So funktioniert die Multi-Faktor-Authentifizierung in Microsoft 365: Verfügbare MFA-Methoden, Aktivierung & Einrichtung

Die Multi-Faktor-Authentifizierung ist einer der wirksamsten Schutzmechanismen zur Absicherung von Online-Konten, wie zum Beispiel Microsoft 365. Denn ein einfaches Passwort allein ist heutzutage nur noch so (un)sicher, wie der Haustürschlüssel unter der Fußmatte – bequem, aber für den Business-Kontext völlig unzureichend. Bei der Multi-Faktor-Authentifizierung müssen Cyberkriminelle hingegen noch eine weitere Anmeldehürde überwinden, bevor sie Schaden anrichten können. Diese zusätzliche Anmeldemethode kann ein Hardware-Sicherheitsschlüssel sein, biometrische Merkmale oder der Besitz eines bestimmten Endgeräts, wie zum Beispiel ein dafür registriertes Smartphone. In dieser Büro-Kaizen® Anleitung erfahren Sie einfach und praxisnah erklärt, wie die Multi-Faktor-Authentifizierung funktioniert, welche MFA-Methoden es gibt, welche davon besonders sicher sind und wie man die MFA in Microsoft 365 aktiviert und einrichtet.

1. Definition & Grundlagen: Was ist eine Multi-Faktor-Authentifizierung (MFA)?

Der Begriff „Multi-Faktor-Authentifizierung“ (MFA) bezeichnet ein mehrstufiges Anmeldeverfahren, bei dem die Nutzer ihre Identität nicht mehr nur allein mittels ihres Benutzernamens und Passworts nachweisen (= einstufiges Anmeldeverfahren), sondern zusätzlich auch noch mindestens einen weiteren, davon unabhängigen Authentifizierungsfaktor verwenden müssen. Dieser zweite Faktor kann zum Beispiel ein Einmalcode aus einer Authenticator-App sein, eine Push-Bestätigung auf einem registrierten Smartphone, ein Hardware-Sicherheitsschlüssel oder ein biometrisches Merkmal wie der Fingerabdruck oder eine Gesichtserkennung. Durch diese zusätzliche Absicherung des Anmeldvorgangs wird es für Cyberkriminelle deutlich schwieriger, Nutzerkonten zu übernehmen und dadurch dann Zugriff auf sensible Daten, das Unternehmensnetzwerk oder IT-Systeme zu erhalten. Damit trägt die Multi-Faktor-Authentifizierung maßgeblich dazu bei, Cyberrisiken wie Identitätsdiebstahl, Datendiebstahl und das Aufspielen von Schadsoftware (z. B. Ransomware) zu verhindern.

• Die Zwei-Faktor-Authentifizierung (2FA) ist ein Spezialfall der MFA, bei dem genau zwei Faktoren verlangt werden, während die Multi-Faktor-Authentifizierung mindestens zwei oder noch mehr Faktoren nutzt.
• Passkeys sind eine weitere, moderne Variante der Multi-Faktor-Authentifizierung. Dabei handelt es sich um ein passwortloses Anmeldeverfahren, bei dem die Nutzer sich mit einem registrierten Endgerät anmelden und ihre Identität dann zusätzlich durch einen biometrischen MFA-Faktor bestätigen, wie zum Beispiel einen Fingerabdruck oder eine Gesichtserkennung (alternativ auch eine PIN). Passkeys gelten als besonders sicher, da prinzipiell keine Passwörter mehr gestohlen oder abgefangen werden können (siehe unsere Extra-Tipps unten).
• Tipp: Egal ob 2FA, MFA oder Passkeys, es sollten sicherheitshalber immer mehrere Authentifizierungsfaktoren hinterlegt werden. Denn das stellt sicher, dass man auch dann noch auf sein Konto zugreifen kann, wenn ein zentraler Faktor nicht mehr verfügbar ist, zum Beispiel weil man sein Smartphone verloren oder seine PIN vergessen hat.

