Passwort-Sicherheit: Neue Ära bricht an
New York macht Ernst: MFA wird Pflicht
Die Ära des simplen Passworts endet: New York verschärft die Regeln, Tech-Giganten setzen auf biometrische Zugänge. Eine Reaktion auf explodierende Cyberkriminalität, die auch Europa betrifft.
Als Antwort auf eine Flut von Cyberangriffen vollzieht sich derzeit ein fundamentaler Wandel in der digitalen Sicherheit. Während in New York seit dieser Woche strenge Zwei-Faktor-Authentifizierung für Finanzinstitute Pflicht ist, treiben Microsoft, Google und WhatsApp parallel den Abschied vom klassischen Passwort voran. Die Botschaft ist eindeutig: Der simple Login-Schutz hat ausgedient.
Der doppelte Fokus – Stärkung bestehender Systeme und gleichzeitiger Aufbruch in eine passwortlose Zukunft – zeigt die Dringlichkeit der Lage. Doch wie realistisch ist dieser Umbruch? Und was bedeutet er für deutsche Nutzer und Unternehmen?
Seit dem 1. November 2025 gilt in New York eine wegweisende Vorschrift: Alle vom Finanzaufsichtsamt NYDFS regulierten Unternehmen müssen Multi-Faktor-Authentifizierung (MFA) flächendeckend einsetzen. Die Regelung geht weit über bisherige Standards hinaus – betroffen ist jeder Zugriff auf Informationssysteme, nicht nur externe Netzwerkverbindungen.
Anzeige: Apropos Schutz vor Kontoübernahmen — viele Android-Nutzer übersehen grundlegende Vorkehrungen, die genau solche Angriffe verhindern. Ein kostenloses Sicherheitspaket erklärt die 5 wichtigsten Schutzmaßnahmen für Ihr Smartphone, zeigt einfache Schritte für WhatsApp, Online-Banking und App‑Sicherheit und hilft, Datenklau effektiv zu vermeiden. Gratis-Ratgeber: 5 Schutzmaßnahmen für Ihr Android-Smartphone herunterladen
Die Behörde begründet den Schritt mit harten Zahlen: Fehlende MFA-Systeme gehören zu den meist ausgenutzten Schwachstellen bei Datenpannen. Auch kleine Unternehmen müssen nun bei Fernzugriffen und Drittanbieter-Anwendungen nachbessern. Das NYDFS hatte in der Vergangenheit bereits hohe Strafen für unzureichende Zugriffskontrollen verhängt – ein Signal, dass Verstöße konsequent geahndet werden.
Zusätzlich müssen betroffene Firmen ein detailliertes Verzeichnis ihrer IT-Systeme führen. Was in New York beginnt, könnte Schule machen: Ähnliche Regelungen werden bereits in der EU diskutiert, insbesondere im Rahmen der NIS2-Richtlinie.
Microsoft, Google, WhatsApp: Die Passwort-Abschaffung läuft
Während Regulierer die Passwort-Sicherheit verschärfen, arbeitet die Tech-Branche bereits an deren Überwindung. Microsoft verkündete diese Woche: “Passkeys sind die Zukunft der Online-Sicherheit”. Nutzer können diese kryptografischen Schlüssel nun über den Windows-Passwortmanager synchronisieren.
Das Prinzip: Statt ein Passwort einzugeben, authentifiziert man sich per Fingerabdruck, Gesichtsscan oder Geräte-PIN. WhatsApp zog nach und führte Passkey-Unterstützung für verschlüsselte Chat-Backups ein. Auch Google treibt die native Integration voran.
Der Vorteil liegt auf der Hand – Passkeys verbinden automatisch zwei Faktoren: das Gerät (etwas, das man besitzt) und biometrische Daten (etwas, das man ist). Doch die Realität sieht holpriger aus: Ein aktueller Report von RSA Security zeigt, dass 90 Prozent der Organisationen auf Hürden bei der Umstellung auf passwortlose Authentifizierung stoßen.
