Die Unterscheidung, auf die George abhebt, ist keine akademische. Authentifizierung belegt lediglich, dass jemand die zu einem Konto gehörenden Authentifikatoren kontrolliert. Identitätsprüfung – im Fachjargon Identity Proofing – klärt hingegen, ob diese Person tatsächlich der behaupteten realen Identität entspricht. Die NIST Digital Identity Guidelines trennen beide Vorgänge ausdrücklich.
Wie weit diese Lücke reichen kann, zeigt ein einfaches Szenario: Ein Angreifer bringt per Social Engineering einen Helpdesk dazu, die MFA eines Mitarbeiters zurückzusetzen, und registriert anschließend ein eigenes Gerät. Die nächste Anmeldung erfüllt jede technische Anforderung – Zugangsdaten korrekt, zweiter Faktor erfolgreich bestätigt. Die Authentifizierung ist geglückt, die Identitätssicherheit gescheitert.
Deshalb entscheidet sich vieles an Punkten, die selten im Zentrum der Aufmerksamkeit stehen: Passwort-Resets, Neuregistrierung von MFA, Kontowiederherstellung, Gerätewechsel und die Erhöhung privilegierter Zugriffsrechte. Eine schwache Prüfung an einer dieser Stellen macht MFA nach Georges Worten zum Bestandteil der Angreifer-Infrastruktur.
Das verbreitete Bild vom Angreifer, der von außen gegen die Authentifizierungsgrenze anrennt, hält der Autor für überholt. Phishing, Social Engineering, SIM-Swapping, Sitzungsdiebstahl und Angriffe auf Wiederherstellungsprozesse führen dazu, dass der Angreifer die Authentifizierung eben nicht scheitern lässt – sondern besteht. Auch phishingresistente MFA räumt dieses Risiko nicht aus, denn sie hängt weiterhin davon ab, wie Authentifikatoren ursprünglich an Identitäten gebunden wurden, wie sie ersetzt werden können und was bei einer Wiederherstellung passiert. Ein Unternehmen kann an der Vordertür hochentwickelte Verfahren einsetzen und gleichzeitig einen schlechter gesicherten Seiteneingang offenlassen.
Der zweite Denkfehler betrifft die Zeitachse. Eine erfolgreiche MFA-Prüfung schafft Vertrauen zu einem einzigen Zeitpunkt. Ein Beschäftigter meldet sich um 8:02 Uhr legitim an, Minuten später wird die Sitzung übernommen; die kompromittierte Identität weitet anschließend Rechte aus oder greift auf sensible Daten zu, die dieser Nutzer nie zuvor berührt hat. Über die Rechtmäßigkeit dieser späteren Aktivität sagt das MFA-Ereignis so gut wie nichts aus. Identitätsrisiko ist dynamisch: Wer beim Login vertrauenswürdig ist, kann es Minuten später nicht mehr sein.
George empfiehlt deshalb, Identitätsvertrauen als fortlaufende Größe zu behandeln statt als Ja-Nein-Entscheidung. Bei der Registrierung wird festgestellt, dass eine Identität zu einer bestimmten Person gehört; bei der Anmeldung, dass die erforderlichen Authentifikatoren kontrolliert werden; danach sollten neue Risikosignale einfließen – Gerätewechsel, ungewöhnliche Zugriffe, Rechteausweitungen, Wiederherstellungsvorgänge. Bei riskanten Interaktionen wie dem Zurücksetzen von Zugangsdaten, der Registrierung eines neuen Authentifikators oder der Vergabe administrativer Rechte müsse die Identitätssicherheit erneut hergestellt werden.
Die Bedeutung starker, phishingresistenter Authentifizierung stellt der Autor ausdrücklich nicht in Frage. Das Problem beginne dort, wo MFA Fragen beantworten soll, die sie nicht beantworten kann: ob ein Angreifer die Kontowiederherstellung manipuliert hat, ob die Person, die einen Authentifikator registrierte, korrekt identitätsgeprüft wurde, ob eine authentifizierte Sitzung später übernommen wurde. Und sie ersetzt keine Identitäts-Bedrohungserkennung.
Die drei Funktionen ergänzen sich, so das Fazit: Identitätsprüfung klärt, wer jemand ist; Authentifizierung, ob er die nötigen Authentifikatoren kontrolliert; Bedrohungserkennung, ob die Identität über die Zeit vertrauenswürdig bleibt. MFA ist für die zweite Frage entscheidend – wer sie für alle drei hält, authentifiziert am Ende zuversichtlich genau jene Angreifer, die er aussperren wollte.