Ist Mehrfaktor-Authentifizierung (MFA) für einen IKT-Dienstleister erforderlich? Eine kurze Antwort gibt es nicht, und genau das ist der Grund, warum diese Frage bei Aufsichtsbehörden, Auftraggeber und in Sicherheitsfragebögen immer wieder auftaucht. Die NIS2-Richtlinie nennt Multifaktor-Authentifizierung oder kontinuierliche Authentifizierung ausdrücklich als Beispiel einer Maßnahme, die zur Sorgfaltspflicht gehört, schreibt aber nicht vor, auf welchem System, für wen und zu welchem Zeitpunkt dies erfolgen muss. Diese Ausgestaltung liegt bei der Organisation selbst, und das macht das Thema schwieriger als ein einfaches Ja oder Nein.
Was eindeutig ist: Sobald ein Konto Fernzugriff auf Systeme, Daten oder Infrastruktur eines Kunden gewährt, erwarten Aufsichtsbehörden und Auftraggeber mehr als nur ein Passwort. Dies gilt für eigenes Personal, für Subunternehmer und für vorübergehenden Zugriff, der nach einem Projekt wieder widerrufen wird. Wo diese Erwartung weniger stark ist, ist der interne, risikoarme Zugriff, der von außen nicht erreichbar ist. Dort verläuft die Grenze, die dieser Artikel weiter ausarbeitet.
Warum MFA in fast jedem Fragebogen auftaucht
Als IKT-Dienstleister sind Sie oft die Partei, die sich für einen Kunden ferngesteuert anmeldet, Updates durchführt oder Störungen behebt. Genau dieser Zugangsweg ist für einen Angreifer attraktiv: Ein gestohlenes Passwort kann dann Zugriff auf mehrere Kundenumgebungen gleichzeitig geben. Auftraggeber, die selbst der Sorgfaltspflicht unterliegen, müssen ihre Lieferanten bewerten, und Mehrfaktor-Authentifizierung beim Fernzugriff ist dabei eines der ersten Dinge, die gefragt werden. Wer hier keine Antwort hat, bemerkt, dass Fragebögen länger dauern oder dass ein Vertrag in Schwebe gerät.
können Sie in wenigen Fragen sehen, ob Ihre Organisation über die Lieferkette betroffen ist gibt einen ersten Hinweis darauf, wie stark solche Anforderungen bei Ihnen wirken können. Für einen KMU-Dienstleister, der für mehrere pflichtgebundene Kunden arbeitet, ist die Wahrscheinlichkeit groß, dass dieselbe Frage immer wieder auftaucht, nur in etwas anderen Formulierungen.
Wo MFA strukturell erwartet wird
Drei Zugriffswege treten in der Praxis am häufigsten als Ort auf, an dem Mehrfaktor-Authentifizierung stehen sollte. Erstens Fernverwaltung: jede Verbindung, mit der ein Administrator von außerhalb des Netzwerks auf ein System zugreifen kann, einschließlich VPN-Zugriff und Remote-Desktop-Verbindungen. Zweitens Zugriff auf Kundensysteme: Konten, die speziell dafür angelegt wurden, sich bei einem Auftraggeber anzumelden, besonders wenn dieser Zugriff Administratorrechte gewährt. Drittens Subunternehmer und externe Parteien, die in Ihrem Namen bei einem Kunden arbeiten; ihr Zugriff fällt unter dieselbe Erwartung, auch wenn der Subunternehmer selbst nicht direkt im Fragebogen aufgeführt ist.
Bei diesen drei Kategorien ist das Muster jedes Mal dasselbe: Je weiter der Zugriff vom eigenen, physisch isolierten Netzwerk entfernt ist, desto stärker ist die Erwartung, dass ein zweiter Verifizierungsschritt vorhanden ist.
Wo die Diskussion noch offen liegt
Innerhalb eines eigenen Büronetzwerks, für ein Konto, das nur lokal und ohne externe Verbindung funktioniert, ist die Notwendigkeit von MFA weniger eindeutig. Das bedeutet nicht, dass es unwichtig ist, sondern dass die Abwägung dort mehr über Risiko und Verhältnismäßigkeit geht als über eine strikte Norm. Dieselbe Nuance gilt für gemeinsam genutzte funktionale Konten, die nicht an eine Einzelperson gebunden sind: Diese erfordern eine andere Lösung als einen zweiten Schritt pro Person, beispielsweise durch Abschaffung des Kontos zugunsten persönlicher Anmeldedaten.
Dies ist die Kategorie, mit der Organisationen am häufigsten ringen, wenn ein Sicherheitsfragebogen eingeht: nicht die eindeutigen Fälle, sondern die Systeme, die irgendwo dazwischen liegen. die Erklärung pro Situation durchlesen hilft dabei zu sehen, in welche Kategorie ein bestimmtes System wahrscheinlich fällt, ohne dass Sie dafür zunächst die gesamte Richtlinie lesen müssen.
Was dies für Ihr eigenes Dossier bedeutet
Für die Gewährleistungspflicht zählt nicht nur, ob MFA eingerichtet ist, sondern auch, ob dies nachweisbar ist: wer hat die Entscheidung getroffen, auf welchen Systemen ist es aktiviert, und welcher Status liegt für die Systeme vor, auf denen es noch fehlt. Dies ist genau die Art der Dokumentation, die ein lebendiges Dossier statt einer einmaligen Maßnahme erfordert. Im Zweifelsfall darüber, wie streng ein bestimmter Zugriff bewertet werden muss, bleibt die Aufsichtsbehörde oder ein Jurist die geeignete Partei, um dies für Ihre Situation zu beurteilen; diese Erklärung soll die Frage präzisieren, nicht sie ersetzen.
Neugierig, wie dieses Thema in Ihr eigenes Dossier passt? lesen Sie, woher die Informationen auf secria.eu stammen zeigt, wie wir Quellen verwalten, und die kostenlose NIS2-Prüfung vermittelt in wenigen Minuten einen ersten Eindruck davon, wo Sie stehen.