WatchGuard AuthPoint vs Microsoft Authenticator: MFA-Kaufentscheidung fürs KMU

Ein Mitarbeiter tippt sein Passwort in eine gefälschte Login-Seite – ohne zweiten Faktor steht der Angreifer damit direkt im VPN oder im Mail-Postfach. WatchGuard AuthPoint vs Microsoft Authenticator ist deshalb keine akademische Frage, sondern eine, die sich jedes KMU bei der MFA-Einführung stellt. Viele IT-Teams greifen zuerst zu Microsoft Authenticator, weil die App in jedem Microsoft-365-Plan bereits enthalten ist. Das Problem: Sobald ein VPN, ein RADIUS-Login oder eine Nicht-Microsoft-Anwendung abgesichert werden soll, stößt die kostenlose App an ihre Grenzen. Dieser Vergleich zeigt, wo Multi-Faktor-Authentifizierung mit Microsoft Authenticator ausreicht – und wann sich eine dedizierte Lösung auszahlt.

Warum „wir haben doch schon MFA“ oft nicht reicht

Microsoft Authenticator schützt zuverlässig den Login in Microsoft Entra ID und damit Microsoft 365, Teams und Outlook. Für granulare Richtlinien – etwa risikobasierte Anmeldungen oder Zugriffsbeschränkungen nach Standort und Gerätezustand, bei Microsoft als Conditional Access bezeichnet – ist in der Regel Microsoft Entra ID Premium P1 nötig, ein separat lizenziertes Add-on. Außerhalb des Microsoft-Ökosystems wird es dünn: VPN-Gateways, Netzwerkgeräte sowie RADIUS- und SAML-Anwendungen (die Standardprotokolle, über die Netzwerkzugänge bzw. Web-Dienste Drittanbieter Logins prüfen) lassen sich mit der Gratis-App meist nicht zentral absichern.

Genau hier setzt der Unterschied an. Ein KMU mit reinem Microsoft-365-Stack kommt oft weit mit der Bordlösung. Ein Unternehmen mit VPN-Zugriff, Fernwartungstools und gemischter Systemlandschaft braucht eine MFA-Plattform, die über den eigenen Login-Bildschirm hinausreicht.

MFA-Pflicht durch NIS2: Warum die Entscheidung jetzt ansteht

Die NIS2-Richtlinie verlangt von betroffenen Unternehmen angemessene technische Maßnahmen zur Zugriffskontrolle – Multi-Faktor-Authentifizierung gilt dabei branchenübergreifend als Mindeststandard, nicht als Kür. Wer bislang nur einzelne Microsoft-365-Konten mit MFA abgesichert hat, deckt damit oft nur einen Teil der eigentlich schützenswerten Zugänge ab: VPN-Einwahl, Admin-Zugriffe auf Netzwerkgeräte oder Fernwartungssoftware bleiben in vielen Umgebungen außen vor.

Das macht die Entscheidung zwischen Gratis-App und dedizierter Plattform zu mehr als einer reinen Kostenfrage. Wer im Rahmen der NIS2-Umsetzung ohnehin alle kritischen Zugänge inventarisiert, sollte direkt klären, welche Systeme sich mit welcher Lösung überhaupt zentral absichern lassen.

Wann lohnt sich WatchGuard AuthPoint statt Microsoft Authenticator?

AuthPoint lohnt sich, sobald mehr als reine Microsoft-Logins geschützt werden müssen: VPN-Zugänge, RADIUS- oder SAML-Anwendungen sowie Fremdsysteme ohne native Microsoft-Anbindung. Auch wer zentrale Richtlinien für mehrere Standorte oder Mandanten braucht, ohne dafür Microsoft Entra ID Premium zu lizenzieren, ist mit AuthPoint besser bedient als mit der Gratis-App allein.

WatchGuard AuthPoint vs Microsoft Authenticator im Vergleich

Wer nur Microsoft-Dienste absichern muss, ist mit der Gratis-App gut bedient. Sobald Netzwerkzugriffe, Fremdsysteme oder zentrale Multi-Standort-Verwaltung dazukommen, zeigt sich der Mehrwert einer dedizierten MFA-Lösung wie AuthPoint. Das komplette Sortiment des Herstellers findet sich im WatchGuard-Bereich von Cyber Shop.

Mobile Device DNA: Schutz vor Phone-Cloning und SIM-Swapping

Bei einem SIM-Swapping-Angriff überredet oder täuscht ein Angreifer den Mobilfunkanbieter, die Rufnummer des Opfers auf eine eigene SIM-Karte zu portieren – danach landen SMS-Codes und teils auch App-Sessions beim Angreifer statt beim rechtmäßigen Nutzer. Die patentierte Mobile Device DNA von AuthPoint setzt genau hier an: Die App erstellt einen eindeutigen Fingerabdruck des Smartphones, auf dem sie installiert ist. Versucht jemand, die App oder ihre Zugangsdaten auf ein anderes Gerät zu übertragen, erkennt AuthPoint die Abweichung und verweigert die Authentifizierung – ein Schutzmechanismus, den die Microsoft-App in dieser Form nicht bietet.

