Top 11 Multi-Faktor-Authentifizierungslösungen (MFA)
Multi-Faktor-Authentifizierung stellt sicher, dass nur autorisierte Benutzer auf Konten, sensible Informationen oder Apps zugreifen können. Basierend auf Produktschwerpunkten, Funktionen und Benutzererfahrungen auf Bewertungsplattformen finden Sie hier die führenden MFA-Lösungen:
Am besten für Unternehmen geeignet
Am besten für Einzelpersonen und KMU geeignet
Marktpräsenz
MFA-Anpassungsfunktionen
Lösungen mit:
- MFA für VPNs: Bietet MFA-Abdeckung für VPN-Verbindungen zu organisatorischen Netzwerkressourcen.
- Offline-MFA: Ermöglicht MFA für Offline-Anmeldungen.
Alle Lösungen in dieser Liste unterstützen die FIDO2-Authentifizierung, einen offenen Authentifizierungsstandard, der Public-Key-Kryptografie verwendet, um phishing-resistente passwortlose Authentifizierung zu ermöglichen. Auf FIDO2 basierende Faktoren sind von Natur aus resistent gegen Phishing und Man-in-the-Middle-Angriffe (MITM), anders als SMS-OTPs, die anfällig für SIM-Swapping und Abfangen bleiben.
Die 11 besten MFA-Lösungen im Test
One Identity
One Identity bietet MFA über zwei sich ergänzende Produkte: OneLogin MFA für Workforce- und Customer Identity sowie One Identity Defender für lokale und hybride Active Directory-Umgebungen. Beide sind in eine breitere Identitätsplattform eingebettet, die auch PAM (Safeguard) und Identity Governance (Identity Manager) abdeckt.
OneLogin MFA unterstützt OTP, SMS, E‑Mail, Biometrie, Push-Benachrichtigungen und Hardware-Token. SmartFactor Authentication nutzt die One Identity Vigilance KI Threat Engine, um das Risiko zu bewerten und Authentifizierungsanforderungen dynamisch anzuwenden, wodurch Reibungsverluste bei Anmeldungen mit geringem Risiko verringert werden, während strengere Kontrollen durchgesetzt werden, wenn Signale auf ein erhöhtes Risiko hindeuten. Kontextbezogene Richtlinien können eine Step-up-Authentifizierung auf Basis von IP-Adresse, Gerätezustand, Standort oder Tageszeit auslösen.
One Identity Defender erweitert MFA auf lokale AD-Umgebungen und deckt die Windows-Desktopanmeldung, VPN, RDP und SSH ab. Dies schließt eine Lücke, die cloud-zentrierte MFA-Tools für Organisationen mit umfangreicher lokaler Infrastruktur oder luftgekoppelten Systemen offen lassen. Defender integriert sich mit One Identity Safeguard, um den Zugriff auf privilegierte Sitzungen direkt mit MFA zu schützen.
Was gut funktioniert
SmartFactor Authentication bringt Sicherheit und Benutzerfreundlichkeit in Einklang: Anmeldungen mit hohem Vertrauen erfolgen reibungsloser, während risikoreichere Kontexte zusätzliche Überprüfungsschritte erfordern. Desktop-to-Cloud-SSO schafft einen durchgängigen Authentifizierungsfluss von der Windows-Anmeldung bis zum Zugriff auf Cloud-Anwendungen.
Defender adressiert lokale und hybride Szenarien, die rein cloud-basierte Produkte nicht abdecken können, und macht das kombinierte Angebot für Organisationen relevant, die nicht vollständig auf eine Cloud-Identität migrieren können.
FIDO2- und WebAuthn-Unterstützung in beiden Produkten ermöglicht phishing-resistente passwortlose Authentifizierung.
Was verbessert werden muss
Das Portfolio von One Identity umfasst mehrere Produkte (OneLogin, Defender, Safeguard, Identity Manager), die teilweise durch Akquisitionen zusammengeführt wurden. Die Bereitstellung des gesamten Stacks kann Integrationskomplexität zwischen älteren Defender-Komponenten und neueren cloud-nativen OneLogin-Funktionen mit sich bringen.
