Mehrfaktorauthentifizierung, auch Zwei-Faktor-Authentifizierung oder MFA genannt, ist die Anmeldung mit etwas, das Sie wissen (ein Passwort) und etwas, das Sie haben (ein Code auf Ihrem Telefon, ein Schlüssel oder eine App). Für Installationsbetriebe, die unter die NIS2-Sorgfaltspflicht fallen, oder die als Lieferant einen Sicherheitsfragebogen erhalten, ist dies eine der am häufigsten gestellten Fragen: muss das überall sein, oder nur an bestimmten Stellen?
Die kurze Antwort: Die Sorgfaltspflicht schreibt keine Technologie vor, sondern verlangt Maßnahmen, die zum Risiko passen. Für Systeme, die ferngesteuert erreichbar sind, wie E-Mail, Ihr ERP-System, die VPN-Verbindung oder das Verwaltungspanel Ihrer Planungs- und Abrechnungssoftware, wird Mehrfaktorauthentifizierung üblicherweise als Grundmaßnahme angesehen. Für den Zugriff auf ein Gebäude, einen Schlüsselkasten oder ein System bei einem Kunden vor Ort ist das differenzierter, und darin liegt für viele Installationsbetriebe die praktische Frage.
Wo Mehrfaktorauthentifizierung normalerweise erwartet wird
Die Logik ist einfach: je weiter ein System von Ihrem eigenen Büro entfernt ist, und je empfindlicher die dahinter liegenden Daten sind, desto stärker sollte der Schutz sein, der dazu passt. Ein Monteur, der sich von seinem Telefon aus im Unternehmmensnetzwerk anmeldet, ein Büromitarbeiter, der von zu Hause aus die Verwaltung erreicht, oder ein Vorgesetzter, der die Planung ferngesteuert einsehen kann: das sind allesamt Punkte, wo ein Passwort allein anfällig für Phishing oder Wiederverwendung geleakter Anmeldedaten ist. Mehrfaktorauthentifizierung macht es so, dass ein gestohlenes Passwort allein nicht ausreicht, um einzudringen.
Dasselbe gilt für Konten mit erweiterten Rechten: der Netzwerkadministrator, der Eigentümer der Cloud-Umgebung, oder derjenige, der Rechnungen genehmigen kann. Gerade diese Konten sind für einen Angreifer am wertvollsten, und gerade dort wird in einem Sicherheitsfragebogen eines Auftraggebers oft zuerst nachgefragt. Wer mehr darüber erfahren möchte, was genau darin zurückkommt, findet dies auf der Seite über die Themen, die pro Branche ausgearbeitet sind.
Wo es differenzierter ist: Systeme bei Kunden vor Ort
Installationsbetriebe arbeiten oft vor Ort: bei einem Kunden zu Hause, in einem Unternehmensobjekt oder auf einer Baustelle. Dabei entstehen Situationen, die nicht eins-zu-eins mit Büroarbeit vergleichbar sind. Ein Monteur, der sich auf einem Gebäudeleitsystem des Kunden anmelden muss, nutzt oft Anmeldedaten, die der Kunde selbst verwaltet und nicht die des eigenen Unternehmens. Die Frage, wer dort Mehrfaktorauthentifizierung regelt und wer darauf achtet, liegt dann in erster Linie beim Eigentümer dieses Systems, nicht beim Installationsbetrieb, der dort vorübergehend Zugriff hat.
Auch gemeinsam genutzte Geräte in einem Betriebsfahrzeug, wie ein Tablet, das von mehreren Monteuren benutzt wird, ist ein praktischer Fall, bei dem eine strenge MFA-Anforderung mit der Praktikabilität auf der Straße kollidieren kann. Das bedeutet nicht, dass Sicherheit dort entfällt, sondern dass die Ausgestaltung anders sein kann: zum Beispiel eine kurze Sitzungsdauer, ein separates Konto pro Monteur statt eines gemeinsamen Kontos, oder Zugriff, der nach der Arbeit automatisch erlischt. Aufsichtsbehörden und Auftraggeber achten dabei vor allem darauf, ob eine bewusste Abwägung getroffen wurde, nicht darauf, ob überall die exakt gleiche technische Lösung angewendet wird.
Die Unterscheidung zwischen physischen Schlüsseln und Gebäudezugang einerseits und digitalem Zugriff auf Systeme andererseits ist auch etwas, zu dem Installationsbetriebe oft Fragen bekommen. Wer dieses Thema umfassender untersuchen möchte, findet eine Ausarbeitung darüber, wer wo Zugriff haben darf, auf der Seite über Zugriffskontrolle im Handwerk.
Was dies für das Gespräch mit einem Auftraggeber bedeutet
Eine Sicherheitsablage stellt oft eine einfache Ja/Nein-Frage zur Multi-Faktor-Authentifizierung, während die Praxis differenzierter ist. Es hilft, pro System zeigen zu können, wo mehrfache Authentifizierung eingesetzt wird, warum diese Wahl getroffen wurde, und wie mit Ausnahmen umgegangen wird. Genau da bietet ein lebendes Dossier Mehrwert: nicht nur ein Häkchen bei einer Maßnahme, sondern ein Beweisdokument und ein Verantwortlicher pro System, sodass die Antwort auf die Ablage korrekt und begründet ist.
Ob Ihr Unternehmen unter die Sorgfaltspflicht fällt, über die Lieferkette betroffen ist oder keines von beiden, lässt sich mit wenigen Fragen einsehen über die kostenlose Überprüfung, die Ihre Situation kartografiert. Wer genau wissen möchte, wie secria.eu zu seinen Informationen kommt und welche Quellen verwendet werden, findet dies erläutert auf der Seite über die Funktionsweise der Plattform. Und für konkrete Fragen darüber, was unter die Sorgfaltspflicht fällt und was nicht, gibt es eine Übersicht mit Antworten auf Fragen, die Installationsbetriebe häufig stellen.
Multi-Faktor-Authentifizierung ist kein Selbstzweck, sondern eine der Bausteine in einem Dossier, das zeigt, dass der Zugriff auf Systeme durchdacht geregelt ist. Für die Situation Ihres eigenen Unternehmens mit seinen eigenen Systemen und Arbeitsweise vor Ort bleibt eine eigene Abwägung erforderlich; die Wissensdatenbank und die Quick-Scan helfen, diese Abwägung mit den richtigen Informationen zu treffen.