Typische Beispiele für die Multi-Faktor-Authentifizierung im Alltag:

1. Debit- oder Kreditkarte: Der Chip in der Bankkarte bestätigt den physischen Besitz und wird mit einer PIN als Wissensfaktor kombiniert. Das Eine ohne das Andere funktioniert nicht.
2. Online-Banking: Die Anmeldung erfolgt klassisch mittels Nutzererkennung und Passwort. Für die Bestätigung der Transaktionen wird in der Regel jedoch ein zusätzlicher MFA-Faktor benötigt, häufig eine mTAN, pushTAN, eine kartenbasierte chipTAN oder HBCI.
3. Steuererklärung: In dem elektronischen Steuerportal ELSTER erfolgt die Anmeldung für die digitale Steuererklärung mittles eines passwortgeschützten Softwarezertifikats als Schlüssel, das lokal auf dem Endgerät abgespeichert wird und nur in Kombination mit dem geheimen Kennwort funktioniert.
4. Cloud- und E-Mail-Anbieter: Hier funktioniert die MFA-Sicherung des Zugangs zu einem Nutzerkonto in der Regel durch eine Kombination aus Passwort in Kombination mit mTAN, Authentificator-App oder auch einem hardwarebasierten U2F/FIDO-Token.

2. Studien & Statistiken: Wie sicher ist die Multi-Faktor-Authentifizierung?

Bei einer klassischen Ein-Faktor-Authentifizierung (1FA) müssen Angreifer lediglich in den Besitz des Passworts kommen (z. B. durch Phishing, Malware und Datenlecks) oder das Passwort knacken (z. B. durch Passwort-Wiederverwendungen/Password-Sprays und Brute Force Angriffe). Dann können sich die Angreifer damit unmittelbar direkt anmelden und sich durch das Netzwerk bewegen. Bei der Multi-Faktor-Authentifizierung wird zusätzlich zu dem Passwort noch eine weitere Anmeldemethode benötigt, was böswillige Kontoübernahmen deutlich erschwert.

• Laut dem Microsoft Digital Defense Report 2025 haben Cyberkriminelle in über 80 % der Fälle kompromittierte Anmelde- und Zugriffsdaten genutzt, um in Unternehmensnetzwerke einzudringen. Dabei wurden die Kennwörter in 97 % der Fälle mittels Password Sprays und Brute Force Angriffen gehackt. Beide Angriffstechniken lassen sich mit einer Multi-Faktor-Authentifizierung wirkungsvoll verhindern.
• Eine Studie von Microsoft Research und der University of Illinois („How Effective is Multi-Factor Authentication at deterring cyberattacks?“, 2023) kam zu dem Ergebnis, dass MFA das Risiko einer Kompromittierung von Microsoft 365-Unternehmenskonten um 99,22 % reduziert – und selbst im Fall von bereits geleakten Zugangsdaten immer noch um 98,56 %. Dabei schnitten Passkeys in Kombination mit biometrischen Merkmalen am besten ab sowie Authenticator-Apps besser als klassische SMS-basierte MFA-Verfahren.
• Dementsprechend blieben während des Untersuchungszeitraums über 99,99 % der mit Multi-Faktor-Authentifizierung geschützten Konten sicher, während im Umkehrschluss 99,9 % der kompromittierten Konten keine Multi-Faktor-Authentifizierung aktiviert hatten, was die Schutzwirkung dieser Maßnahme klar unterstreicht.
• Hinweis: Die Multi-Faktor-Authentifizierung erhöht zwar die Sicherheit erheblich, ist allerdings selbst nicht unüberwindbar. Mittels ausgeklügelten Angriffsmethoden können zum Beispiel Sitzungstokens gestohlen (Session Hijacking) oder MFA-Codes per Phishing abgegriffen werden. Daher ist ein ausreichender Geräteschutz sowie eine Sensibilisierung der Beschäftigten für mögliche Cyberrisiken ebenfalls essenziell.

3. Ablauf einer Multi-Faktor-Authentifizierung (MFA) am Beispiel Microsoft 365

Ein MFA-Anmeldeprozess besteht in der Regel aus folgenden Schritten: Authentisierung → Authentifizierung → Autorisierung.