Die Preise sind nicht öffentlich gelistet – Organisationen müssen den Vertrieb kontaktieren, um die Lizenzierung zu klären.
ManageEngine ADSelfService Plus
ManageEngine ADSelfService Plus ist eine Identitätssicherheitslösung, die adaptive MFA, Single Sign-on (SSO) und Self-Service-Passwortverwaltung für Active Directory und Cloud-Umgebungen kombiniert. Sie wird von ManageEngine, dem Enterprise-IT-Bereich der Zoho Corporation, entwickelt und richtet sich an Organisationen mit umfangreicher lokaler oder hybrider AD-Infrastruktur.
ADSelfService Plus unterstützt kontextbasierte MFA mit 19 Authentifizierungsfaktoren für Endpunkt- und Anwendungsanmeldungen. FIDO2-konforme Geräteauthentifikatoren, einschließlich Windows Hello, Apple Face ID/Touch ID, Android-Biometrie sowie Hardware-Schlüssel wie YubiKey und Google Titan Keys, werden unterstützt und ermöglichen phishing-resistente passwortlose Authentifizierung für den Anwendungszugriff.
Die Endpunkt-MFA-Abdeckung erstreckt sich auf Windows-, macOS- und Linux-Rechner sowie auf Endpunkte, die RADIUS-Authentifizierung unterstützen, wie Citrix Gateway, VMware Horizon und Microsoft Remote Desktop Gateway. Offline-MFA für Windows-Anmeldungen wird über TOTP-Authentifikatoren wie Google Authenticator, Microsoft Authenticator, Zoho OneAuth und Hardware-Token unterstützt, sodass sich Benutzer ohne Internetverbindung oder bei Nichterreichbarkeit des Authentifizierungsservers authentifizieren können.
Preise: Die Standard-Edition beginnt bei $595 pro Jahr für 500 Domänenbenutzer, die Professional-Variante kostet $1.195 und beinhaltet adaptives SSO.
Was gut funktioniert
MFA-Richtlinien können nach Domäne, Organisationseinheit und Gruppenmitgliedschaft eingegrenzt werden, sodass unterschiedliche Authentifizierungsanforderungen für verschiedene Benutzersegmente möglich sind, ohne eine pauschale Richtlinie anzuwenden. Die Kombination aus SSPR (Self-Service Password Reset), Verzeichnis-Self-Update und MFA in einem einzigen Agenten reduziert das Helpdesk-Ticketvolumen in AD-lastigen Umgebungen. Die Offline-MFA-Unterstützung ist ein bedeutendes Unterscheidungsmerkmal für Organisationen mit Remote- oder luftgekoppelten Benutzern, die eine Endpunkt-Authentifizierung ohne Server-Erreichbarkeit benötigen.
Was verbessert werden muss
Die Administrationsoberfläche wird von Rezensenten als funktional, aber nicht besonders benutzerfreundlich beschrieben, wobei tiefere Konfigurationen in der Regel Schulung und das Nachschlagen in der Dokumentation erfordern. Der Support wird 24×5 angeboten, ohne öffentliche Zusage für Wochenend-SLAs oder Reaktionszeiten unter vier Stunden – eine Lücke für Organisationen, die eine Rund-um-die-Uhr-Abdeckung benötigen. Die Lösung ist am stärksten in AD-zentrischen Umgebungen; Organisationen, die vollständig auf eine Cloud-Identität migriert sind, könnten den Funktionsumfang weniger relevant finden als cloud-native Alternativen.
LastPass MFA
LastPass MFA ist ein Add-on für LastPass Business, das kontextabhängige Authentifizierungsrichtlinien, Workstation- und VPN-MFA-Unterstützung sowie die Integration mit Identity-Providern (IDPs) von Drittanbietern bietet.
