So erzwingen Sie MFA in Ihrer gesamten Google Workspace-Organisation

Multi-Faktor-Authentifizierung ist die Sicherheitsmaßnahme mit dem höchsten Ertrag, die die meisten Organisationen einführen können, und in Google Workspace wird sie als 2-Step Verification (2SV) bezeichnet. Der Haken liegt im Wort *erzwingen*. MFA lediglich verfügbar zu machen ist einfach und weitgehend nutzlos – die Konten, die am wahrscheinlichsten angegriffen werden, sind auch am wenigsten bereit, sich freiwillig anzumelden. Echter Schutz entsteht erst durch Durchsetzung: verpflichtend, organisationsweit, mit den richtigen Faktoren und einem Rollout, bei dem niemand ausgesperrt wird. Genau dieser Rollout-Plan ist Gegenstand dieses Artikels.

Warum „verfügbar" nicht „erzwungen" bedeutet

Ist 2SV optional, folgt die Nutzung dem Weg des geringsten Widerstands: technisch versierte und sicherheitsbewusste Mitarbeitende registrieren sich, vielbeschäftigte Führungskräfte und dienstnahe Konten hingegen nicht. Angreifer wissen das. Credential-Phishing- und Password-Reuse-Angriffe zielen genau auf die Konten, die sich nicht registriert haben. Eine optionale Kontrolle schützt genau diejenigen am wenigsten, die den Schutz am dringendsten benötigen.

Durchsetzung kehrt dieses Verhältnis um. Ist 2SV verpflichtend, reicht ein gestohlenes Passwort allein nicht mehr aus, um ein Konto zu übernehmen – wodurch der häufigste Weg zur Kontoübernahme mit einem Schlag neutralisiert wird.

Wählen Sie Ihre Faktoren bewusst

Nicht alle zweiten Faktoren sind gleichwertig. Von stärkstem zu schwächstem:

• Passkeys und Hardware-Sicherheitsschlüssel (FIDO2). Phishing-resistent: Sie binden sich kryptografisch an die legitime Website, sodass eine Phishing-Seite sie nicht weiterleiten kann. Der Goldstandard – dringend empfohlen für Administratoren und andere besonders wertvolle Konten.
• Google-Prompt / Authenticator-App (TOTP). Eine solide Verbesserung gegenüber Passwörtern, doch ein entschlossenes Echtzeit-Phishing-Kit kann einen Einmalcode weiterleiten. Gut geeignet für die breite Nutzerbasis.
• SMS-Codes. Besser als nichts, aber anfällig für SIM-Swapping und Abfangen. Akzeptabel als Rückfalloption, nicht als primärer Faktor.

Eine sinnvolle Richtlinie: starke, phishing-resistente Faktoren für Administratoren und sensible Gruppen verpflichtend vorschreiben, App-basierte Codes für alle anderen zulassen und SMS auf ein Minimum reduzieren.

Ein gestufter Rollout, der Aussperrungen vermeidet

Die Angst, die die Durchsetzung von MFA häufig ausbremst, ist die Sorge, Mitarbeitende auszusperren. Ein gestufter Rollout beseitigt dieses Risiko:

1. Zuerst kommunizieren. Informieren Sie die Organisation darüber, was sich ändert, warum und bis wann. Stellen Sie Anleitungen zur Registrierung bereit. Überraschende Durchsetzung erzeugt Helpdesk-Tickets und Unmut.
2. Ein Registrierungsfenster öffnen. Aktivieren Sie 2SV als verfügbare Option und setzen Sie eine Frist. Verfolgen Sie den Registrierungsfortschritt, damit Sie erkennen, wer sich noch nicht angemeldet hat.
3. Nachzügler erinnern. Wenn sich die Frist nähert, erinnern Sie die Konten, die sich noch nicht registriert haben. Hier meldet sich der Großteil des „langen Schwanzes“ noch an.
4. Mit Karenzzeit für neue Nutzer durchsetzen. Aktivieren Sie die Durchsetzung, konfigurieren Sie aber eine Karenzzeit für neu erstellte Konten, damit das Onboarding nicht schon beim ersten Login blockiert wird.
5. Backup-Optionen bereitstellen. Stellen Sie sicher, dass Nutzer über Backup-Codes oder einen registrierten zweiten Faktor verfügen, damit ein verlorenes Smartphone eine kleine Unannehmlichkeit bleibt und keine Aussperrung verursacht.
6. Ausnahmen eng begrenzt behandeln. Manche Service- oder gemeinsam genutzten Konten kommen mit interaktivem 2SV tatsächlich schwer zurecht. Überführen Sie diese in ein passenderes Authentifizierungsmodell (Service-Account-Schlüssel, gesonderte Behandlung), statt breite Ausnahmen in Ihre Nutzerrichtlinie einzubauen.

Die Admin-Konsole unterstützt die Durchsetzung auf Ebene der Organisationseinheit, sodass Sie zunächst mit der IT, dann mit einer Abteilung und schließlich mit der gesamten Organisation pilotieren können – das reduziert das Risiko des Rollouts weiter.