AuthPoint bietet außerdem push-basierte Freigabe, QR-Code-Scans und zeitbasierte Einmalpasswörter (TOTP) als Authentifizierungsmethoden; Nutzer wählen je nach Anwendungsfall die passende Variante.

Rollout im Vergleich: App-Verteilung vs. zentrale Cloud-Verwaltung

Beim Rollout unterscheiden sich beide Lösungen vor allem in der Verwaltung, weniger im Ersteinrichtungs-Aufwand. IT-Admins rollen Microsoft Authenticator über das Entra-Admin-Center aus; Richtlinien lassen sich pro Nutzer oder Gruppe setzen, bleiben aber an das Microsoft-Lizenzmodell gebunden. AuthPoint verwalten Admins zentral über WatchGuard Cloud – ein Portal, das Nutzer, Integrationen und Richtlinien auch über mehrere Standorte oder mehrere Kundenmandanten hinweg gleichzeitig steuert.

Für IT-Dienstleister, die MFA für mehrere Firmenkunden betreuen, macht das einen spürbaren Unterschied: Statt sich durch mehrere getrennte Entra-Tenants zu klicken, öffnen sie eine einzige Konsole und sehen Status, offene Freigaben und Richtlinien aller Mandanten auf einen Blick. Ein KMU mit nur einem Standort merkt davon im Alltag wenig – hier zählt eher, welche Systeme sich überhaupt anbinden lassen.

Der eigentliche Rollout läuft bei beiden Lösungen ähnlich ab: App auf dem Smartphone installieren, per QR-Code mit dem Nutzerkonto verknüpfen, Authentifizierungsmethode wählen. Der Unterschied zeigt sich erst danach – in der Reichweite der abgesicherten Systeme und in der Tiefe der verfügbaren Richtlinien.

Hardware-Alternative: Physische Security-Keys als Ergänzung

Für besonders schützenswerte Konten – etwa Domain-Admins oder Geschäftsführung – lohnt sich zusätzlich ein physischer FIDO2-Sicherheitsschlüssel statt oder neben der App-basierten MFA. Anders als ein Smartphone kann ein FIDO2-Security-Key wie der Swissbit iShield Key 2 nicht per Phishing-Link zur Freigabe verleitet werden, da die Kryptografie an die tatsächliche Domain gebunden ist. Für Standardnutzer bleibt die App-basierte Lösung meist der praktikablere Weg.

Häufige Fragen zu WatchGuard AuthPoint und Microsoft Authenticator

Ist Microsoft Authenticator kostenlos nutzbar?

Ja, die App ist in jedem Microsoft-365-Plan ohne Aufpreis enthalten und deckt MFA für Microsoft Entra ID und die M365-Dienste ab. Granulare Richtlinien (Conditional Access) erfordern jedoch meist ein separates Entra-ID-Premium-Lizenzpaket.

Was kostet WatchGuard AuthPoint?

AuthPoint wird als separate Lizenz pro Nutzer berechnet, Richtwert ca. 30 € netto. Der genaue Preis und das Abrechnungsmodell hängen von Nutzerzahl und Vertragslaufzeit ab und sollten beim Hersteller bzw. im Angebot geprüft werden.

Funktioniert AuthPoint auch für Nicht-Microsoft-Anwendungen?

Ja, AuthPoint bringt über 100 vorkonfigurierte Integrationen für VPNs, RADIUS- und SAML-Anwendungen sowie Cloud-Dienste mit und lässt sich damit unabhängig vom Microsoft-Ökosystem einsetzen.

Was ist Mobile Device DNA?

Der patentierte Geräte-Fingerabdruck, der Phone-Cloning und SIM-Swapping-Angriffe erkennt, bevor die geklonte App oder Sitzung Zugriff erhält.

Brauche ich Entra ID Premium für Conditional Access?

Für die meisten granularen Zugriffsrichtlinien in Microsoft Entra ID ist laut Microsoft-Dokumentation Premium P1 oder höher nötig. AuthPoint bringt vergleichbare Richtlinienfunktionen ohne dieses Zusatzlizenzmodell mit.

Kann ich AuthPoint und Microsoft Authenticator parallel nutzen?

Ja. Viele KMU sichern Microsoft-365-Logins weiterhin über Microsoft-eigene Mechanismen ab und setzen AuthPoint gezielt dort ein, wo VPN, Netzwerkgeräte oder Fremdsysteme zusätzlichen Schutz brauchen.

Unsicher, welches MFA-Modell zur eigenen Systemlandschaft passt? Der Produktberater von Cyber Shop hilft bei der Einordnung – auch mit Blick auf die NIS2-Anforderungen an Zugriffskontrollen, die MFA für viele Unternehmen ohnehin zur Pflicht machen.