Sicherheitskontext: LastPass erlitt im August 2022 zwei zusammenhängende Sicherheitsverletzungen, bei denen Angreifer auf die Entwicklungsumgebung zugriffen und später verschlüsselte Kunden-Tresor-Backups exfiltrierten. Im November 2025 verhängte das britische Information Commissioner’s Office eine Geldstrafe von £1.228.283 gegen LastPass UK Ltd wegen unzureichender technischer Kontrollen gemäß UK GDPR. Im Februar 2026 wurde über einen Vergleich in einer Sammelklage in Höhe von $24,5 Millionen berichtet, wobei $16 Millionen speziell für Kryptowährungsverluste im Zusammenhang mit geknackten Tresordaten vorgesehen sind. Eine neue Phishing-Kampagne, die LastPass-Benutzer mit gefälschten Wartungswarnungen angreift, war im Januar 2026 aktiv.1
Was gut funktioniert
LastPass bietet detaillierte Steuerelemente zur Anpassung der Authentifizierungsumgebung. Das Browser-Plug-in ermöglicht Anmeldung, Passwortergänzung und Berechtigungsverwaltung geräteübergreifend. Die Autofill-Funktion reduziert die manuelle Eingabe von Logindaten über verschiedene Anwendungen hinweg.
Was verbessert werden muss
Die Zero-Knowledge-Architektur von LastPass bedeutet, dass die Tresorverschlüsselung vollständig von der Stärke des Master-Passworts des Benutzers abhängt. Ist dieses schwach, können geknackte Tresordaten aus dem Vorfall von 2022 ohne weiteres Zutun des Angreifers offline ausgenutzt werden.
Die Lösung bietet kein unternehmenstaugliches Gruppen-Zugriffsmanagement (z. B. das Zuweisen unterschiedlicher Anmeldeinformationen nach Abteilung oder Zugriffsebene). Benutzer berichten von häufigen Sitzungsabmeldungen, selbst wenn „Angemeldet bleiben“ aktiviert ist.
1Password
1Password ist ein Passwort-Manager mit einer Browser-Erweiterung und einer Desktop-/Mobil-App, der sowohl private als auch geschäftliche Anwendungsfälle abdeckt. Die Business-Variante umfasst Extended Access Management (XAM) zur Absicherung des Zugriffs in SaaS-zentrierten hybriden Arbeitsumgebungen.
Preise: Einzelabonnement $2,00/Monat. Familienplan (bis zu 5 Benutzer) $4,99/Monat. Business-Pläne sind als Teams- und Business-Stufen verfügbar.
Was gut funktioniert
1Password verschlüsselt alle Daten clientseitig, bevor sie an die Server übertragen werden, sodass das Unternehmen keinen Zugriff auf Benutzerpasswörter hat und ein serverseitiger Verstoß ohne das Master-Passwort keine Klartext-Anmeldeinformationen liefern würde. Das Produkt unterstützt Hardware-Sicherheitsschlüssel (einschließlich YubiKey) für 2FA. Es ermöglicht auch die Passwortfreigabe an Personen, die 1Password nicht nutzen.
Was verbessert werden muss
Telefonsupport steht bei Privatkunden-Tarifen nicht zur Verfügung. Individuelle Tarife unterstützen keine Gast-Passwortfreigabe.
Cisco Duo
Cisco Duo bietet MFA für Anwendungen, Dienste, Server und Remote-Desktop-Protokoll-Sitzungen (RDP). Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) hat die von Duo über FIDO2 implementierte phishing-resistente MFA als den goldenen Sicherheitsstandard für Authentifizierung eingestuft.2
Der State of Identity Security Report 2025 von Cisco Duo ergab, dass fast 60% der Sicherheitsverantwortlichen die Token-Verwaltung als größtes Hindernis für die flächendeckende Einführung phishing-resistenter MFA nannten.3 Im April 2024 wurde ein Telefonie-Subprozessor, der die SMS-MFA-Nachrichten von Duo verarbeitet, durch Phishing kompromittiert, wodurch Nachrichtenprotokolle mit Telefonnummern, Anbieterdaten und Nachrichtenzeiten offengelegt wurden – die Nachrichteninhalte selbst wurden jedoch nicht abgerufen.4 Der Vorfall verstärkte Duos eigenes Bestreben in Richtung FIDO2-basierter passwortloser Authentifizierung und weg von SMS als zweitem Faktor.
