ePraxis Digital Das Magazin für Ihre Praxis

Ratgeber · IT-Sicherheit & Datenschutz

Mehrfaktor-Authentifizierung: So sichern Sie Ihre Praxiskonten ab

Mehrfaktor-Authentifizierung: Wählen Sie für Ihre Praxiskonten ein passendes Verfahren und prüfen Sie mit Ihrer IT-Betreuung den Zugang bei Geräteverlust.

Veröffentlicht
Aktualisiert
Fachlich geprüft
Von
Jonas Weber
Geprüft von
Daniel Berger, Henrik Dahl, Elisa Kern

Für diesen Artikel wurde generative KI als Werkzeug bei der Recherche, beim Schreiben und bei der Prüfung eingesetzt. Ein Mensch hat den Artikel redaktionell geprüft und zur Veröffentlichung freigegeben. Mehr zu unserem Umgang mit KI.

Gelangen Unbefugte an das Passwort Ihres Praxis-E-Mail-Kontos, können weitere Zugänge gefährdet sein. Zugleich muss Ihr Team bei einem verlorenen Anmeldegerät arbeitsfähig bleiben. Planen Sie Mehrfaktor-Authentifizierung deshalb zusammen mit einem geregelten Ersatzweg, bevor Sie weitere Konten umstellen.

Die KBV hat am 5. November 2026 einen Praxisleitfaden veröffentlicht. Prüfen Sie mit Ihrer IT-Betreuung zunächst E-Mail und Fernzugriff: Welche Dienste unterstützen einen zusätzlichen Anmeldenachweis? Der Hinweis belegt keine neue Pflicht und keine Unterstützung durch jedes Praxisverwaltungssystem.

Welches Verfahren passt zu Ihrem Dienst?

Bei der Mehrfaktor-Authentifizierung reicht das Passwort allein nicht aus. Die US-Sicherheitsbehörde CISA empfiehlt phishingresistente Verfahren, die gegen betrügerische Anmeldeseiten schützen sollen. Ihre Empfehlung stammt von 2022.

  • Persönlicher FIDO2-Sicherheitsschlüssel: Diese physische Anmeldehilfe kommt ohne Dienst-Smartphone aus. Prüfen Sie mit der IT-Betreuung, ob der konkrete Dienst ein phishingresistentes Verfahren unterstützt, welche Geräteanschlüsse nötig sind und wie ein Ersatzschlüssel eingerichtet wird. Nicht jeder beliebige Hardware-Token erfüllt dieselbe Schutzfunktion.
  • Authenticator-App mit Einmalcode: Eine App erzeugt einen kurz gültigen Code. Dafür benötigen Mitarbeitende ein zugeordnetes Gerät und einen geregelten Gerätewechsel. Ein App-Code ist kein Beleg für Phishingresistenz.
  • Push-Anfrage: Die Anmeldung wird am Smartphone bestätigt. Falls ein phishingresistentes Verfahren zunächst nicht verfügbar ist, empfiehlt CISA einen Zahlenabgleich, „Number Matching“, gegen wahlloses Bestätigen vieler Anfragen. Das ist eine schwächere Zwischenlösung, kein gleichwertiger Phishingschutz.

Prüfen Sie jede Option an denselben Fragen: Unterstützt der Dienst sie, welchen Schutz bietet sie, welches Gerät wird benötigt und wie gelingt autorisierter Ersatz? Bevorzugen Sie ein unterstütztes phishingresistentes Verfahren; reine Bequemlichkeit sollte die Schutzunterschiede nicht verdecken.

Wer darf den Zugang wiederherstellen?

Benennen Sie vor der Umstellung den zuständigen Administrator oder IT-Dienstleister. Vereinbaren Sie, wie diese Stelle die Identität einer berechtigten Person prüft, Ersatz einrichtet und einen verlorenen Faktor entzieht. Bewahren Sie Wiederherstellungscodes geschützt auf. Jede Person nutzt ihr eigenes Konto und ihren eigenen Faktor; Vertretung bedeutet keine Weitergabe persönlicher Zugangsdaten. Eine pauschale Abschaltung der zusätzlichen Sicherung ist kein Ersatzplan.

Ein begrenzter Test vor der Umstellung

Als praktischen Einstieg schlagen wir eine von Ihrer IT-Betreuung eingerichtete Testumgebung ohne vertrauliche Inhalte vor. Dort erhält jede beteiligte Testperson ein getrenntes Testkonto mit eigenem Faktor. Wählen Sie die jeweils zutreffenden Prüfsituationen aus und prüfen Sie ausschließlich diese Testkonten im vereinbarten Umfang. Führen Sie keine echten Angriffe durch und verändern Sie keine produktiven Zugänge. Halten Sie Ergebnis und nötige Korrekturen fest:

  1. Die benannte Testperson meldet sich mit ihrem zugeordneten Testfaktor an ihrem Testkonto an. Erwartet wird der reguläre Zugang zu diesem Konto.
  2. Nur bei Push: Die IT-Betreuung löst für das Testkonto eine vereinbarte Anfrage aus, die die Testperson nicht selbst gestartet hat. Die Testperson lehnt sie ab und nutzt den vereinbarten Meldeweg.
  3. Die Testperson legt den bisherigen Testfaktor zunächst beiseite und verwendet ihn nicht zur Anmeldung. Sie nutzt mit der IT-Betreuung den vereinbarten autorisierten Ersatzweg; der Zugang zum Testkonto muss gelingen. Anschließend entzieht die IT-Betreuung den bisherigen Testfaktor. Nun nimmt die Testperson ihn für einen gesonderten neuen Anmeldeversuch wieder zur Hand: Dieser Versuch muss abgewiesen werden.
  4. Die als Vertretung vorgesehene Testperson meldet sich mit ihrem eigenen berechtigten Testkonto und ihrem eigenen Testfaktor an, ohne fremde Faktoren zu übernehmen.

Scheitert ein Schritt, klären Sie die Ursache mit der zuständigen Stelle, bevor Sie weitere Konten umstellen. Der Test zeigt konkrete Lücken im gewählten Ablauf; er ist keine Sicherheitszertifizierung und garantiert keinen störungsfreien Betrieb.

Quellen