Top 11 Multi-Faktor-Authentifizierungslösungen (MFA)
Multi-Faktor-Authentifizierung stellt sicher, dass nur autorisierte Benutzer auf Konten, vertrauliche Informationen oder Apps zugreifen können. Basierend auf Produktschwerpunkten, Funktionen und Benutzererfahrungen, die auf Bewertungsplattformen geteilt wurden, sind hier die führenden MFA-Lösungen:
Am besten für Unternehmen
Am besten für Einzelpersonen und KMU
Marktpräsenz
MFA-Anpassungsfähigkeitsfunktionen
Lösungen mit:
- MFA für VPNs: Bietet MFA-Abdeckung für VPN-Verbindungen zu organisatorischen Netzwerkressourcen.
- Offline-MFA: Ermöglicht MFA für Offline-Anmeldungen.
Alle Lösungen in dieser Liste unterstützen FIDO2-Authentifizierung, einen offenen Authentifizierungsstandard, der Public-Key-Kryptographie verwendet, um phishing-resistente passwortlose Authentifizierung zu ermöglichen. FIDO2-basierte Faktoren widerstehen Phishing- und Man-in-the-Middle-Angriffen (MITM) von Natur aus, im Gegensatz zu SMS-OTPs, die anfällig für SIM-Swapping und Abfangen bleiben.
Top 11 MFA-Lösungen im Test
One Identity
One Identity bietet MFA über zwei komplementäre Produkte: OneLogin MFA für Workforce- und Kundenidentitäten und One Identity Defender für lokale und hybride Active-Directory-Umgebungen. Beide sind Teil einer breiteren Identitätsplattform, die auch PAM (Safeguard) und Identity Governance (Identity Manager) abdeckt.
OneLogin MFA unterstützt OTP, SMS, E-Mail, Biometrie, Push-Benachrichtigungen und Hardware-Token. SmartFactor Authentication nutzt die One Identity Vigilance KI Threat Engine, um Risiken zu bewerten und Authentifizierungsanforderungen dynamisch anzuwenden, wodurch die Reibung bei risikoarmen Anmeldungen reduziert wird, während strengere Kontrollen durchgesetzt werden, wenn Signale auf ein erhöhtes Risiko hinweisen. Kontextbezogene Richtlinien können eine Step-up-Authentifizierung basierend auf IP-Adresse, Gerätezustand, Standort oder Tageszeit auslösen.
One Identity Defender erweitert MFA auf lokale AD-Umgebungen und deckt Windows-Desktop-Anmeldung, VPN, RDP und SSH ab. Dies schließt eine Lücke, die cloud-zentrierte MFA-Tools für Organisationen mit erheblicher lokaler Infrastruktur oder luftabgeschotteten Systemen offen lassen. Defender integriert sich mit One Identity Safeguard, um privilegierte Sitzungszugriffe direkt mit MFA abzusichern.
Was gut funktioniert
SmartFactor Authentication gleicht Sicherheit und Benutzerfreundlichkeit aus – Anmeldungen mit hohem Vertrauen verlaufen reibungsloser, während risikoreichere Kontexte zusätzliche Überprüfungsschritte erfordern. Desktop-to-Cloud SSO schafft einen durchgehenden Authentifizierungsfluss von der Windows-Anmeldung bis zum Zugriff auf Cloud-Anwendungen.
Defender adressiert lokale und hybride Szenarien, die reine Cloud-Produkte nicht abdecken können, wodurch das kombinierte Angebot für Organisationen relevant ist, die nicht vollständig auf Cloud-Identität migrieren können.
FIDO2- und WebAuthn-Unterstützung in beiden Produkten ermöglicht phishing-resistente passwortlose Authentifizierung.
Was verbessert werden muss
Das Portfolio von One Identity umfasst mehrere Produkte (OneLogin, Defender, Safeguard, Identity Manager), die teilweise durch Akquisitionen zusammengestellt wurden. Die Bereitstellung des gesamten Stacks kann Integrationskomplexität zwischen älteren Defender-Komponenten und neueren cloud-nativen OneLogin-Funktionen mit sich bringen.