Was gut funktioniert
Die Endpunktvalidierung von Cisco Duo stellt sicher, dass Geräte, die mit integrierten Plattformen interagieren, Compliance-Anforderungen (Konfigurations- und Patch-Status) erfüllen, bevor der Zugriff gewährt wird. API-Integrationen verbinden Duo mit SIEMs, Firewalls, Threat-Intelligence-Feeds und EDR/XDR-Plattformen. Verified Duo Push wirkt MFA-Ermüdungsangriffen entgegen, indem Benutzer einen numerischen Code eingeben müssen, um einen Push zu genehmigen, und verhindert so das versehentliche Annehmen betrügerischer Push-Anfragen.
Was verbessert werden muss
Push-basierte MFA bleibt anfällig für MFA-Ermüdungsangriffe (wiederholtes Push-Flooding, bis der Benutzer zustimmt). Duo Mobile bietet keine native App-Ebene-Biometrie- oder PIN-Sicherung. Authentifikatoren von Drittanbietern (Aegis, andere Open-Source-Apps) können von Duo ausgegebene QR-Codes nicht scannen, was zu einem Vendor-Lock-in für registrierte Benutzer führt.
Microsoft Entra ID
Microsoft Entra ID (ehemals Azure Active Directory) ist ein cloudbasierter Identitäts- und Zugriffsverwaltungsdienst, der in drei Stufen verfügbar ist:
- Free: Benutzer- und Gruppenverwaltung, Synchronisierung lokaler Verzeichnisse, Self-Service-Passwortzurücksetzung für Cloud-Benutzer, SSO zu Azure und anderen SaaS-Anwendungen.
- P1: Hybrider Zugriff für lokale und Cloud-Ressourcen, dynamische Mitgliedergruppen und Self-Service-Gruppenverwaltung.
- P2: Risikobasierter bedingter Zugriff, Privileged Identity Management zur Einschränkung und Überwachung von Administratorrollen.
Seit Oktober 2024 erzwingt Microsoft eine obligatorische MFA für alle Anmeldungen im Azure-Portal und im Microsoft Entra Admin Center. Seit Oktober 2025 wurde die Durchsetzung auf Azure CLI, Azure PowerShell, die Azure Mobile App, IaC-Tools und REST-API-Endpunkte für Create-, Update- und Delete-Operationen ausgeweitet.5
Was gut funktioniert
Entra ID unterstützt gerätebasierte MFA mit Identitätsverwaltung pro Gerät und stellt so sicher, dass kontrolliert wird, was sich mit dem Netzwerk verbindet. Vollständige Festplattenverschlüsselung durch BitLocker sichert ruhende Daten. Die Integration mit Microsoft 365 macht die Konto-Bereitstellung und Zugriffsüberwachung für Organisationen, die bereits im Microsoft-Ökosystem sind, unkompliziert.
Was verbessert werden muss
Die risikobasierte MFA-Aufforderung von Entra ID stützt sich auf das interne Risikobewertungsmodell von Microsoft, das Randfälle übersehen kann – zum Beispiel die Anmeldung von einem neuen Gerät oder einem ungewöhnlichen Standort, ohne dass eine Step-up-Aufforderung ausgelöst wird.
Die benutzerbezogene MFA-Aktivierung (im Gegensatz zur richtlinienbasierten Durchsetzung) ist beim Onboarding fehleranfällig und es fehlt eine zentrale Protokollierung, was das Risiko von Fehlkonfigurationen bei Wartungsarbeiten erhöht.
Als bevorzugte Quelle hinzufügenGoogle Authenticator
Google Authenticator ist eine softwarebasierte Authentifizierungs-App, die Zwei-Faktor-Authentifizierung über zeitbasierte Einmalpasswörter (TOTP) und HMAC-basierte Einmalpasswörter (HOTP) bietet.