1. Authentisierung/Benutzeranmeldung: Bei der ersten Authentisierung weist sich der Benutzer gegenüber dem System aus, zum Beispiel durch die Eingabe eines Passworts oder Fingerabdrucks.
2. Authentifizierungsaufforderung: Wenn diese erste Anmeldung erfolgreich war, fordert das System einen zweiten und optional auch noch einen dritten Authentifizierungsfaktor aus unterschiedlichen Kategorien an und verifiziert diese Angaben.
3. Autorisierung: Nach erfolgreicher Überprüfung aller MFA-Authentifizierungsfaktoren prüft das System die Berechtigungen des Nutzers und gewährt ihm einen entsprechenden Zugriff auf die für ihn freigegebenen Anwendung, Daten und Funktionen.

Beispiel 1: Typischer Ablauf einer Multi-Faktor-Authentifizierung in Microsoft 365 mittels Passwort + Microsoft Authenticator-App

Die Kombination aus Wissensfaktor (Nutzername + Passwort) und Besitzfaktor (registriertes Smartphone mit Microsoft Authenticator-App) ist die am häufigsten verwendete MFA-Variante in Unternehmen. Durch die zusätzliche Anmeldestufe bleibt das Konto selbst dann geschützt, wenn das Passwort entwendet wird.

• Schritt 1: Öffnen einer Microsoft 365-Anwendung (z. B. SharePoint, Teams oder das Microsoft-365-Portal).
• Schritt 2: Eingabe des Benutzernamens bzw. der E-Mail-Adresse und des Passworts (= erster Authentisierungsfaktor).
• Schritt 3: Microsoft Entra ID überprüft die Anmeldedaten. Ist die Eingabe korrekt, wird der zweite Faktor angefordert. Dafür wird mittels der Microsoft-Authenticator-App eine Push-Benachrichtigung auf das dazugehörige registrierte Smartphone gesendet, oder alternativ in der App ein zeitlich befristeter Einmalcode erzeugt (TOTP).
• Schritt 4: Die Nutzerperson öffnet die Benachrichtigung auf ihrem Smartphone und bestätigt die MFA-Anmeldung, bzw. überträgt den dort angezeigten Einmalcode in das Microsoft 365-Anmeldefenster (= zweiter Authentisierungsfaktor).
• Schritt 5: Microsoft prüft die Bestätigung auf dem registrierten Gerät bzw. den eingegebenen Einmalcode, schließt die Anmeldung ab und gewährt der Person Zugriff auf die für sie freigegebenen Anwendungen, Daten und Dienste in deren Microsoft 365-Umgebung.

Beispiel 2: Ablauf einer Multi-Faktor-Authentifizierung in Microsoft 365 mittels Passkey

Bei der Multi-Faktor-Authentifizierung in Microsoft 365 mit einem passwortlosen Passkey entfällt der erste Authentisierungsschritt, also die Anmeldung mit einem klassischen Passwort. Stattdessen wird der Besitz eines Geräts oder Sicherheitsschlüssels mit einem biometrischen Merkmal oder einer PIN kombiniert, so dass der Nutzer nur noch einen einzigen Anmeldeschritt wahrnimmt. Das macht die Multi-Faktor-Authentifizierung mittels Passkey in Microsoft 365 nicht nur sicherer, sondern zugleich auch komfortabler.

• Schritt 1: Öffnen einer Microsoft 365-Anwendung (z. B. SharePoint, Teams oder das Microsoft-365-Portal).
• Schritt 2: Eingabe des Benutzernamens bzw. der E-Mail-Adresse, allerdings ohne Passwort. Microsoft erkennt daraufhin den für dieses Konto hinterlegten Passkey und fordert zu dessen Verwendung auf.
• Schritt 3: Der Benutzer nimmt das für diesen Passkey registrierte Gerät, zum Beispiel ein Smartphone, Tablet, Notebook oder Sicherheitsschlüssel (= Besitzfaktor) und entsperrt es per Fingerabdruck, Gesichtserkennung oder Geräte-PIN (= biometrischer Faktor bzw. Wissensfaktor).
• Schritt 4: Der Passkey auf dem Gerät bestätigt gegenüber Microsoft 365 die Identität des Benutzers, ohne dass dafür ein Passwort übertragen werden muss. Daraufhin erhält der Benutzer Zugang zu den für ihn freigegebenen Daten, Anwendungen und Diensten in Microsoft 365.

