MFA nervt fünf Minuten. Ein gehacktes Konto nervt Wochen. Trotzdem scheitern Einführungen oft an schlechter Kommunikation, nicht an der Technik. Du musst MFA nicht selbst ausrollen. Du gibst frei, dass es verbindlich wird, und informierst die Belegschaft auf Chefebene.
Warum das ein Geschäftsführungsthema ist
Passwörter landen in Phishing-Mails, in alten Browsern, in Wiederverwendung. MFA stellt eine zweite Hürde dazwischen. Für Microsoft 365 und Remote-Zugänge ist das Grundstandard. Ohne zweiten Faktor arbeitet ihr mit offenen Türen. Das ist Haftung und Betriebsrisiko, kein Detail für den Serverkeller.
Was der Partner übernimmt
Reihenfolge: zuerst Konten mit hoher Wirkung, dann Abteilungen in Wellen. Anleitungen, Hotline am ersten Tag, saubere Ausnahmen nur befristet. Sonderfälle wie alte Programme oder fehlende Handys klärt der Partner vorher, nicht du in Einzelgesprächen mit jedem Mitarbeiter.
InfraQ bindet das in IT Security und Microsoft 365 ein. Siehe auch Microsoft 365 absichern und Erstanalyse.
Was von dir kommt
Kurz: MFA kommt, bitte mitmachen, Anlaufstelle ist soundso. Kein „irgendwann freiwillig“. Halbe Abdeckung ist für Angreifer fast so gut wie keine. Wenn Widerstand kommt, unterstützt du den Partner nach außen, statt Ausnahmen ad hoc zu versprechen.
Verwandt: Phishing-Schutz.
Häufige Fragen
Reicht SMS als zweiter Faktor?
Besser als nichts. App oder Hardware-Token sind robuster. Welche Variante passt, entscheidet der Partner mit eurer Umgebung, nicht du im Methodenkatalog.
Können Gäste und Externe ausgenommen werden?
Zugänge brauchen klare Regeln. Ausnahmen sollten selten, begründet und dokumentiert sein. Das gehört in den Betrieb.