Maßnahme 10: Multi-Faktor-Authentifizierung und gesicherte Kommunikation.
Das Gesetz verlangt Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation und gegebenenfalls gesicherte Notfallkommunikation.
- § 30 Abs. 2 Nr. 10 BSIG
- Stand: 19.10.2026
- Lesezeit: 7 Min.
Kurzantwort.
Sie bestimmen auf Grundlage der Risikoanalyse, für welche Zugänge Multi-Faktor-Authentifizierung nötig ist, setzen sie mit Faktoren aus verschiedenen Kategorien um und regeln Ausnahmen und Notfallkonten. Sprach-, Video- und Textkommunikation sichern Sie mit aktueller Transportverschlüsselung, sensible Inhalte zusätzlich Ende-zu-Ende. Wo nötig, halten Sie einen unabhängigen Notfallkanal bereit und testen ihn.
Was das Gesetz verlangt.
§ 30 Abs. 2 Nr. 10 BSIG nennt als Mindestmaßnahme die „Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung“. Der Wortlaut entspricht Art. 21 Abs. 2 Buchst. j der Richtlinie (EU) 2022/2555. Anders als die übrigen Nummern verlangt diese nicht nur Konzepte, sondern die Verwendung bestimmter Lösungen.
Das Gesetz lässt offen, für welche Zugänge Multi-Faktor-Authentifizierung nötig ist und welches Vertrauensniveau sie erreichen muss. Nach Auffassung des BSI entscheidet die Einrichtung das auf Grundlage ihrer Risikoanalyse; als Orientierung können die Vertrauensniveaus der BSI TR-03107 dienen. Das Wort „gegebenenfalls“ bezieht sich auf die Notfallkommunikation: Ob ein eigenes Notfallsystem nötig ist, hängt von den Risiken der Einrichtung ab.
Nach § 30 Abs. 2 Satz 1 BSIG sollen die Maßnahmen den Stand der Technik einhalten. Für gesicherte Kommunikation nennt das BSI TLS in einer Version nach der BSI TR-02102-2 als Standard, ältere Versionen sollen deaktiviert sein. Die Verhältnismäßigkeit richtet sich nach § 30 Abs. 1 Satz 2 BSIG, unter anderem nach Risikoexposition und Größe der Einrichtung.
§ 30 Abs. 1 Satz 3 BSIG verlangt, die Einhaltung zu dokumentieren. Für Anbieter digitaler Dienste gehen nach § 30 Abs. 3 BSIG die Anforderungen der Durchführungsverordnung (EU) 2024/2690 vor, die Multi-Faktor-Authentifizierung im Rahmen der Zugriffskontrolle näher regelt. Betreiber kritischer Anlagen setzen nach § 31 Abs. 1 BSIG für ihre kritischen Systeme ein höheres Schutzniveau an.
Nachweise.
Das BSI kann nach § 61 BSIG bei besonders wichtigen Einrichtungen Nachweise anfordern und Prüfungen anordnen, bei wichtigen Einrichtungen nach § 62 BSIG anlassbezogen. Für Authentifizierung und Kommunikation werden typischerweise diese Unterlagen relevant sein. Die Tabelle ist ein Vorschlag; feste Formvorgaben hat das BSI für Nachweise nach § 30 BSIG bisher nicht veröffentlicht.
| Nachweis | Form | Verantwortlich | Turnus |
|---|---|---|---|
| Authentifizierungskonzept | Freigegebenes Dokument mit Zugängen, erforderlichem Verfahren und Begründung aus der Risikoanalyse | Informationssicherheit mit IT-Leitung, Freigabe durch Geschäftsleitung | Jährlich und bei neuen Zugängen |
| Technische Konfiguration | Exporte oder Screenshots der MFA-Richtlinien in Verzeichnisdienst, VPN und Cloud-Diensten | IT-Betrieb | Bei Änderungen, Review halbjährlich |
| Ausnahmen und Notfallkonten | Liste mit Begründung, Ablaufdatum, Genehmigung und Aufbewahrung der Zugangsdaten | Informationssicherheit | Quartalsweise |
| Funktionstests | Protokoll, dass Anmeldungen ohne zweiten Faktor abgewiesen werden | IT-Betrieb | Mindestens jährlich |
| Kommunikationskonzept | Festlegung der zugelassenen Dienste für Sprache, Video, Text und E-Mail mit Schutzniveau | IT-Leitung | Jährlich |
| Schutzkonfiguration der Kommunikation | TLS-Prüfergebnis, Einstellungen zur Ende-zu-Ende-Verschlüsselung | IT-Betrieb | Mindestens jährlich |
| Test der Notfallkommunikation | Protokoll eines Erreichbarkeits- oder Ausfalltests mit Teilnehmenden und Ergebnis | Notfall- oder Krisenmanagement | Mindestens jährlich |
Typische Lücken.
