Glossarbegriff
MFA
Auch: Multi-Factor Authentication, Mehr-Faktor-Authentifizierung
Authentifizierung, die mindestens zwei Faktoren aus den Kategorien Wissen (Passwort), Besitz (Hardware-Token, Smartphone) und Sein (Biometrie) kombiniert. Pflicht nach NIS2 Art. 21 Buchstabe j und DORA Art. 9.
Schwache MFA: SMS- oder E-Mail-OTP, anfällig für SIM-Swapping und Phishing. Mittlere MFA: TOTP-Apps wie Google Authenticator, besser als SMS, aber phishbar.
Starke MFA: phishing-resistente Faktoren nach NIST SP 800-63B AAL3, in der Praxis FIDO2/WebAuthn mit Hardware-Schlüsseln (YubiKey, SoloKey, Titan) oder Passkeys mit Plattform-Attestation. Schützt strukturell gegen Phishing, AiTM-Proxy-Angriffe und Replay.
In der Praxis
Pflicht-Logik 2026: privilegierte Accounts brauchen phishing-resistente MFA. Standard-User mindestens TOTP. SMS-MFA wird in regulierten Branchen zunehmend abgelehnt.
Verwandte Begriffe
Passkeys
Phishing-resistente Authentifizierungs-Credentials nach WebAuthn/FIDO2, die private Schlüssel auf dem Gerät halten und biometrisch oder per PIN entsperrt werden. Lösen klassische Passwörter und SMS-OTP ab.
FIDO2
Offener Authentifizierungs-Standard der FIDO Alliance plus W3C, bestehend aus WebAuthn (Browser-/Plattform-Schnittstelle) und CTAP2 (Geräte-Protokoll). Grundlage für phishing-resistente MFA und Passkeys.
IAM (Identity and Access Management)
The stack of systems that governs who has access to which systems under which conditions. IAM covers authentication, single sign-on, lifecycle management, access governance (IGA) and privileged access management (PAM), and is the most commonly breached control in enterprise environments.
Zero Trust
A security model built on the principle that no user, device or network location is trusted by default. Access is continuously verified against identity, device posture, context and policy, regardless of whether the request comes from inside or outside the corporate network.
MITRE ATT&CK Evaluation
Eine vom MITRE Engenuity Center for Threat-Informed Defense durchgeführte standardisierte Bewertung von EDR/XDR-Plattformen gegen reale Bedrohungs-Szenarien. Ergebnisse sind öffentlich zugänglich und werden im EDR-Auswahlprozess als Input genutzt.
AI Act Konformitätsbewertung
Verfahren zur Feststellung, dass ein Hochrisiko-KI-System die Anforderungen des EU AI Act erfüllt, bevor es in Verkehr gebracht oder in Betrieb genommen wird. Pflicht für alle Anhang-III-Hochrisiko-Systeme ab 2. Dezember 2027 (verschoben vom ursprünglichen 2. August 2026 durch den Digital Omnibus, Verordnung (EU) 2026/1744).
AI Act Risikoklassen
Vier-stufige Klassifikation nach EU AI Act: verboten (Art. 5), Hochrisiko (Anhang I/III), begrenztes Risiko (Art. 50 Transparenzpflichten), minimales Risiko (freiwillige Codes). Klassifizierung ist die erste Pflicht, sie muss dokumentiert und nachvollziehbar sein.
BaFin DORA-Aufsichtsmitteilung
Veröffentlichungen der BaFin zur Auslegung und Erwartung der DORA-Anwendung in Deutschland. Stand 2025/2026 ergehen die wichtigsten Hinweise als Aufsichtsmitteilungen, Merkblätter und Fachartikel im BaFin-Journal, nicht als klassisches Rundschreiben.