Cloud-Riesen machen Tempo: MFA wird erzwungen
Da der vollständige Wechsel noch Jahre dauern wird, setzen Google und Microsoft auf einen Zwischenschritt: verpflichtende Zwei-Faktor-Authentifizierung für ihre Cloud-Dienste. Google Cloud führt die Pflicht in Phasen ein – Anfang 2025 für passwortbasierte Logins, bis Ende 2025 für alle Nutzer inklusive föderierter Konten.
Microsoft zieht nach und weitet die MFA-Pflicht für Azure und Microsoft 365 aus. Das Argument ist überzeugend: Studien zeigen, dass MFA über 99,2 Prozent der Kontoübernahmen blockieren kann. Ab dem 1. Oktober 2025 wird die zweite Enforcement-Phase greifen, die auch Management-Tools wie Azure CLI und PowerShell umfasst.
Für deutsche Unternehmen, die stark auf Microsoft- oder Google-Infrastruktur setzen, bedeutet das: Handeln ist zwingend erforderlich. Die Cloud-Anbieter lassen keine Ausnahmen zu.
Explosion der Identitäts-Angriffe: Die Zahlen sind alarmierend
Warum diese drastischen Maßnahmen? Der RSA ID IQ Report 2026, veröffentlicht am 5. November 2025, liefert die Antwort: 69 Prozent aller globalen Organisationen erlitten in den letzten drei Jahren einen identitätsbezogenen Sicherheitsvorfall – ein dramatischer Anstieg von 42 Prozent im Vorjahr.
Die Zahlen belegen: Traditionelle Passwort-Systeme sind hoffnungslos überfordert. Kriminelle setzen auf gestohlene Zugangsdaten, Phishing und Brute-Force-Attacken. Ohne zusätzliche Schutzebenen sind selbst komplexe Passwörter wertlos.
Auch politisch wächst der Druck. Diese Woche forderten US-Senator Ron Wyden und Abgeordneter Raja Krishnamoorthi die Federal Trade Commission auf, gegen den Überwachungstechnologie-Anbieter Flock Safety zu ermitteln. Der Vorwurf: Das Unternehmen aktiviert MFA nicht standardmäßig für Polizeikunden – obwohl hochsensible Standortdaten verarbeitet werden. Die Politiker sprechen von Fahrlässigkeit.
Ausblick: Hybride Sicherheit als Übergangslösung
Wie sieht die Zukunft aus? Die Branche strebt eine Balance zwischen maximaler Sicherheit und Nutzerfreundlichkeit an. Passkeys sind ein großer Schritt, doch offene Fragen bleiben: Was passiert bei Geräteverlust? Wie funktionieren Wiederherstellungsmechanismen?
Langfristig deuten Technologien wie dezentralisierte Identitäten (DID) und die European Digital Identity Wallet (EUDIW) auf eine neue Ära hin: Nutzer kontrollieren ihre digitalen Identitäten selbst, stark authentifiziert und verschlüsselt.
Kurzfristig müssen Unternehmen eine Hybrid-Strategie fahren: MFA für bestehende Systeme verpflichtend einführen, parallel die Migration zu passwortlosen Verfahren planen. Die Fristen von Regulierern wie dem NYDFS und die Enforcement-Phasen von Google und Microsoft wirken als Beschleuniger.
Eines steht fest: Das simple Passwort als primäre Verteidigungslinie hat ausgedient. Die digitale Sicherheit tritt in eine neue Phase – komplexer, aber deutlich robuster.
Anzeige: PS: Sie möchten Ihr Smartphone rundum sichern? Viele Leser fordern inzwischen das kostenlose Sicherheitspaket an, das die fünf wichtigsten Maßnahmen für Android Schritt für Schritt erklärt – inklusive Checklisten für WhatsApp-, Banking- und App‑Sicherheit. Holen Sie sich den Praxis‑Guide und prüfen Sie Ihre Einstellungen sofort. Jetzt Gratis-Sicherheitspaket für Android anfordern