MFA gilt nur für die E-Mail.
Viele Einrichtungen haben Multi-Faktor-Authentifizierung für das Büropaket eingeführt, nicht aber für VPN, Fernwartung, Administrationsoberflächen und Cloud-Konsolen. Gerade diese Zugänge haben bei Kompromittierung die größten Auswirkungen. Das Konzept sollte begründen, welche Zugänge abgedeckt sind und welche nicht.
Zwei Faktoren, aber getrennt angreifbar.
Das BSI unterscheidet zwischen mehrstufiger Anmeldung, bei der Faktoren nacheinander und unabhängig geprüft werden, und Multi-Faktor-Authentisierung mit verknüpften Faktoren. Für die Vertrauensniveaus substanziell und hoch hält das BSI einen mehrstufigen Anmeldeprozess für ungeeignet.
Single Sign-on wird als kontinuierliche Authentifizierung ausgegeben.
Kontinuierliche Authentifizierung prüft während der gesamten Sitzung Verhalten und Kontext und reagiert auf Abweichungen. Eine einmalige Anmeldung über Single Sign-on erfüllt das nicht. Das BSI hat für kontinuierliche Authentifizierung keine eigenen Umsetzungshinweise veröffentlicht und empfiehlt Multi-Faktor-Authentisierung.
Ausnahmen werden nie wieder geprüft.
Dienstkonten, Altsysteme und Notfallkonten werden von der Pflicht zum zweiten Faktor ausgenommen, ohne Ablaufdatum und ohne Kontrolle. So entstehen dauerhafte Lücken, die Angreifende gezielt suchen.
Der Notfallkanal hängt an der gestörten Infrastruktur.
Fällt der Verzeichnisdienst oder das Netz aus, sind auch Chat, Videokonferenz und E-Mail nicht erreichbar, wenn sie davon abhängen. Ein Notfallkanal, der nie getestet wurde, ist im Ernstfall oft unbekannt oder ohne aktuelle Kontaktdaten.
Umsetzung in Schritten.
Zugänge nach Risiko einstufen.
Erfassen Sie alle Zugänge zu Ihren Systemen: Fernzugriff, Cloud-Dienste, Administration, Fachanwendungen und Dienstleisterzugänge. Bewerten Sie, welche Auswirkungen eine Kompromittierung hätte, und leiten Sie daraus ab, wo Multi-Faktor-Authentifizierung nötig ist.
Verfahren auswählen.
Wählen Sie Faktoren aus verschiedenen Kategorien, also Wissen, Besitz oder Biometrie, die nicht getrennt angreifbar sind. Für privilegierte und extern erreichbare Zugänge eignen sich Besitzfaktoren mit hoher Manipulationssicherheit. Passkeys hält das BSI für sehr sicher, sie sind nach dem BSIG aber keine Voraussetzung.
Einführen, beginnend bei privilegierten Zugängen.
Setzen Sie Multi-Faktor-Authentifizierung zuerst für Administration, Fernzugriff und Cloud-Konsolen um, danach für alle übrigen Konten. Regeln Sie Registrierung, Ausgabe, Verlust und Sperrung der Authentisierungsmittel; das Gesamtsystem ist nur so sicher wie sein schwächstes Glied.
Ausnahmen und Notfallkonten kontrollieren.
Dokumentieren Sie jede Ausnahme mit Begründung, Genehmigung und Ablaufdatum. Notfallkonten werden sicher verwahrt, ihre Nutzung wird protokolliert und nachträglich geprüft.
Kommunikationsdienste festlegen und absichern.
Bestimmen Sie, welche Dienste für Telefonie, Videokonferenzen, Chat und E-Mail zugelassen sind. Konfigurieren Sie TLS nach der aktuellen BSI TR-02102-2 und sehen Sie für sensible Inhalte Ende-zu-Ende-Verschlüsselung vor, bei E-Mail etwa S/MIME oder PGP.
Notfallkommunikation vorbereiten.
