Passwörter und MFA nach ISO 27001 richtig umsetzen

Zugangssteuerung und Identitätsmanagement greifen ineinander

Die Zugangssteuerung nach A.5.15 legt fest, nach welchen Regeln ein Konto Rechte erhält. Die Richtlinie bildet den normativen Bezugspunkt für alle weiteren Authentisierungsentscheidungen. Auditoren beginnen ihre Prüfung an dieser Stelle, da A.8.5 direkt auf die Zugangssteuerungsrichtlinie verweist.

Das Identitätsmanagement nach A.5.16 verlangt eine eindeutige und überprüfbare Identität für jeden Anwender und für jede technische Kennung. Der Lebenszyklus umfasst Anlage, Freigabe, Nutzung, Überprüfung und Entzug. Service-Konten, Automatisierungskennungen und Roboterprozesse fallen unter dieselbe Kontrolle wie menschliche Benutzer. Verlässt ein Mitarbeiter eine Rolle, muss das System die zugehörigen Rechte zeitnah zurückziehen, sonst bleiben verwaiste Konten als Angriffsfläche zurück.

A.5.17 regelt die Authentifizierungsinformationen, darunter die Erstellung, Speicherung und den Schutz von Passwörtern und Schlüsseln. Die Norm nennt MFA an dieser Stelle ausdrücklich für privilegierte Zugänge. A.8.5 bindet die Vorgaben zusammen und fordert Authentisierungsmechanismen, die zur Sensibilität des geschützten Systems passen.

Die Norm fordert Mechanismen statt bestimmter Produkte

A.8.5 schreibt keine bestimmte Technik vor und verlangt Verfahren, die zur Schutzbedürftigkeit des Zugriffs passen. Für Routinezugriffe genügen ein starkes Passwort und MFA, für kritische Systeme kommen digitale Zertifikate, Smartcards, Hardware-Token oder biometrische Merkmale hinzu. MFA für privilegierte Konten und für jeden Fernzugriff gilt als nicht verhandelbare technische Kontrolle, da beide Szenarien das höchste Risiko aufweisen.

Ein sicherer Anmeldeprozess schützt den Zugang von der Eingabe des Benutzernamens an. Die Anmeldeoberfläche verrät nicht, ob Benutzername oder Passwort falsch war, und zeigt vor der Authentifizierung keine sensiblen Systeminformationen. Zugangsdaten laufen verschlüsselt über TLS, erfolgreiche und fehlgeschlagene Versuche landen im Protokoll, wiederholte Fehlversuche lösen eine Warnung aus. Eine Kontosperrung nach einer festgelegten Zahl an Fehlversuchen bremst automatisierte Angriffe. Der Wert muss ausgewogen sein, denn eine zu strenge Sperre öffnet einen Weg für Denial-of-Service, eine zu laxe Schwelle lässt Rateangriffe zu.

Single Sign-On zentralisiert die Authentisierung an einem Identitätsanbieter und setzt eine starke Anmeldung an einer Stelle durch. Die Bündelung senkt den Aufwand, macht die Plattform aber zum lohnenden Ziel. Der zentrale Identitätsanbieter braucht daher selbst den stärksten verfügbaren Schutz, phishing-resistente Faktoren und ein striktes Sitzungsmanagement.

Passwortregeln setzen auf Länge statt Komplexität

Die aktuelle NIST-Richtlinie SP 800-63B-4 kehrt die klassischen Passwortregeln um. Für ein Passwort als einzigen Faktor gilt eine Mindestlänge von 15 Zeichen, Komplexitätsregeln und der anlasslose Wechsel fallen weg. Ein Abgleich gegen Listen bekannter und geleakter Passwörter ersetzt die alten Zwangsschemata. Das BSI vertritt dieselbe Linie und spricht sich seit Anfang 2025 gegen den routinemäßigen Passwortwechsel aus. Ein Wechsel bleibt nur bei konkretem Verdacht auf Kompromittierung sinnvoll.

Für privilegierte Konten bleibt die automatische Rotation über ein Passwort-Management-System sinnvoll, da das System nach jeder Nutzung ein zufälliges Passwort setzt und kein Mensch es kennt. Auf der technischen Ebene begrenzt Smart Lockout automatisierte Angriffe. Die Standardwerte sperren ein Konto nach zehn Fehlversuchen für 60 Sekunden. Eine unternehmensweite Sperrliste aus Firmennamen, Produktbezeichnungen und regionalen Begriffen hebt die Passwortqualität zusätzlich an.