Die Preisgestaltung ist nicht öffentlich zugänglich – Organisationen müssen den Vertrieb kontaktieren, um die Lizenzierung zu klären.
ManageEngine ADSelfService Plus
ManageEngine ADSelfService Plus ist eine Identitätssicherheitslösung, die adaptive MFA, Single Sign-On (SSO) und Self-Service-Passwortverwaltung für Active Directory und Cloud-Umgebungen kombiniert. Es wird von ManageEngine entwickelt, der Enterprise-IT-Abteilung der Zoho Corporation, und richtet sich an Organisationen mit erheblicher lokaler oder hybrider AD-Infrastruktur.
ADSelfService Plus unterstützt kontextbasierte MFA mit 19 Authentifizierungsfaktoren für Endpunkt- und Anwendungsanmeldungen. FIDO2-konforme Geräteauthentifikatoren wie Windows Hello, Apple Face ID/Touch ID, Android-Biometrie und Hardwareschlüssel wie YubiKey und Google Titan Keys werden unterstützt und ermöglichen phishing-resistente passwortlose Authentifizierung für den Anwendungszugriff.
Die Endpunkt-MFA-Abdeckung erstreckt sich auf Windows-, macOS- und Linux-Rechner sowie auf Endpunkte, die RADIUS-Authentifizierung unterstützen, wie Citrix Gateway, VMware Horizon und Microsoft Remote Desktop Gateway. Offline-MFA für Windows-Anmeldungen wird über TOTP-Authentifikatoren wie Google Authenticator, Microsoft Authenticator, Zoho OneAuth und Hardware-Token unterstützt, sodass Benutzer sich ohne Internetverbindung oder bei Nichterreichbarkeit des Authentifizierungsservers authentifizieren können.
Preisgestaltung: Die Standard-Edition beginnt bei $595 pro Jahr für 500 Domänenbenutzer, mit einer Professional-Stufe für $1.195, die adaptives SSO hinzufügt.
Was gut funktioniert
MFA-Richtlinien können nach Domäne, Organisationseinheit und Gruppenmitgliedschaft festgelegt werden, was unterschiedliche Authentifizierungsanforderungen für verschiedene Benutzersegmente ohne eine pauschale Richtlinie ermöglicht. Die Kombination aus SSPR (Self-Service-Passwortzurücksetzung), Verzeichnis-Self-Update und MFA in einem einzigen Agenten reduziert das Helpdesk-Ticketvolumen für AD-lastige Umgebungen. Die Offline-MFA-Unterstützung ist ein bedeutendes Unterscheidungsmerkmal für Organisationen mit Remote- oder luftabgeschotteten Benutzern, die eine Endpunkt-Authentifizierung ohne Servererreichbarkeit benötigen.
Was verbessert werden muss
Die Administratoroberfläche wird von Bewertern als funktional, aber nicht besonders benutzerfreundlich beschrieben, wobei tiefere Konfigurationen in der Regel Schulung und Bezugnahme auf die Dokumentation erfordern. Der Support deckt 24×5 ab, ohne öffentliche Zusage für Wochenend-SLAs oder Reaktionszeiten unter 4 Stunden – eine Lücke für Organisationen, die eine Rund-um-die-Uhr-Abdeckung benötigen. Die Lösung ist am stärksten in AD-zentrierten Umgebungen; Organisationen, die vollständig auf Cloud-Identität migriert sind, könnten den Funktionsumfang weniger relevant finden als cloud-native Alternativen.
LastPass MFA
LastPass MFA ist ein Add-on für LastPass Business, das kontextbezogene Authentifizierungsrichtlinien, Workstation- und VPN-MFA-Unterstützung sowie die Integration mit Identitätsanbietern (IDPs) von Drittanbietern bietet.