4. Anleitung: Multi-Faktor-Authentifizierung in Microsoft 365 aktivieren und zweiten MFA-Faktor einrichten

Anleitung 1: Die Multi-Faktor-Authentifizierung im Microsoft 365-Tenant aktivieren (Admin-Center)

1. Melden Sie sich im Microsoft 365 Admin Center an. Hierfür benötigen Sie die Rolle eines Globalen Administrators oder eines Sicherheitsadministrators.
2. Öffnen Sie das → Microsoft Entra Admin Center und klicken Sie auf → Entra ID (Identität) → Übersicht und → Eigenschaften.
3. Scrollen Sie zum Abschnitt „Sicherheitsstandards“ (Security Defaults), wählen Sie → Sicherheitsstandards verwalten aus, aktivieren Sie die Sicherheitsstandards und speichern Sie die Änderungen. Dadurch wird die Multi-Faktor-Authentifizierung für alle Benutzer des Microsoft-365-Tenants erzwungen.
4. Die Benutzer des Microsoft-365-Tenants werden daraufhin bei ihrer nächsten Anmeldung aufgefordert, mindestens eine zweite Authentifizierungsmethode zu registrieren.

Tipp 1: Wenn Sie die MFA für einzelne Benutzer aktivieren oder gesondert verwalten wollen, klicken Sie im Microsoft Entra Admin Center auf → Identität → Benutzer → Alle Benutzer und → Per-user MFA. Markieren Sie anschließend den gewünschten Benutzer und wählen Sie → MFA aktivieren (Enable MFA) aus.

Tipp 2: Im Microsoft Entra Admin Center können Sie unter → Schutz und → Authentifizierungsmethoden zudem auch noch festlegen, welche Authentifizierungsverfahren in Ihrem Unternehmen zugelassen und welche deaktiviert werden sollen. Aus den dort zugelassenen MFA-Verfahren können sich die einzelnen Nutzer dann jeweils individuell ihre bevorzugten Methoden auswählen (z. B. die Microsoft Authenticator App, FIDO2-Sicherheitsschlüssel, Passkeys etc.). Microsoft selbst empfiehlt als Standardverfahren die Microsoft Authenticator App und für besonders hohe Sicherheitsanforderungen (z. B. Admin-Konten) Passkeys.

Anleitung 2: So richten einzelne Nutzer die Multifaktor-Authentifizierung in Microsoft 365 für sich ein

Sobald ein Administrator die Multi-Faktor-Authentifizierung für Microsoft 365 bzw. Office 365 aktiviert hat, werden die einzelnen Nutzer bei ihrer nächsten Anmeldung in Microsoft 365 automatisch dazu aufgefordert, mindestens eine zweite Anmeldemethode einzurichten und zu registrieren. In den meisten Unternehmen ist dies standardmäßig die Microsoft Authenticator App. Das Einrichten der MFA mittels Authenticator-App funktioniert dann wie folgt.

• Melden Sie sich mit Ihrem Arbeitsrechner in dem Microsoft 365 Portal → Office.com wie gewohnt mit Ihrem Geschäfts-, Schul- oder Microsoft-Konto an.
• Nach der Eingabe Ihres Passworts wird Ihnen die Meldung → „Weitere Informationen erforderlich“ angezeigt. Klicken Sie auf → Weiter und wählen Sie als Anmeldemethode die → Microsoft Authenticator App aus.
• Installieren Sie die Microsoft Authenticator App auf Ihrem Smartphone (den kostenlosen Download finden Sie hier → im Google Play Store oder hier → im Apple App Store).
• Öffnen Sie die Authenticator-App, wählen Sie → Geschäfts-, Schul- oder Uni-Konto hinzufügen aus und scannen Sie mit dem Mobilgerät den QR-Code, der Ihnen auf dem Bildschirm Ihres Arbeitsrechners angezeigt wird.
• Microsoft sendet daraufhin eine Testnachricht an die Authenticator-App. Bestätigen Sie diese auf Ihrem Smartphone, um den Registrierungsprozess abzuschließen.

