MFA allein schützt keine kritische Infrastruktur
"Wir haben doch MFA!“ – Warum das 2026 in vielen Fällen nicht mehr reicht
Viele Unternehmen fühlen sich sicher: Multi-Faktor-Authentifizierung (MFA) ist eingeführt, der Login geschützt, die Häkchen in der IT-Sicherheitsstrategie gesetzt. Doch genau diese Annahme wird im Jahr 2026 zunehmend zum Problem. Nicht, weil Authentifizierung per MFA falsch wäre – sondern weil sie allein den heutigen regulatorischen und auditiven Anforderungen nicht mehr genügt.
Audits stellen eine neue Kernfrage
Mit Regularien wie NIS-2, KRITIS und ISO 27001 verschiebt sich der Fokus deutlich. Entscheidend ist nicht mehr nur, ob sich jemand sicher anmelden kann, sondern:
Wer hatte wann Zugriff auf welches System – und lässt sich dieser Zugriff nachvollziehbar, begründen und revisionssicher dokumentieren?
Passwortbasierte Anmeldungen, selbst in Kombination mit klassischer MFA, liefern darauf nur begrenzte Antworten. Denn MFA erweitert lediglich den Anmeldeprozess und schützt vor Sicherheitsverletzungen. Sie entscheidet nicht darüber, welche Zugriffe erlaubt sind, wie sie gesteuert werden und ob sie später lückenlos nachweisbar sind.
Lesen Sie unten in diesem Beitrag, welche Vorgaben NIS-2, KRITIS und ISO 27001 im Zusammenhang mit Access Management erwarten.
Zugriffskontrolle statt reiner Authentifizierung
Genau hier setzt SecureEnvoy Access Management an. Die Lösung schließt die Lücke zwischen sicherer Anmeldung und moderner, auditfähiger Zugriffskontrolle – und adressiert damit die realen Anforderungen von Unternehmen in regulierten Umgebungen.
Access Management ermöglicht unter anderem:
- Kontextbasierte Zugriffsentscheidungen auf Basis von Benutzeridentität, Gerät, Lokation (Geofencing), Anwendung und Risikoprofil (Conditional Access) nach dem Zero Trust Prinzip
- Einheitliches, identitätsbasiertes Zugriffsmanagement auf Basis von Kriterien über alle Authentifizierungsarten hinweg
- Single Sign-on (SSO) für Netzwerke, Cloud, Daten, Applikationen & Web-Portale
- Universal Directory integriert Benutzer-Repositories, wie LDAP, Microsoft AD, Entra ID, Google Directory u.a.
- Zentrale Steuerung von Rollen, Rechten und Zugriffsregeln
- Benutzerverwaltung, zentrales On- und Offboarding
- Integriert Verfahren der passwortlosen Authentifizierung (z. B. FIDO2, Zertifikate, Smartcards, Token)
- Lückenlose, revisionssichere Protokollierung für Audits und Compliance
Betrieb unter eigener Kontrolle – On-Premises, Hybrid oder Private Cloud
Access Management ohne «Cloud-Only-Ansatz» und dementsprechend geeignet für KRITIS- und hochregulierte Umgebungen.
Der entscheidende Unterschied
Der wahre Maßstab moderner Cybersecurity liegt nicht darin, welche Anmeldung genutzt wird – sondern darin, wie Zugriffe kontrolliert, begrenzt und nachgewiesen werden können.
Oder anders gesagt: Ein sicherer Login ist gut. Eine nachvollziehbare Zugriffskontrolle und Berechtigungsmanagement ist auditfähig.
Cybersecurity 2026
Cybersecurity im Jahr 2026 bedeutet:
Weniger Passwörter. Mehr Kontrolle. Volle Auditfähigkeit.
Vorgaben der Regulatoriken NIS-2, KRITIS-BV und ISO 27001
Access Management Vorgaben in NIS-2
- Wo relevant: Mindest-Cybersecurity-Maßnahmen inkl. Access-Control-Policies und Nutzung von Multi-Factor-Authentication/Continuous Authentication.
- Was das praktisch bedeutet: Für betroffene «essential/important entities» ist Access Management (oder gleichwertig) als Maßnahme ausdrücklich adressiert.
- Bei Remote-Access, privilegierten Konten, Service Accounts, Maschinenidentitäten und Einsatz von Drittanbietern ist MFA und Access Management explizit vorgegeben, wenn die Organisation auch noch KRITIS unterliegt.
Access Management für kritische Infrastrukturen / KRITIS
- Sicherheitsmaßnahmen auf dem «Stand der Technik» umsetzen. Das bedeutet, dass Zugriffsrechte eindeutig zuordenbar, dokumentiert und kontrollierbar sein müssen.
- KRITIS-Unternehmen sind verpflichtet, alle zwei Jahre dem Bundesamt für Sicherheit in der Informationstechnik (BSI) nachzuweisen, dass ihre technischen und organisatorischen Maßnahmen tatsächlich dem Stand der Technik entsprechen. Dies erfordert unter anderem aussagekräftige Dokumentation darüber, wer auf welche Systeme, Daten und Anwendungen Zugriff hat, Nachweis über aktualisierte Prozesse und Berechtigungsvergabe sowie die revisionssichere Protokollierung von Zugriffsfällen.
- Regelmäßige Risikoanalyse und deren Dokumentation
- Audit-fähige Darstellung von «wer wann worauf zugegriffen hat»
Die Vorgaben zu Access Management in ISO 27001 / ISMS
- Die Grundprinzipien der ISO 27001 verlangen klare Regeln, wer worauf zugreifen darf (Annex-A Controls)
- Formale Prozesse für den gesamten Lebenszyklus von Zugriffsrechten
- Technische Kontrollen zur Durchsetzung von Regeln
- Regelmäßige Überprüfungen und Anpassung der Zugriffsrechte
- Nachvollziehbarkeit und Auditierbarkeit
Mehr erfahren