Sicherheitskontext: LastPass erlebte im August 2022 zwei zusammenhängende Sicherheitsverletzungen, bei denen Angreifer auf die Entwicklungsumgebung zugriffen und später verschlüsselte Kunden-Tresor-Backups exfiltrierten. Im November 2025 verhängte das britische Information Commissioner's Office eine Geldstrafe von £1.228.283 gegen LastPass UK Ltd wegen unzureichender technischer Kontrollen gemäß UK GDPR. Im Februar 2026 wurde über eine Sammelklagen-Vergleichszahlung in Höhe von $24,5 Millionen berichtet, wobei $16 Millionen speziell für Kryptowährungsverluste im Zusammenhang mit geknackten Tresordaten vorgesehen waren. Eine neue Phishing-Kampagne, die sich mit gefälschten Wartungswarnungen an LastPass-Benutzer richtete, war im Januar 2026 aktiv.1
Was gut funktioniert
LastPass bietet detaillierte Kontrollen zur Anpassung der Authentifizierungsumgebung. Das Browser-Plugin ermöglicht Anmeldung, Passworthinzufügung und Anmeldeinformationsverwaltung über Geräte hinweg. Die Autofill-Funktion reduziert die manuelle Anmeldeeingabe über Anwendungen hinweg.
Was verbessert werden muss
Die Zero-Knowledge-Architektur von LastPass bedeutet, dass die Tresorverschlüsselung vollständig von der Stärke des Master-Passworts des Benutzers abhängt. Ist dieses schwach, können geknackte Tresordaten aus der Sicherheitsverletzung von 2022 ohne weitere Angreiferaktion offline ausgenutzt werden.
Die Lösung bietet keine unternehmenstaugliche Gruppen-Zugriffsverwaltung (z. B. Zuweisung unterschiedlicher Anmeldeinformationen nach Abteilung oder Zugriffsebene). Benutzer berichten von häufigen Sitzungsabmeldungen, selbst wenn „Angemeldet bleiben“ aktiviert ist.
1Password
1Password ist ein Passwort-Manager mit einer Browser-Erweiterung und einer Desktop-/Mobil-App, der sowohl Einzel- als auch Geschäftsanwendungsfälle abdeckt. Die Business-Stufe umfasst Extended Access Management (XAM) zur Absicherung des Zugriffs in SaaS-zentrierten hybriden Arbeitsumgebungen.
Preisgestaltung: Einzelabonnement $2,00/Monat. Familienplan (bis zu 5 Benutzer) $4,99/Monat. Business-Pläne sind als Teams- und Business-Stufen verfügbar.
Was gut funktioniert
1Password verschlüsselt alle Daten clientseitig vor der Übertragung an seine Server, was bedeutet, dass das Unternehmen nicht auf Benutzerpasswörter zugreifen kann und eine serverseitige Sicherheitsverletzung keine Klartext-Anmeldeinformationen ohne das Master-Passwort des Benutzers preisgeben würde. Das Produkt unterstützt Hardware-Sicherheitsschlüssel (einschließlich YubiKey) für 2FA. Es unterstützt auch die Passwortfreigabe für Nicht-1Password-Benutzer.
Was verbessert werden muss
Telefonischer Support ist bei persönlichen Plänen nicht verfügbar. Einzelpläne unterstützen keine Gast-Passwortfreigabe.
Cisco Duo
Cisco Duo bietet MFA für Anwendungen, Dienste, Server und Remote Desktop Protocol (RDP)-Sitzungen. Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) hat die von Duo über FIDO2 implementierte phishing-resistente MFA als den Goldstandard für Authentifizierungssicherheit bezeichnet.2
Der State of Identity Security Report 2025 von Cisco Duo ergab, dass fast 60% der Sicherheitsverantwortlichen die Token-Verwaltung als das größte Hindernis für die flächendeckende Bereitstellung phishing-resistenter MFA nannten.3 Im April 2024 wurde ein Telefonie-Subunternehmer, der die SMS-MFA-Nachrichten von Duo verarbeitete, durch Phishing kompromittiert, wodurch Nachrichtenprotokolle mit Telefonnummern, Anbieterdaten und Nachrichtenzeitstempeln offengelegt wurden – auf Nachrichteninhalte wurde jedoch nicht zugegriffen.4 Der Vorfall bekräftigte Duos eigene Bestrebungen hin zu FIDO2-basierter passwortloser Authentifizierung und weg von SMS als zweitem Faktor.
