NIS2 MFA Pflicht 2026: Warum phishing-resistente Authentifizierung jetzt zählt

Ein Mitarbeiter bestätigt eine Push-Benachrichtigung auf dem Smartphone, ohne den Login-Versuch zu hinterfragen — und ein Angreifer sitzt Sekunden später mit gültiger Session im Firmennetz. Dieses Szenario, bekannt als MFA-Fatigue-Angriff, tauchte laut Verizon Data Breach Investigations Report 2025 in 14 Prozent aller untersuchten Sicherheitsvorfälle als Einfallstor auf. Genau deshalb reicht die klassische Multi-Faktor-Authentifizierung aus SMS-Code oder einfacher Push-Bestätigung unter der NIS2 MFA Pflicht nicht mehr aus, um als Stand der Technik zu gelten. Ist MFA damit für jedes Konto verpflichtend? Ja, aber das Gesetz schreibt kein festes Verfahren vor — dieser Leitfaden zeigt, was § 30 BSIG bei der Identity & Access-Ausstattung konkret verlangt und wie Sie schrittweise auf phishing-resistente Verfahren umstellen.

Was fordert die NIS2 MFA Pflicht nach § 30 BSIG konkret?

§ 30 Abs. 2 BSIG bündelt mehrere Einzelpflichten in einer Liste: Nr. 8 verlangt Konzepte und Prozesse für den Einsatz kryptografischer Verfahren, Nr. 10 separat davon den „Einsatz von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung“ für wichtige und besonders wichtige Einrichtungen. Das NIS2UmsuCG trat am 6. Dezember 2025 ohne Übergangsfrist in Kraft — die Pflicht gilt seither unmittelbar. Auf EU-Ebene konkretisiert Art. 21 Abs. 2 lit. j NIS2-Richtlinie dieselbe Anforderung, für Anbieter digitaler Infrastruktur wird sie durch die Durchführungsverordnung CIR 2024/2690 noch schärfer gefasst: Für privilegierte Konten ist MFA dort keine Option mehr, sondern zwingend vorgeschrieben.

Unternehmen übersehen in der Praxis oft einen Punkt: Das Gesetz schreibt kein bestimmtes Vertrauensniveau vor. Sie müssen selbst per Risikoanalyse festlegen, welches Verfahren zu welcher Kontoklasse passt. Genau hier setzt das BSI mit seiner technischen Richtlinie TR-03188 an und positioniert phishing-resistente Anmeldeverfahren als aktuellen Stand der Technik nach § 30 BSIG. Betroffen sind laut Gesetz „wichtige“ Einrichtungen ab 50 Mitarbeitenden oder 10 Millionen Euro Jahresumsatz sowie „besonders wichtige“ Einrichtungen ab 250 Mitarbeitenden, 50 Millionen Euro Umsatz oder 43 Millionen Euro Bilanzsumme in den regulierten Sektoren. Für Letztere gelten sowohl strengere Nachweispflichten als auch der höhere Bußgeldrahmen.

Warum reicht Standard-MFA nicht mehr aus?

SMS-Codes lassen sich per SIM-Swapping abfangen, TOTP-Apps (zeitbasierte Einmalcodes wie bei Google Authenticator oder Microsoft Authenticator) über gefälschte Login-Seiten abphishen und einfache Push-Bestätigungen durch wiederholte Anfragen erzwingen, bis ein Mitarbeiter aus Versehen oder Erschöpfung zustimmt. Bei einem Adversary-in-the-Middle-Angriff (AiTM) fängt eine Phishing-Proxy-Seite Benutzername, Passwort und den zweiten Faktor in Echtzeit ab und leitet die gültige Session-Cookie direkt an den Angreifer weiter. Ein einfacher Gegenschutz gegen MFA-Fatigue heißt Number Matching: Statt nur „Zulassen“ zu tippen, muss der Nutzer eine am Bildschirm angezeigte Zahl in der App eingeben — reine Reflex-Bestätigungen fallen damit weg, gegen AiTM-Proxys hilft das Verfahren aber weiterhin nicht. Diese Methoden erfüllen zwar formal „zwei Faktoren“, scheitern aber genau an dem Angriffsmuster, das NIS2 eigentlich verhindern soll: kompromittierte Zugänge als Einfallstor für den nächsten Ransomware-Vorfall.

Was macht eine Authentifizierung wirklich phishing-resistent?

Phishing-resistente Verfahren binden die Anmeldung kryptografisch an die tatsächliche Domain des Dienstes, sodass ein auf einer gefälschten Seite abgefangener Login-Versuch beim echten Anbieter nicht funktioniert. FIDO2/WebAuthn-Hardware-Keys und Passkeys erfüllen dieses Kriterium. Die US-Cybersicherheitsbehörde CISA schließt SMS-OTP, Sprachanrufe, E-Mail-Magic-Links und einfache Freigabe-Push-Anfragen explizit aus dieser Kategorie aus.

Vergleich: Welche MFA-Methode hält welchem Angriff stand?

In 5 Schritten zur phishing-resistenten MFA im Unternehmen

• Kontoklassen priorisieren: Beginnen Sie mit Admin- und Domain-Konten — dort ist MFA nach den EU-weiten Vorgaben für Anbieter digitaler Infrastruktur bereits zwingend vorgeschrieben.
• Bestandslösung prüfen: Unterstützt Ihre aktuelle MFA-Plattform FIDO2/Passkeys, oder ist ein Zusatzprodukt nötig?
• Pilotgruppe starten: IT-Administration und Geschäftsführung zuerst umstellen, danach schrittweise ausrollen.
• Fallback-Keys einplanen: Pro Nutzer einen zweiten Hardware-Key als Ersatz bei Verlust hinterlegen, sonst drohen Aussperrungen.
• Restkonten absichern: Für weniger kritische Konten reicht übergangsweise TOTP oder Push mit Number Matching.