Klassische MFA scheitert an Angriffen auf die Sitzung

Die Bedrohungslage 2026 zeigt die Grenzen reiner Passwörter. Nach dem Microsoft Digital Defense Report 2025 zielen über 97 Prozent der Identitätsangriffe auf Passwörter, phishing-resistente MFA blockiert nach denselben Angaben über 99 Prozent der identitätsbasierten Angriffe. Die ENISA benennt Phishing mit rund 60 Prozent als häufigsten Erstzugang und sieht den Missbrauch gültiger Zugangsdaten vor Schadsoftware als wichtigste Eindringmethode. Eine Auswertung des Verizon Data Breach Investigations Report 2026 verzeichnet Credential-Missbrauch in 39 Prozent aller untersuchten Vorfälle.

Moderne Angriffe umgehen auch aktivierte MFA. Das Phishing-as-a-Service-Kit Tycoon2FA schaltet sich als Zwischenstation zwischen Anwender und Dienst und greift Zugangsdaten und Session-Cookie in Echtzeit ab. Mit dem gestohlenen Sitzungstoken meldet sich der Angreifer ohne Passwort und ohne zweiten Faktor an, der Zugriff bleibt auch nach einem Passwort-Reset bestehen. Der Cloudflare Threat Report 2026 bestätigt die Verlagerung auf aktive Sitzungstokens als Ziel. MFA sichert den Moment der Anmeldung, der Schutz der laufenden Sitzung verlangt zusätzliche Maßnahmen.

Das Ausmaß gestohlener Zugangsdaten stützt diese Einschätzung. Ein Bericht dokumentiert eine einzelne Datenbank mit über 24 Milliarden Datensätzen inklusive Session-Cookies (). Reine Passwörter gelten unter diesen Bedingungen als kompromittiert.

Phishing-resistente Verfahren binden den Login an die echte Adresse

Phishing-resistente Verfahren beruhen beispielsweise auf dem FIDO2-Standard und asymmetrischer Kryptografie. Das Gerät hält den privaten Schlüssel, der Dienst kennt nur den öffentlichen Teil, und der hinterlegte Schlüssel funktioniert ausschließlich gegenüber der registrierten Adresse. Eine gefälschte Anmeldeseite kann den Login nicht weiterreichen, und der Adversary-in-the-Middle-Angriff scheitert an der fehlenden Adressbindung. Passkeys treten in zwei Formen auf, gerätegebunden mit lokal gehaltenem Schlüssel oder über einen Cloud-Dienst der Plattformanbieter synchronisiert.

CISA ordnet FIDO2, WebAuthn und PKI als stärkste Verfahren ein und stuft SMS-Codes, App-basierte Einmalkennwörter und Push-Bestätigungen ausdrücklich als nicht phishing-resistent ein (PDF). Das BSI führt Passkeys mit der Technischen Richtlinie TR-03188 als Stand der Technik und phishing-resistente Zwei-Faktor-Lösung.

Der Markt folgt dieser Richtung. Microsoft aktiviert Passkeys in Entra ID als Standard-Anmeldemethode und stellt Nutzer von SMS- und Sprach-MFA ab dem 01.09.2026 automatisch auf Passkeys um, ab dem 01.02.2027 endet die native SMS- und Sprach-MFA. Als Treiber nennt Microsoft KI-gestütztes Phishing mit Klickraten bis 54 Prozent. Die FIDO Alliance zählt für 2026 rund 5 Milliarden Passkeys, 68 Prozent der Organisationen setzen Passkeys für Mitarbeiter ein oder rollen sie aus, 82 Prozent nennen passwortlose Anmeldung als Ziel, erreicht haben es 28 Prozent.

Der Umstieg verlangt einen passwortlosen Wiederherstellungsweg. Verliert ein Anwender sein Gerät, ersetzt eine Identitätsprüfung über einen amtlichen Ausweis samt Live-Selfie das Passwort und stellt einen temporären Zugangscode für die Neuregistrierung aus. Die Registrierung der Authenticatoren muss selbst abgesichert sein, denn Angreifer lotsen Anwender inzwischen telefonisch auf gefälschte Registrierungsseiten und hinterlegen dort eine eigene Passkey. Windows Hello for Business dient als FIDO2-Passkey-Anbieter und eignet sich als erster Schritt in die passwortlose Anmeldung. Die Einbindung als vollwertiger Passkey-Provider steht zum Stand Juli 2026 als Public Preview zur Verfügung.