Was gut funktioniert
Die Endpunktvalidierung von Cisco Duo stellt sicher, dass Geräte, die mit integrierten Plattformen interagieren, die Compliance-Anforderungen (Konfiguration und Patch-Status) erfüllen, bevor der Zugriff gewährt wird. API-Integrationen verbinden Duo mit SIEMs, Firewalls, Threat-Intelligence-Feeds und EDR/XDR-Plattformen. Verified Duo Push begegnet MFA-Fatigue-Angriffen, indem Benutzer einen numerischen Code eingeben müssen, um einen Push zu genehmigen, wodurch versehentliche Annahme betrügerischer Push-Anfragen verhindert wird.
Was verbessert werden muss
Push-basierte MFA bleibt anfällig für MFA-Fatigue-Angriffe (wiederholtes Push-Fluten, bis der Benutzer akzeptiert). Duo Mobile unterstützt nativ keinen Biometrie- oder PIN-Schutz auf App-Ebene. Authentifikatoren von Drittanbietern (Aegis, andere Open-Source-Apps) können von Duo ausgestellte QR-Codes nicht scannen, was zu einer Herstellerbindung für registrierte Benutzer führt.
Microsoft Entra ID
Microsoft Entra ID
Microsoft Entra ID (ehemals Azure Active Directory) ist ein cloudbasierter Identitäts- und Zugriffsverwaltungsdienst, der in drei Stufen verfügbar ist:
- Free: Benutzer- und Gruppenverwaltung, lokale Verzeichnissynchronisierung, Self-Service-Passwortzurücksetzung für Cloud-Benutzer, SSO für Azure und andere SaaS-Anwendungen.
- P1: Hybrider Zugriff für lokale und Cloud-Ressourcen, dynamische Mitgliedergruppen und Self-Service-Gruppenverwaltung.
- P2: Risikobasierter bedingter Zugriff, privilegierte Identitätsverwaltung zur Einschränkung und Überwachung von Administratorrollen.
Seit Oktober 2024 setzt Microsoft die verpflichtende MFA für alle Anmeldungen am Azure-Portal und im Microsoft Entra Admin Center durch. Seit Oktober 2025 wurde die Durchsetzung auf Azure CLI, Azure PowerShell, die Azure Mobile App, IaC-Tools und REST-API-Endpunkte für Create-, Update- und Delete-Operationen ausgeweitet.5
Was gut funktioniert
Entra ID unterstützt gerätebasierte MFA mit Identitätsverwaltung pro Asset und stellt so die Kontrolle darüber sicher, was sich mit dem Netzwerk verbindet. Vollständige Festplattenverschlüsselung durch BitLocker sichert Daten im Ruhezustand. Die Integration mit Microsoft 365 macht die Konto-Provisionierung und Zugriffsüberwachung für Organisationen, die bereits im Microsoft-Ökosystem sind, unkompliziert.
Was verbessert werden muss
Die risikobasierte MFA-Aufforderung von Entra ID stützt sich auf das interne Risikobewertungsmodell von Microsoft, das Grenzfälle übersehen kann – beispielsweise die Anmeldung von einem neuen Gerät oder einem ungewöhnlichen Standort, ohne eine Step-up-Aufforderung auszulösen.
Die benutzerbezogene MFA-Aktivierung (im Gegensatz zur richtlinienbasierten Durchsetzung) ist beim Onboarding fehleranfällig und es fehlt an zentraler Protokollierung, was das Risiko von Fehlkonfigurationen während der Wartung erhöht.
Als bevorzugte Quelle hinzufügenGoogle Authenticator
Google Authenticator ist eine softwarebasierte Authentifikator-App, die Zwei-Faktor-Authentifizierung mittels zeitbasiertem Einmalpasswort (TOTP) und HMAC-basiertem Einmalpasswort (HOTP) bietet.