Was gut funktioniert
Google Authenticator unterstützt eine breite Palette von Diensten, darunter Google, Facebook, Amazon, Dropbox und jede Plattform, die TOTP-basierte 2FA unterstützt. Die Cloud-Backup-Funktion ermöglicht die Wiederherstellung von Codes über Geräte hinweg und schützt vor Verlust, wenn ein Telefon ersetzt oder zurückgesetzt wird. Die Benutzeroberfläche ist im täglichen Gebrauch einfach, und die Code-Übertragung zwischen Geräten reduziert den Aufwand für die manuelle Neuregistrierung.
Was verbessert werden muss
Google Authenticator unterstützt keine Sicherheitskontrollen auf App-Ebene wie PIN-Sperren, biometrische Authentifizierung oder Verschlüsselung für gespeicherte TOTP-Seeds. Das bedeutet, dass der physische Zugriff auf ein entsperrtes Telefon direkten Zugriff auf alle registrierten Codes gewährt.
RSA SecurID
RSA SecurID eignet sich hervorragend für Unternehmen, die granulare Authentifizierungsrichtlinien benötigen, insbesondere in den Bereichen Gesundheitswesen, Finanzen und Behörden, wo regulatorische Compliance eine starke Authentifizierung vorschreibt. Es wird als Teil der RSA Unified Identity Platform angeboten, die Authentifizierung, Governance und Identity-Lifecycle-Management kombiniert.
Was gut funktioniert
RSA SecurID bietet risikobasierte Authentifizierung und passt die Sicherheitsanforderungen dynamisch an das Benutzerverhalten und den Zugriffskontext an. Es unterstützt mehr als 500 Cloud- und On-Premises-Anwendungen, einschließlich benutzerdefinierter interner Apps.
Was verbessert werden muss
Physische Hardware-Token stellen ein praktisches Risiko dar: Verlorene Token verhindern den Benutzerzugriff. Die mobile App benötigt eine Internet- oder Mobilfunkverbindung; eine Offline-Code-Generierung wird nicht unterstützt, was den Zugriff in luftgekoppelten oder konnektivitätsschwachen Umgebungen einschränkt.
IBM Verify
IBM Verify eignet sich für Organisationen, die auf cloudbasiertes IAM migrieren und unternehmensweite Bereitstellungen benötigen. Es unterstützt MFA per Push-Benachrichtigung, QR-Codes und mobiler App-Authentifizierung und bietet Vorlagen für das Einwilligungsmanagement zur Unterstützung der DSGVO-Compliance.
Was gut funktioniert
IBM Verify deckt mehrere MFA-Methoden auf einer einzigen Plattform ab und enthält integrierte Vorlagen für das Einwilligungslebenszyklus-Management – nützlich für Organisationen, die Datenschutzbestimmungen einschließlich der DSGVO unterliegen.
Was verbessert werden muss
Die Ersteinrichtung und -konfiguration sind zeitaufwendig und erfordern technisches Fachwissen. Organisationen ohne eigenes IAM-Personal sollten den Implementierungsaufwand einkalkulieren.
NordPass Business
NordPass ist ein Passwort-Manager mit Passwortfreigabe, Browser-Autofill und Benutzerverwaltung. Der Business-Plan, beginnend bei fünf Benutzern, fügt Gruppenverwaltungstools hinzu, darunter Data Breach Scanner und Password Health-Berichterstattung.
Was gut funktioniert
Die Berechtigungsverwaltung im Admin-Panel wird von Benutzern gut bewertet. Die Plattform unterstützt Zwei-Faktor-Authentifizierungscodes für gemeinsam genutzte Konten, was für teamverwaltete Anmeldeinformationen nützlich ist, auf die mehrere Benutzer zugreifen.
Was verbessert werden muss
Gelöschte Passwörter werden endgültig entfernt und können nicht wiederhergestellt werden. Bei Massenlöschungen wird nur die Anzahl protokolliert, nicht die einzelnen Einträge. Der Besitz von Passwörtern kann nicht zwischen Benutzern übertragen werden – nur der ursprüngliche Besitzer kann einen Eintrag löschen.
