein Vorgang mit Ablaufdatum, jede Regeländerung ein Change mit Spur – festgehalten in Jira Service Management.
Je sensibler der Zugriff, desto stärker die Anmeldung.
Der Zuschnitt folgt Ihrer Ausgangslage und Lizenzsituation – der Kern ist in jedem Projekt derselbe. Sie nutzen andere Tools? Wir prüfen, wie sich unser Konzept am besten bei Ihnen abbilden lässt.
Anmelde-Befund
Abdeckung, Methoden, Ausnahmen und Notfallkonten auf einen Blick: wer geschützt ist, wer nicht – und wo ein Angriff heute durchkäme.
Schutzstufen & Methodenstandard
Rollen und Ressourcen in Schutzstufen eingeteilt; je Stufe die zulässigen Anmeldeverfahren. Für Administratoren und sensible Daten gelten Verfahren, die Phishing standhalten – im Alltag zugleich die schnellste Anmeldung: Fingerabdruck oder Gesicht genügt.
Prozess: Ausnahmen, Notfall, Support
Ausnahmen mit Antrag, Begründung und Ablaufdatum; Notfallkonten außerhalb der übrigen Anmelderegeln eigenständig stark gesichert – etwa Sicherheitsschlüssel im Tresor –, jede Nutzung löst einen Alarm aus, der Zugang wird regelmäßig getestet; Registrierung, Gerätewechsel und Verlust als definierte Supportwege – dokumentiert in Jira Service Management.
Pilot & Umsetzung
Regeln in Entra ID konfiguriert und mit Testgruppen erprobt, dann Rollout in Wellen mit Kommunikation und Support; Abdeckung und Ausnahmen im Blick, bis alle Nutzergruppen erreicht sind.
Fragen vor dem Start.
Ist jede MFA gleich sicher?
Nein. SMS-Codes gibt man auf einer nachgebauten Anmeldeseite ebenso gutgläubig ein wie das Passwort – Angreifer reichen beides in Echtzeit an die echte Anmeldung weiter. Und einfache Push-Bestätigungen lassen sich so oft auslösen, bis jemand entnervt bestätigt. Für Administratoren und andere sensible Rollen lässt sich in Microsoft Entra ID deshalb festlegen, dass nur phishing-resistente Verfahren gelten (Authentifizierungsstärken) – FIDO2-Sicherheitsschlüssel, Passkeys oder Windows Hello for Business. Sie sind an die echte Anmeldeadresse gebunden, auf einer nachgebauten Seite laufen sie ins Leere. Welche Methode wo gilt, legt der Methodenstandard fest.
Wie gehen wir mit verlorenen oder neuen Geräten um?
Als geregelter Supportweg: Identitätsprüfung, dann ein zeitlich begrenzter Zugang über einen Temporären Zugriffspass (Temporary Access Pass), mit dem das neue Gerät registriert wird – festgelegt, bevor der erste Fall eintritt. Das nimmt dem Rollout die größte Reibung: Niemand bleibt ausgesperrt, und der Service Desk entscheidet nach festem Verfahren.
Welche Lizenzen brauchen wir dafür?
Anmelderegeln über bedingten Zugriff (Conditional Access) setzen nach Microsoft-Dokumentation mindestens Microsoft Entra ID P1 voraus – je nach Microsoft-365-Plan bereits enthalten. Risikobasierte Regeln, die etwa auf auffällige Anmeldungen reagieren, brauchen Entra ID P2. Der Stand Ihres Tenants wird vor der Umsetzung geprüft.
Wie weit käme ein Angreifer mit einem gestohlenen Passwort bei Ihnen?
30 Minuten Ausgangslage besprechen: Sie schildern Stand und Schmerzpunkte – etwa Abdeckung, erlaubte Methoden und offene Ausnahmen –, Loptr ordnet ein.
Der passende Einstieg ist manchmal ein anderer.
Die schwächste Stelle liegt oft vor oder hinter der Anmeldung – vier typische Fälle:
Oder der Überblick: alle Lösungen im Bereich Identity- & Access-Management →