Техника и безопасность · · 5 мин. чтения · Автор: Alexander
Двухфакторная аутентификация: базовая защита доступов фирмы
Двухфакторная аутентификация добавляет к паролю вторую проверку. Украденного или угаданного пароля уже недостаточно для входа, если второй фактор и восстановление доступа настроены правильно.
Что такое двухфакторная аутентификация?
При 2FA используются два разных признака: например, то, что вы знаете — Passwort, и то, чем владеете — смартфон или Sicherheitsschlüssel. Отпечаток пальца или лицо тоже могут участвовать в проверке. Два пароля не являются настоящей 2FA, потому что относятся к одному фактору знания.
Практический смысл прост: получив пароль, злоумышленник не войдёт в аккаунт без второго фактора. Немецкое ведомство BSI рекомендует Zwei-Faktor-Authentisierung для важных Online-Konten и указывает, что она заметно повышает безопасность. Источник: BSI, материалы о 2FA и sicheren Passwörtern, проверено 03.11.2026.
2FA не останавливает все атаки. Фальшивая страница входа может запросить одноразовый код, а случайно подтверждённый Push-запрос — пропустить злоумышленника. Поэтому нужны понятные правила и безопасное восстановление.
Какие доступы фирмы нужно защищать в первую очередь?
Начните с аккаунтов, через которые можно захватить другие сервисы или остановить работу фирмы. На первом месте обычно деловая E-Mail: туда приходят ссылки сброса пароля, через неё отправляются счета и конфиденциальные данные. Затем идут Admin-Zugänge, Cloud, Buchhaltung, Online-Banking, управление Domain и Hosting, Social Media и реклама.
Составьте реестр: сервис, ответственный, владелец аккаунта, метод 2FA и путь восстановления. Он покажет общие пароли, аккаунты бывших сотрудников и администраторов без замены. Сами пароли храните в Passwortmanager, а не в таблице.
Оценивайте возможный ущерб, а не частоту использования. Редко открываемый Domain-Registrar может быть критичнее Newsletter-Tool: захват DNS способен одновременно нарушить работу сайта и почты.
- Деловая E-Mail и центральные Identity-Konten
- Администрирование Website, Hosting, Domain и DNS
- Cloud, Buchhaltung, Banking и платёжные сервисы
- CRM, Kundendaten, Terminbuchung и Fachsoftware
- Social Media, Google-Unternehmensprofil и рекламные аккаунты
Какой метод 2FA подходит малому бизнесу?
Методы дают разный уровень защиты. SMS обычно лучше одного пароля, но зависит от номера телефона. Authenticator-App создаёт временные коды на устройстве. Push-подтверждение удобно, но должно показывать данные входа или требовать совпадения числа, чтобы сотрудники не подтверждали каждый запрос автоматически.
Аппаратные Sicherheitsschlüssel и Passkeys на базе FIDO2 сильнее привязывают вход к настоящему сервису и хорошо защищают от Phishing. BSI описывает FIDO2 как сильный или беспарольный способ входа и советует надёжные вторые факторы для важных аккаунтов. Источник: BSI, FIDO2 и Zwei-Faktor-Authentisierung, проверено 03.11.2026.
| Метод | Защита | Применение |
|---|---|---|
| SMS-код | Лучше одного пароля, но зависит от номера | Временный вариант, если сервис не предлагает лучшего |
| Authenticator-код | Работает без сети; код можно ввести на Phishing-сайте | Практичный стандарт для небольшой команды |
| Push | Удобно; риск случайного подтверждения | Использовать с данными входа или Zahlenabgleich |
| Hardware-Key / FIDO2 | Высокая устойчивость к Phishing | E-Mail, Admin, Cloud, Domain и критичные аккаунты |
| Passkey | Устойчивый к Phishing вход с защитой устройства | Если сервисы и Geräteverwaltung надёжно поддерживают Passkeys |
Нужны ли надёжные пароли при включённой 2FA?