Okta Adaptive MFA
Okta Adaptive MFA ermöglicht es Organisationen, kontextbezogene Zugriffsrichtlinien zu erstellen, die eine Step-up-Authentifizierung verlangen oder den Zugriff basierend auf Benutzer- und Gerätesignalen blockieren. Beispielsweise löst ein Benutzer aus den USA, der aus einem unerkannten Land auf Ressourcen zugreift, automatisch zusätzliche Überprüfungsschritte aus.
Sicherheitskontext: Im Oktober 2023 meldete Okta einen Verstoß im Support-System, bei dem Angreifer über ein kompromittiertes Google-Konto eines Mitarbeiters Zugriff erlangten und Sitzungstoken aus HAR-Dateien extrahierten, die bei der Fehlerbehebung übermittelt wurden. Die Token ermöglichten den Zugriff auf Kundensupportdaten aller Benutzer des Okta-Kundensupportsystems.6 Okta aktivierte daraufhin die ASN-basierte Sitzungsbindung, um das Risiko zu verringern, dass gestohlene Sitzungstoken von anderen Netzwerkstandorten aus wiederverwendet werden.
Was gut funktioniert
Okta Adaptive MFA unterstützt mehrere Faktoren, darunter Okta FastPass, FIDO2 WebAuthn-Schlüssel, Smartcards, Sicherheitsfragen, SMS/Sprachanruf/E-Mail-OTPs, mobile App-Push und Biometrie. Das Okta Integration Network bietet vorgefertigte Konnektoren für über 8.000 Anwendungen und ermöglicht eine zentrale Zugriffsverwaltung in hybriden Umgebungen.
Was verbessert werden muss
Die Überprüfung von Passwörtern für Anwendungen, die mit Okta integriert sind, ist über die Endbenutzeroberfläche nicht einfach möglich. Die Dokumentation für komplexe Konfigurationen wie Richtlinien für bedingten Zugriff mit verschachtelten Bedingungen oder die Integration von MFA mit Legacy-Apps ist begrenzt.
FAQs
MFA-Lösungen schützen Benutzerkonten, indem sie die Benutzer auffordern, ihre Identität auf zwei oder mehr Arten zu bestätigen, bevor sie auf Konten, vertrauliche Informationen, Systeme oder Apps zugreifen.
Zusätzlich zu einem einzigen Authentifizierungsfaktor, wie der Eingabe eines Benutzernamens und eines Passworts, werden die Benutzer nach einem zweiten Authentifizierungsfaktor gefragt, um zu bestätigen, wer sie zu sein vorgeben. Zu den Authentifizierungsfaktoren gehören Einmalpasscodes per SMS, E‑Mail oder Telefonanruf sowie risikobasierte Authentifizierung.
MFA-Lösungen können als eigenständige Lösungen angeboten werden, die in die Benutzerkonten eines Unternehmens integriert werden, oder als Teil einer zusammengesetzten Lösung, typischerweise in Identitätsprodukten wie Workforce-Identity- und Access-Management-Software (IAM) oder kundenbasierten privilegierten Zugriffsverwaltungslösungen (PAM).
Weiterlesen: MFA-Preise, Open Source MFA-Tools.
Diese Forschung zitieren
Wählen Sie das Format, das zu Ihrem Veröffentlichungsort passt. Wenn Sie die Link-Version in Ihr CMS einfügen, bleibt der Backlink erhalten.
@misc{dilmegani2026,
author = {Dilmegani, Cem and Sezer, Sena},
title = {{Top 11 Multi-Faktor-Authentifizierungslösungen (MFA)}},
year = {2026},
month = jul,
howpublished = {\url{https://aimultiple.com/mfa-solutions}},
note = {AIMultiple. Abgerufen am 24. Juli 2026}
}Referenzlinks
Seien Sie der Erste, der kommentiert
Ihre E-Mail-Adresse wird nicht veröffentlicht. Alle Felder sind erforderlich. Kommentare werden in ihrer Originalsprache belassen.