Was gut funktioniert
Google Authenticator unterstützt eine breite Palette von Diensten, darunter Google, Facebook, Amazon, Dropbox und jede Plattform, die TOTP-basierte 2FA unterstützt. Die Cloud-Backup-Funktion ermöglicht die Wiederherstellung von Codes über Geräte hinweg und schützt vor Verlust, wenn ein Telefon ersetzt oder gelöscht wird. Die Benutzeroberfläche ist für den täglichen Gebrauch einfach, und die Code-Übertragung zwischen Geräten reduziert den Aufwand für die manuelle Neuregistrierung.
Was verbessert werden muss
Google Authenticator unterstützt keine Sicherheitskontrollen auf App-Ebene wie PIN-Sperren, biometrische Authentifizierung oder Verschlüsselung für gespeicherte TOTP-Seeds. Dies bedeutet, dass physischer Zugriff auf ein entsperrtes Telefon direkten Zugriff auf alle registrierten Codes gewährt.
RSA SecurID
RSA SecurID eignet sich gut für Unternehmen, die granulare Authentifizierungsrichtlinien benötigen, insbesondere im Gesundheitswesen, im Finanzwesen und in der Regierung, wo regulatorische Compliance starke Authentifizierung vorschreibt. Es wird als Teil der RSA Unified Identity Platform angeboten, die Authentifizierung, Governance und Identitätslebenszyklusverwaltung kombiniert.
Was gut funktioniert
RSA SecurID bietet risikobasierte Authentifizierung und passt die Sicherheitsanforderungen dynamisch an das Benutzerverhalten und den Zugriffskontext an. Es unterstützt mehr als 500 Cloud- und lokale Anwendungen, einschließlich benutzerdefinierter interner Apps.
Was verbessert werden muss
Physische Hardware-Token bergen ein praktisches Risiko: Verlorene Token verhindern den Benutzerzugriff. Die mobile App erfordert Internet- oder Mobilfunkverbindung; die Offline-Code-Generierung wird nicht unterstützt, was den Zugriff in luftabgeschotteten Umgebungen oder bei geringer Konnektivität einschränkt.
IBM Verify
IBM Verify eignet sich für Organisationen, die auf cloudbasiertes IAM migrieren und unternehmenstaugliche Bereitstellungen benötigen. Es unterstützt MFA über Push-Benachrichtigungen, QR-Codes und mobile App-Authentifizierung und bietet Einwilligungsverwaltungsvorlagen zur Unterstützung der DSGVO-Compliance.
Was gut funktioniert
IBM Verify deckt mehrere MFA-Methoden auf einer einzigen Plattform ab und enthält integrierte Vorlagen für das Einwilligungslebenszyklus-Management – nützlich für Organisationen, die Datenschutzbestimmungen wie der DSGVO unterliegen.
Was verbessert werden muss
Die erstmalige Einrichtung und Konfiguration ist zeitaufwändig und erfordert technisches Fachwissen. Organisationen ohne eigenes IAM-Personal sollten den Implementierungsaufwand einkalkulieren.
NordPass Business
NordPass ist ein Passwort-Manager mit Passwortfreigabe, Browser-Autofill und Benutzerverwaltung. Der Business-Plan, beginnend bei fünf Benutzern, fügt Gruppenverwaltungstools hinzu, darunter Data Breach Scanner und Password Health-Berichte.
Was gut funktioniert
Die Berechtigungsverwaltung des Admin-Panels wird von Benutzern gut bewertet. Die Plattform unterstützt Zwei-Faktor-Authentifizierungscodes für gemeinsam genutzte Konten, nützlich für teamverwaltete Anmeldeinformationen, auf die mehrere Benutzer zugreifen.
Was verbessert werden muss
Gelöschte Passwörter werden dauerhaft entfernt, ohne Wiederherstellungsoption. Massenlöschungen protokollieren nur die Anzahl, nicht die einzelnen Einträge. Der Passwortbesitz kann nicht zwischen Benutzern übertragen werden – nur der ursprüngliche Besitzer kann einen Eintrag löschen.
