MHC-03 Phishing-resistente Multi-Faktor-Authentisierung

Auf einen Blick

Operativer Nutzen

Macht abgefangene oder erbeutete Anmeldedaten auf gefälschten Seiten wertlos und entzieht damit AI-gestütztem, täuschend echtem Phishing die Grundlage.

Betroffene Richtlinie

Richtlinie zur Zugriffssteuerung und Authentisierung.

Abhängigkeiten

keine Vorbedingung; wirkt gut zusammen mit MHC-04 (privilegierter Zugriff).

Aufwandstreiber

hängt von der Zahl der Nutzer, Dienste und Altsysteme sowie von der vorhandenen Identitätsplattform ab. Der konkrete Aufwand richtet sich nach den Ressourcen der Organisation.

Primäre Kennzahl

Phishing-Resistant Account Coverage — Anzahl phishing-resistent abgesicherter In-Scope-Accounts geteilt durch die Anzahl aller In-Scope-Accounts. Zielwert für privilegierte Accounts: 100 % oder dokumentierte, befristete und risikogenehmigte Ausnahme. Der Anteil der Anmeldungen über phishing-resistente Verfahren wird nur ergänzend als Nutzungskennzahl erhoben, weil einzelne stark genutzte Accounts das Bild sonst verzerren.

Berührte Standards (ohne Erfüllungsanspruch)

ISO/IEC 27002 A.5.17/A.8.5; NIST SP 800-63B Revision 4; FIDO2/WebAuthn; C5:2026 IAM-08; NIS2-DVO Nr. 11.6 und Nr. 11.7, für privilegierte Konten zusätzlich Nr. 11.3.2 Buchst. a.

Control-Statement

Privilegierte Zugänge und extern erreichbare Dienste werden mit phishing-resistenten Verfahren abgesichert (FIDO2/WebAuthn, Passkeys oder Hardware-Token). Begriffliche Präzisierung: Ein gerätegebundener Passkey erfüllt das Mehrfaktor-Kriterium erst zusammen mit lokaler Nutzerverifikation (PIN oder Biometrie); ohne sie liegt ein reiner Besitzfaktor vor. Für die Schutzwirkung gegen AI-gestütztes Phishing ist die Origin-Bindung maßgeblich, nicht die Zahl der Faktoren. SMS- und einfache Bestätigungsverfahren werden für neue Zugänge ausgeschlossen. Weiterführende Härtung (Stufe Managed): Ausweitung auf Zugänge zu als besonders schützenswert klassifizierten internen Systemen bis hin zur organisationsweiten passwortlosen Anmeldung.

Zweck und Bedrohungsbezug

Phishing ist durch AI in Qualität und Menge stark gestiegen: gefälschte Anmeldeseiten, täuschend echte E-Mails und in Echtzeit weitergereichte Codes umgehen klassische Zwei-Faktor-Verfahren wie SMS oder App-Bestätigung. Phishing-resistente Verfahren binden den Anmeldenachweis kryptografisch an die echte Adresse des Dienstes; auf einer gefälschten Seite ist der Nachweis daher wertlos. Schutzziel ist, dass abgefangene oder erbeutete Anmeldedaten dem Angreifer nichts nützen.

Wirkung in den Regelwerken

Auf diese Controls und Anforderungen wirkt das MHC. Die Einstufung zeigt, wie stark das jeweilige Control unter KI-gestützten Angriffen an Wirkung verliert.

Alle 93 Controls in der Analysematrix · Alle 45 Controls in der Befundmatrix · Alle 23 Anforderungen der Bausteinfamilie

Reifegrad-Pfad

Initial

FIDO2/Passkeys für privilegierte Zugänge.

Defined

phishing-resistente Verfahren verpflichtend für alle privilegierten Zugänge und alle extern erreichbaren Dienste.

Managed

passwortlose Anmeldung organisationsweit; SMS-Verfahren abgeschaltet.