Der größte Stolperstein in der Praxis ist selten die Technik, sondern die Enrollment-Phase. Wer Ersatz-Keys erst nach dem ersten Verlustfall organisiert, produziert ungeplante Helpdesk-Tickets und Produktivitätsausfälle. Wer die Registrierung dagegen von Anfang an für zwei Geräte pro Person einplant, spart sich diese Nacharbeit komplett und vermeidet, dass Mitarbeitende sich am ersten Tag der Umstellung selbst aussperren.

WatchGuard AuthPoint als Migrationspfad ohne Tool-Wechsel

Wer bereits WatchGuard AuthPoint aus dem WatchGuard-Portfolio im Einsatz hat, muss für den Umstieg auf phishing-resistente MFA nicht die Plattform wechseln. AuthPoint unterstützt neben Push, TOTP, QR-Code und Hardware-Token-OTP inzwischen auch FIDO2-Passkeys für OIDC- und SAML-Anwendungen — Nutzer bestätigen die Anmeldung dabei per Gerätebiometrie (Face ID, Touch ID, Windows Hello) oder PIN, ohne dass ein erneutes Enrollment nötig wird. Für Konten mit besonders hohem Schutzbedarf, etwa Admin-Zugänge oder Zugriffe auf kritische Systeme, bietet sich zusätzlich ein dedizierter Hardware-Key wie der Swissbit iShield Key 2 FIDO2 an — unabhängig vom Smartphone und ohne Abhängigkeit von Mobilfunknetz oder App-Update.

Ein durchdachter Rollout kombiniert beide Wege: AuthPoint-Passkeys für die breite Belegschaft, dedizierte FIDO2-Hardware-Keys für die Konten, die laut CIR 2024/2690 zwingend abgesichert werden müssen. Wie sich Standard-MFA gegen Credential-Stuffing-Angriffe schlägt und wo ihre Grenzen liegen, zeigt der Vergleich zu passiven MFA-Faktoren im Detail.

Häufige Fragen zu NIS2 und MFA

Ist MFA nach NIS2 für alle Unternehmenskonten verpflichtend?

Direkt verpflichtend ist MFA laut CIR 2024/2690 für privilegierte Konten von Anbietern digitaler Infrastruktur. Für alle übrigen NIS2-betroffenen Einrichtungen verlangt § 30 BSIG eine risikobasierte Entscheidung, welche Kontoklassen welches Schutzniveau benötigen.

Reicht SMS-OTP nach NIS2 noch aus?

SMS-OTP gilt wegen des SIM-Swapping-Risikos nur noch als Übergangslösung. Das BSI positioniert phishing-resistente Verfahren über TR-03188 bereits als Stand der Technik, gegen den sich Unternehmen im Streitfall messen lassen müssen.

Was bedeutet TR-03188 in diesem Zusammenhang?

TR-03188 ist die technische Richtlinie des BSI zu Passkey-Servern. Sie dient als fachliche Orientierung dafür, welche Authentifizierungsverfahren dem aktuellen Stand der Technik nach § 30 BSIG entsprechen.

Ab wann gilt die MFA-Pflicht konkret?

Das NIS2UmsuCG trat am 6. Dezember 2025 ohne Übergangsfrist in Kraft. Die Risikomanagement-Maßnahmen nach § 30 BSIG, einschließlich MFA, gelten seither unmittelbar für alle betroffenen Einrichtungen.

Was droht bei einem Verstoß gegen die MFA-Pflicht?

Bei besonders wichtigen Einrichtungen drohen Bußgelder bis 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, bei wichtigen Einrichtungen bis 7 Millionen Euro oder 1,4 Prozent — je nachdem, welcher Betrag höher ausfällt.

Sind Passkeys dasselbe wie FIDO2-Hardware-Keys?

Beide basieren auf demselben FIDO2/WebAuthn-Standard und derselben kryptografischen Bindung an die Domain. Passkeys speichern den privaten Schlüssel meist im Gerät oder in einer Cloud-Anmeldekette, ein Hardware-Key wie der iShield Key hält ihn dagegen physisch getrennt vom Endgerät — für Admin-Zugänge ohne Abhängigkeit von einem bestimmten Smartphone oder Cloud-Konto oft die robustere Wahl.

Muss jedes Konto sofort umgestellt werden?

Nein. Ein realistischer Zeitplan priorisiert privilegierte und öffentlich erreichbare Konten zuerst und rollt phishing-resistente MFA danach schrittweise auf die restliche Belegschaft aus. Entscheidend ist, dass die Risikoanalyse dokumentiert, warum welche Kontoklasse welches Schutzniveau erhält.

Eine vollständige Übersicht aller NIS2-Pflichtmaßnahmen jenseits der Authentifizierung liefert die NIS2-Compliance-Checkliste für KMU. Unsicher, welches MFA-Verfahren zu Ihrer Kontostruktur passt? Der Produktberater von Cyber Shop ordnet Ihre Anforderungen in wenigen Minuten einem passenden Verfahren zu, oder Sie erreichen das Team direkt über das Kontaktformular.