Да. Для каждого аккаунта нужен отдельный длинный пароль, чтобы утечка у одного Anbieter не открыла E-Mail, Hosting или Buchhaltung. Passwortmanager создаёт и хранит случайные пароли и избавляет от повторения одного Kennwort с небольшими изменениями.
BSI рекомендует отдельный пароль для каждого сервиса и использование Passwortmanager. Его Master-Passwort должно быть длинной запоминаемой фразой, а сам менеджер следует защитить 2FA. Источник: BSI, sichere Passwörter и Passwortmanager, проверено 03.11.2026.
Используйте персональные Konten вместо общего Login. Тогда права можно ограничить по задаче, а при увольнении сотрудника — заблокировать только его доступ.
Как внедрить 2FA без хаоса?
Назначьте ответственного и порядок внедрения. Сначала протестируйте 2FA на E-Mail и одном Admin-Zugang, запишите шаги и проверьте вход со второго устройства до общего Rollout.
Подготовьтесь к потере смартфона: кто выдаёт Ersatzgerät, где лежат Wiederherstellungscodes и могут ли два администратора восстановить критичный аккаунт? Backup-Codes храните зашифрованно или физически защищённо, отдельно от рабочего телефона.
Проведите короткий инструктаж: отклонять неожиданные Push-запросы, проверять адрес входа, не сообщать коды по телефону и сразу докладывать о подозрениях. Website-Abo может закрепить Updates, Backups и роли сайта, но E-Mail, Cloud и другие доступы требуют общего процесса фирмы.
- Создать реестр доступов и отметить критичные
- Настроить персональные Konten
- Выбрать Passwortmanager и защитить его 2FA
- Сначала перевести E-Mail, Admin, Cloud и финансы
- Проверить Backup-Codes, Ersatzgerät и Vertretung
- Документировать блокировку при увольнении
Обязательна ли 2FA по закону в Германии?
Общего требования защищать каждый аккаунт каждой небольшой фирмы с помощью 2FA нет. Но Art. 32 DSGVO требует подходящих technischen und organisatorischen Maßnahmen с учётом риска, Stand der Technik и контекста обработки. Источник: Art. 32 DSGVO через EUR-Lex, проверено 03.11.2026.
Для Gesundheitsdaten, больших массивов Kundendaten, Personalakten или Zahlungsdaten один пароль обосновать сложнее. MFA также могут требовать договоры, Cyberversicherung, Auftraggeber или отраслевые нормы. Конкретная оценка зависит от ситуации.
Документируйте системы, метод 2FA, дату включения, восстановление и отзыв доступа. Это помогает при внутренних проверках, вопросах страховщика и инцидентах.
Что включить в Notfallplan для 2FA?
Определите, кому звонить при потере устройства, как блокируется фактор, где лежат Ersatzschlüssel и кто проверяет личность сотрудника. Минимум два уполномоченных человека должны уметь восстановить критичные Konten без общего повседневного ключа.
Тестируйте восстановление после смены сотрудников и устройств. Удаляйте старые смартфоны, номера, App-Verknüpfungen и Schlüssel, проверяйте активные сессии: смена пароля не всегда автоматически завершает их.
При подозрительном входе смените пароль с доверенного устройства, отзовите неизвестные сессии и факторы, проверьте Weiterleitungen, роли и Recovery-Adressen. Зафиксируйте время и действия и оцените возможные Meldepflichten по DSGVO.
Частые вопросы о 2FA
Достаточно ли 2FA по SMS?
Обычно это лучше одного пароля, но для критичных аккаунтов надёжнее Authenticator, Passkey или Hardware-Key.
Что делать при потере телефона?
Немедленно заблокировать фактор и использовать заранее проверенные Backup-Codes, Ersatzgerät или второго администратора.
Нужен ли каждому сотруднику отдельный аккаунт?
Да. Персональные Konten легче контролировать и блокировать по отдельности.
Можно ли обойти 2FA?
Да, через Phishing, украденные сессии или случайно подтверждённый Push. FIDO2 уменьшает риск Phishing.
Где хранить коды восстановления?
Зашифрованно или физически защищённо, отдельно от рабочего смартфона или ноутбука.