Messung und Audit-Nachweis

Kennzahl

Phishing-Resistant Account Coverage — Anteil der In-Scope-Accounts mit phishing-resistenter Absicherung, getrennt nach privilegierten und extern erreichbaren Accounts (Zielwert: privilegiert 100 % oder dokumentierte, befristete und risikogenehmigte Ausnahme; extern erreichbar ≥ 95 %). Der Anteil der Anmeldungen über phishing-resistente Verfahren wird nur ergänzend als Nutzungskennzahl erhoben.

Nachweis

Konfiguration der Identitätsplattform, Liste der zugelassenen Verfahren je Zugangsklasse, Nachweis der Abschaltung von SMS-Verfahren.

Nachweislogik (in Anlehnung an ISO/IEC 27001, Clause 9)

dokumentiert? — Authentisierungsrichtlinie und Plattformkonfiguration; verantwortlich? — Identitäts-/IT-Leitung; Häufigkeit? — fortlaufend; Toleranz? — keine privilegierten oder extern erreichbaren Zugänge mit ausschließlich SMS- oder einfacher Push-Bestätigung.

Typische Fehler

• Phishing-resistente Verfahren werden eingeführt, aber schwächere Verfahren bleiben als Ausweichweg aktiv — der Angreifer nutzt den schwächsten Pfad.
• Für die höchste Schutzstufe werden synchronisierbare Passkeys eingesetzt, obwohl dort ein gerätegebundener, nicht exportierbarer Schlüssel erforderlich ist.
• Das Ersatzverfahren bei Verlust (etwa Rücksetzung per Anruf) unterläuft das Schutzniveau.
• Nur einzelne Anwendungen werden umgestellt, während privilegierte Zugänge weiterhin schwächer abgesichert bleiben.

Abgrenzung und Restrisiko

Abgrenzung

betrifft den Anmeldenachweis der Nutzer; die Identität von Diensten und Workloads deckt MHC-04 ab.

Restrisiko

Angriffe können sich auf die Wiederherstellungs- und Ausweichverfahren verlagern; auch Sitzungsübernahmen nach erfolgter Anmeldung bleiben ein eigenes Thema. Ein kompromittierter Endpoint kann zudem — selbst mit gerätegebundenem Passkey — gültige Authentisierungsnachweise erzeugen (Missbrauch der lokalen Authenticator-Schnittstelle nach der Anmeldung); dieser Pfad wird nicht durch MHC-03, sondern durch Endpoint-Härtung (A.8.7) und verhaltensbasierte Detection (MHC-05) adressiert.

Wirksamkeitsgrenze

phishing-resistent bedeutet nicht phishing-sicher. FIDO2/Passkeys entwerten klassisches Credential-Phishing und MFA-Müdigkeit, nicht aber Sitzungs- oder Token-Diebstahl per Malware, Adversary-in-the-Middle nach der Anmeldung oder Social Engineering am Helpdesk.

ISO/IEC 27002:2022

A.5.17 Authentisierungsinformationen; A.8.5 Sichere Authentisierung; A.6.7 Remote-Arbeit; A.8.1 Endpunktgeräte des Benutzers; A.8.23 Webfilterung.

Framework

NIST SP 800-63B Revision 4 (Schutzniveaus AAL2/AAL3); FIDO2/WebAuthn (FIDO Alliance, W3C); C5:2026 IAM-08; NIS2-DVO Nr. 11.6 (Authentifizierung) und Nr. 11.7 (Multi-Faktor-Authentifizierung), für privilegierte Konten zusätzlich Nr. 11.3.2 Buchst. a.

Umsetzung im Detail

Organisatorische und technische Umsetzung, Umsetzungsbeispiele und die Priorisierung im Gesamtprogramm beschreibt der Implementation Guide.

Implementation Guide (PDF)Zum MHC-Katalog

Quelle: MRIS Implementation Guide (ISO/IEC 27001), Fassung 2.0. Lizenz CC BY-SA 4.0. © 2026 Richard Peddi.