Okta Adaptive MFA
Okta Adaptive MFA ermöglicht es Organisationen, kontextbezogene Zugriffsrichtlinien zu erstellen, die eine Step-up-Authentifizierung erfordern oder den Zugriff basierend auf Benutzer- und Gerätesignalen blockieren. Beispielsweise löst ein in den USA ansässiger Benutzer, der von einem unbekannten Land aus Zugriff anfordert, automatisch zusätzliche Überprüfungsschritte aus.
Sicherheitskontext: Im Oktober 2023 meldete Okta eine Sicherheitsverletzung im Support-System, bei der Angreifer über ein kompromittiertes Google-Konto eines Mitarbeiters Zugriff erlangten und Sitzungstoken aus HAR-Dateien extrahierten, die bei der Fehlerbehebung eingereicht wurden. Die Token ermöglichten den Zugriff auf Kundensupportdaten für alle Benutzer des Okta-Kundensupportsystems.6 Okta aktivierte daraufhin ASN-basierte Sitzungsbindung, um das Risiko zu verringern, dass gestohlene Sitzungstoken von anderen Netzwerkstandorten aus wiederverwendet werden.
Was gut funktioniert
Okta Adaptive MFA unterstützt mehrere Faktoren, darunter Okta FastPass, FIDO2 WebAuthn-Schlüssel, Smartcards, Sicherheitsfragen, SMS/Sprach-/E-Mail-OTPs, mobile App-Push-Benachrichtigungen und Biometrie. Das Okta Integration Network bietet vorgefertigte Konnektoren für über 8.000 Anwendungen und ermöglicht eine zentrale Zugriffsverwaltung in hybriden Umgebungen.
Was verbessert werden muss
Die Überprüfung von Passwörtern für Anwendungen, die mit Okta integriert sind, ist über die Endbenutzeroberfläche nicht einfach. Die Dokumentation für komplexe Konfigurationen wie Richtlinien für bedingten Zugriff mit verschachtelten Bedingungen oder die Integration von MFA mit Legacy-Apps ist begrenzt.
FAQs
MFA-Lösungen schützen Benutzerkonten, indem sie von den Benutzern verlangen, ihre Identität auf zwei oder mehr Arten zu bestätigen, bevor sie auf Konten, vertrauliche Informationen, Systeme oder Apps zugreifen können.
Zusätzlich zu einem einzelnen Authentifizierungsfaktor, wie der Eingabe eines Benutzernamens und Passworts, werden Benutzer nach einem zweiten Authentifizierungsfaktor gefragt, um zu bestätigen, dass sie die Person sind, die sie vorgeben zu sein. Zu den Authentifizierungsfaktoren gehören Einmalpasscodes für SMS, E-Mail oder Telefonanrufe oder eine risikobasierte Authentifizierung.
MFA-Lösungen können als eigenständige Lösungen verkauft werden, die sich in die Benutzerkonten eines Unternehmens integrieren, oder als Teil einer zusammengesetzten Lösung, typischerweise in Identitätsprodukten wie mitarbeiterbasierter Identity- und Access-Management-Software (IAM) oder kundenbasierten Privileged-Access-Management-Lösungen (PAM).
Weiterlesen: MFA-Preise, Open-Source-MFA-Tools.
Diese Forschung zitieren
Wählen Sie das Format, das zu Ihrem Veröffentlichungsort passt. Wenn Sie die Link-Version in Ihr CMS einfügen, bleibt der Backlink erhalten.
@misc{dilmegani2026,
author = {Dilmegani, Cem and Sezer, Sena},
title = {{Top 11 Multi-Faktor-Authentifizierungslösungen (MFA)}},
year = {2026},
month = jun,
howpublished = {\url{https://aimultiple.com/mfa-solutions}},
note = {AIMultiple. Abgerufen am 15. Juni 2026}
}Referenzlinks
Seien Sie der Erste, der kommentiert
Ihre E-Mail-Adresse wird nicht veröffentlicht. Alle Felder sind erforderlich. Kommentare werden in ihrer Originalsprache belassen.