Conditional Access setzt die Anforderungen technisch durch

Conditional Access überführt die Normanforderungen in durchsetzbare Regeln. Die Richtlinien-Engine prüft bei jeder Anmeldung mehrere Signale, darunter Benutzer und Gruppe, Standort, Gerätezustand, Anwendung und das Risiko der Sitzung. Meldet sich ein Konto innerhalb weniger Minuten aus zwei weit entfernten Ländern an, stuft die Engine den Zugriff als riskant ein und verlangt eine erneute Prüfung oder blockiert ihn.

Über die Authentication Strengths erzwingt eine Richtlinie eine bestimmte Qualität der Anmeldung. Microsoft unterscheidet die Stufen MFA, passwortlose MFA und phishing-resistente MFA. Privilegierte Rollen erhalten die höchste Stufe zuerst, der breite Rollout folgt in Wellen.

Der Weg in die produktive Umgebung beginnt im reinen Berichtsmodus. Die Richtlinie wertet Anmeldungen im Hintergrund aus und schreibt die Ergebnisse in Protokolle, ohne den Zugriff zu blockieren. Das What-if-Tool simuliert einzelne Anmeldeszenarien vorab. Notfallkonten mit sehr langem Passwort und FIDO2-Schlüssel bleiben von der Richtlinie ausgenommen, damit ein Fehler in der Regel keine vollständige Aussperrung auslöst. Nach der Auswertung wechselt der Status von Bericht auf aktiv.

Microsoft erzwingt seit 2026 verpflichtende MFA für den Zugriff auf das Admin-Center und weitere Verwaltungswege. Die Pflicht gilt für das Admin-Center, der Aufschub für CLI, PowerShell und Infrastructure as Code lief zum 01.07.2026 aus (). Gegen gestohlene Sitzungstokens bindet ein Tokenschutz das Token an das ausstellende Gerät, ein an anderer Stelle eingespieltes Token verliert damit seine Gültigkeit. Eine Richtlinie zur Gerätekonformität lässt den Zugriff nur von verwalteten und konformen Geräten zu und entwertet einen gestohlenen Token zusätzlich.

Auditoren erwarten gelebte Nachweise statt Screenshots

Auditoren verlangen für A.8.5 funktionierende Nachweise. Ein Screenshot einer aktivierten MFA genügt nicht, gefordert sind die Konfiguration des Identitätsanbieters, Enrollment-Statistiken und der belegte Abdeckungsgrad privilegierter Konten. Der Prüfer beginnt bei der Zugangssteuerungsrichtlinie, verfolgt den Umgang mit Authentifizierungsinformationen und kontrolliert, ob Berechtigungen zum Authentisierungsniveau passen.

Die Funktionstrennung stellt sicher, dass kein einzelnes Konto eine kritische Aktion allein anstoßen und freigeben kann. Physische Zutrittskontrollen spiegeln die digitale Zugangssteuerung, ein Serverraum verlangt neben der Ausweiskarte einen PIN-Code und teils ein biometrisches Merkmal. Protokolle über Identitätsänderungen, Aktivierungen und fehlgeschlagene Anmeldungen bilden die Grundlage für Warnmeldungen und spätere Untersuchungen.

Die Anforderung gilt auch für Dienstleister, Schnittstellen und angebundene Dienste. Ein Managed Service Provider mit weitreichendem Zugriff muss sich sicher authentisieren, bevor er eine Verbindung aufbaut. Meldet sich ein solcher Zugang um 2 Uhr nachts außerhalb geplanter Wartungsfenster an, deckt eine aktive Überwachung diesen Vorgang auf und löst eine Prüfung aus.

Fazit

Die ISO 27001:2022 regelt sichere Authentisierung über vier ineinandergreifende Controls und lässt die Wahl der Technik offen. Die Bedrohungslage 2026 verschiebt den Maßstab von Passwörtern und klassischer MFA zu Phishing-resistenten Verfahren. Passwortregeln nach Länge, Conditional Access mit erzwungener Authentisierungsstärke und Passkeys als Standard bilden den technischen Kern einer normkonformen Umsetzung.