Häufige Stolperfallen

• Führungskräfte „aus Bequemlichkeit" ausnehmen. Gerade die wertvollsten Konten dürfen keinesfalls ausgenommen werden. Wenn überhaupt, sollten für sie die *stärksten* Faktoren gelten.
• Ausschließlich SMS zulassen. Das erfüllt zwar formal die Vorgabe, lässt aber die Tür für SIM-Swapping offen. Setzen Sie auf App-basierte oder Hardware-Faktoren.
• Service- und gemeinsam genutzte Konten vergessen. Diese verfügen oft über weitreichenden Zugriff und umgehen die interaktive Authentifizierung. Steuern Sie diese Konten bewusst – siehe Erkennung riskanter KI-Agenten und Service-Konten.
• Es als einmalige Aufgabe behandeln. Neue Konten, neue Ausnahmen und Richtlinien-Drift bedeuten, dass die Durchsetzung regelmäßig überprüft werden muss – nicht nur einmal per Schalter aktiviert wird.

Durchsetzung überprüfen – nicht einfach voraussetzen

Eine Richtlinie zu aktivieren und zu bestätigen, dass sie *tatsächlich auf jedes Konto angewendet wird*, sind zwei verschiedene Dinge. Konten, die vor der Richtlinie erstellt wurden, sich in einer ausgenommenen Organisationseinheit befinden oder in einer Karenzzeit stecken, können unbemerkt außerhalb der Durchsetzung bleiben. Zu einer gesunden Google Workspace-Sicherheits-Haltung gehört – und dies ist ein Kontrollpunkt, den SOC-2-Prüfer gezielt unter CC6.1 untersuchen – zu prüfen, dass die MFA-Durchsetzung in der gesamten Organisation greift, und nicht nur, dass der Schalter aktiviert ist.

Genau das ist die Art von Konfiguration, die im Laufe der Zeit abdriftet, und genau die Art, für die Prüfer einen Nachweis von Ihnen verlangen. Ein Tool zur Überprüfung der Sicherheitslage, das organisationsweite Einstellungen prüft, markiert, wo 2SV nicht durchgesetzt wird (sofern die entsprechende Admin-Einsicht verfügbar ist) – sodass „wir setzen MFA durch“ eine belegte Tatsache ist und keine Annahme.

Umgang mit den schwierigen Fällen

Die meisten Konten registrieren sich ohne Komplikationen. Einige Kategorien erfordern jedoch bewusste Behandlung, und wie Sie mit ihnen umgehen, entscheidet oft darüber, ob die Durchsetzung tatsächlich greift:

• Führungskräfte und VIPs. Sie sind die bevorzugten Phishing-Ziele und bitten am ehesten um eine Ausnahme. Verpflichten Sie sie stattdessen auf die stärksten Faktoren, anstatt sie auszunehmen. Ein kompromittiertes Führungskräfte-Konto gehört zu den schlimmsten denkbaren Folgen; Bequemlichkeit rechtfertigt dieses Risiko nicht.
• Gemeinsam genutzte Postfächer und Funktionskonten. Interaktives 2SV passt zu einer Einzelperson, nicht zu einem Postfach, das fünf Personen nutzen. Modellieren Sie diese stattdessen als delegierten Zugriff auf individuell geschützte Konten, sodass der Schutz an tatsächlichen Personen hängt.
• Service- und Automatisierungskonten. Diese sollten überhaupt keine interaktiven Anmeldungen durchführen. Authentifizieren Sie sie mit separat verwalteten Service-Account-Anmeldeinformationen und behandeln Sie sie als die nicht-menschlichen Identitäten, die sie sind.
• Außendienst- und Frontline-Mitarbeitende. Personen ohne Smartphone oder mit eingeschränkter Konnektivität benötigen einen praktikablen Faktor – Hardware-Schlüssel oder Backup-Codes –, der bereits vor dem Tag der Durchsetzung geplant wird und nicht am Helpdesk improvisiert werden muss.

Das übergreifende Prinzip: Bauen Sie keine breiten Ausnahmen in Ihre Nutzerrichtlinie ein, um einige wenige Sonderfälle abzudecken. Lösen Sie jeden Fall mit dem passenden Mechanismus, damit die Grundregel intakt bleibt.

Nach dem Rollout: Durchsetzung aufrechterhalten

Durchsetzung ist kein Endpunkt. Neue Konten, neu angelegte Organisationseinheiten und einzelne Ausnahmen schaffen immer wieder Lücken, durch die die Abdeckung schwinden kann. Verankern Sie eine wiederkehrende Prüfung in Ihrer Routine: bestätigen Sie, dass 2SV weiterhin in jeder Organisationseinheit durchgesetzt wird, dass keine Ausnahme unbemerkt dauerhaft geworden ist und dass starke Faktoren dort weiterhin verpflichtend sind, wo Sie sie vorgeschrieben haben. Die stärkste Kontrolle der Welt verliert ihre Wirkung, wenn niemand bestätigt, dass sie noch aktiv ist – und „wir setzen MFA durch“ sollte eine Aussage sein, die Sie belegen können, und keine, von der Sie nur hoffen, dass sie noch stimmt.

8200.dev prüft Ihre Google Workspace-Admin-Konfiguration – einschließlich der Durchsetzung der 2-Step Verification, Freigabekontrollen und E-Mail-Authentifizierung – und meldet Abweichungen mit Links direkt zur jeweiligen Einstellung. Erfahren Sie wie es funktioniert.

Möchten Sie sicherstellen, dass MFA wirklich überall durchgesetzt wird? Starten Sie Ihr kostenloses Sicherheitsaudit und erhalten Sie einen Überblick über die Identitäts- und Konfigurationslage Ihres Google Workspace.