Ergebnis: Bei der zukünftigen MFA-Anmeldung in Microsoft 365 müssen Sie nach der üblichen Eingabe des Benutzernamens (E-Mail-Adresse) und des Passworts zusätzlich noch die Benachrichtigung in der Microsoft Authenticator App bestätigen, um Zugriff auf Ihre Microsoft 365-Inhalte und Anwendungen zu erhalten.

Tipp: Hinterlegen Sie am besten gleich mehrere verschiedene Authentifizierungsmethoden für Ihre MFA-Anmeldung. So können Sie auch dann weiterhin auf Ihr Microsoft 365-Konto zugreifen, wenn Sie Ihr Smartphone verlieren, es beschädigt wird oder Sie die Authenticator-App neu einrichten müssen.

Anleitung 3: Die Multifaktor-Authentifizierung nachträglich im Microsoft 365-Konto ändern und einrichten

Alle Microsoft-365-Benutzer können ihre ausgewählten MFA-Anmeldemethoden sowie registrierten Authentifizierungsfaktoren und Hardware-Devices jederzeit selbst verwalten und Änderungen daran vornehmen. Dies ist zum Beispiel nötig, wenn ein Smartphone verloren geht, die Mobilfunknummer gewechselt wurde oder eine zusätzliche Anmeldemethode eingerichtet werden soll (z. B. ein passwortloser Passkey).

1. Öffnen Sie dafür die Seite „Meine Anmeldungen“ auf → https://mysignins.microsoft.com/security-info und melden Sie sich wie gewohnt mit Ihrem Geschäfts-, Schul- oder Uni-Konto an.
2. Auf der Seite → Sicherheitsinformationen werden Ihnen alle derzeit für Sie registrierten Anmeldemethoden angezeigt. Mit einem Klick auf → Ändern können Sie eine bestehende Authentifizierungsmethode bearbeiten, aktualisieren oder entfernen (z. B. bei einem Wechsel des Geräts oder der Telefonnummer).
3. Mit einem Klick auf → + Anmeldemethode hinzufügen können Sie weitere Authentifizierungsverfahren einrichten und registrieren.
4. Speichern Sie anschließend Ihre Eingaben und Änderungen, um die Einrichtung der neuen Authentifizierungsmethode abzuschließen.

Tipp: Hinterlegen Sie nach Möglichkeit „mehrere zweite MFA-Faktoren“, um auch dann noch auf Ihr Konto zugreifen zu können, wenn ein Faktor nicht mehr verfügbar ist, weil er zum Beispiel kaputt gegangen ist oder verloren wurde.

5. Extra-Tipps rund um Passwort-Manager, MFA-Authenticator-App & Passwort vergessen

Passwort-Manager helfen beim Verwalten der vielen Kennwörter, die heutzutage online allerorten benötigt werden. Aber wie sicher sind diese Kennwortverwaltungsprogramme überhaupt? Wie funktioniert im Gegensatz dazu die passwortfreie 2-Faktor-Authentifizierung mit der Microsoft Authenticator-App? Und was kann man tun, wenn man sein Outlook-Passwort ganz vergessen hat? Die Antworten zu diesen und vielen weiteren Fragen finden Sie in unseren folgenden Beiträgen.

→ Die neue Microsoft Authenticator-App: Für eine passwortlose, sicherere und bequemere Multi-Faktor-Authentifizierung in Microsoft 365.
→ Wie sicher sind Passwort-Manager? Und welche Apps sind die Testsieger in den großen Vergleichen?
→ Outlook-Passwort vergessen? Anleitung für das Passwort zurücksetzen – auch ohne hinterlegter E-Mail-Adresse oder Telefonnummer.
→ Büro-Kaizen® Video-Tutorial: „Nie mehr ein Passwort vergessen – 3 Lösungen im Überblick!“
→ Kostenloses Büro-Kaizen® eBook: „E-Mail-Challenge – Wie Sie jeden Tag mühelos Ihren Posteingang leer bekommen“ (als Gratis-Download).