Entscheiden Sie anhand der Risikoanalyse, ob ein Kommunikationsweg nötig ist, der unabhängig von Ihrer eigenen IT funktioniert. Halten Sie Kontaktlisten offline verfügbar und stimmen Sie den Kanal mit dem Notfall- und Krisenmanagement ab.
Testen und dokumentieren.
Prüfen Sie regelmäßig, ob Anmeldungen ohne zweiten Faktor abgewiesen werden, ob die TLS-Konfiguration aktuell ist und ob der Notfallkanal erreichbar ist. Halten Sie Ergebnisse und Korrekturen fest.
In Secani.
In Secani bildet der Katalog „NIS2 Deutschland“ § 30 Abs. 2 Nr. 10 BSIG als Anforderung DE-REQ-14 ab. Die Controls DE-CTL-24 für starke Authentifizierung und DE-CTL-25 für sichere Regel- und Notfallkommunikation beschreiben die Umsetzung. Ein Control kann zugleich Anforderungen aus ISO/IEC 27001 oder IT-Grundschutz erfüllen.
Authentifizierungskonzept, Konfigurationsexporte, Ausnahmelisten und Testprotokolle laden Sie in das Nachweis-Register und verknüpfen sie mit dem jeweiligen Control; die Aktualität der Nachweise bleibt sichtbar. Systeme und Dienste mit ihren Zugängen erfassen Sie im Inventar.
Für beide Controls legen Sie Verantwortliche und Reviewer fest. Ausnahmen von der Multi-Faktor-Authentifizierung laufen über Freigaben mit Vier-Augen-Prinzip, Funktionstests und den Test der Notfallkommunikation planen Sie als wiederkehrende Aufgaben oder Wirksamkeitsprüfungen. Privilegierte Konten überprüfen Sie mit Zugriffsüberprüfungen (Access Reviews).
Controls im Katalog „NIS2 Deutschland“
- DE-REQ-14Authentifizierung und Kommunikation absichern
- DE-CTL-24Starke Authentifizierung umsetzen
- DE-CTL-25Sichere Regel- und Notfallkommunikation
Verwandte Maßnahmen.
- Maßnahme 9: Personal, Zugriff, Anlagen
Zugriffskontrolle legt fest, wer worauf zugreifen darf; Multi-Faktor-Authentifizierung sichert ab, dass sich die berechtigte Person anmeldet.
- Maßnahme 3: Business Continuity
Die Notfallkommunikation ist Teil des Krisenmanagements und wird gemeinsam mit den Notfallplänen geübt.
- Maßnahme 8: Kryptografie
Gesicherte Kommunikation beruht auf den Verfahren und Protokollversionen, die das Kryptokonzept festlegt.
- Alle zehn Maßnahmen im Überblick
Quellen.
- § 30 BSIG: Risikomanagementmaßnahmen
- Richtlinie (EU) 2022/2555 (NIS2-Richtlinie), Art. 21 und 23
- Durchführungsverordnung (EU) 2024/2690 für digitale Dienste
- BSI: #nis2know-Infopaket Multi-Faktor-Authentisierung und gesicherte Kommunikation
- BSI TR-02102: Kryptographische Verfahren – Empfehlungen und Schlüssellängen
- BSI: #nis2know-Infopaket Dokumentationspflicht
Häufige Fragen.
Das Gesetz nennt keine Liste von Konten. § 30 Abs. 2 Nr. 10 BSIG verlangt die Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung; nach Auffassung des BSI legt die Einrichtung anhand ihrer Risikoanalyse fest, wo sie nötig ist. Für privilegierte und extern erreichbare Zugänge lässt sich ein Verzicht in der Regel kaum begründen.
Kontinuierliche Authentifizierung prüft die Identität während der gesamten Sitzung anhand von Verhalten und Kontext, etwa Standort, Gerät, Zugriffszeit oder Datenmengen, und reagiert auf Abweichungen mit einer erneuten Abfrage, eingeschränkten Rechten oder dem Abbruch der Sitzung. Das BSI hat dafür keine eigenen Umsetzungshinweise veröffentlicht und empfiehlt Multi-Faktor-Authentisierung mit Wissens- und Besitzfaktoren.
Das BSI hält Passkeys für eine sehr sichere Form der Authentisierung, weil sie Passwörter ersetzen und Phishing erschweren. Weder die NIS2-Richtlinie noch das BSIG erwähnen Passkeys; sie sind daher keine Voraussetzung nach dem BSIG. Ob ein Passkey-Verfahren für einen bestimmten Zugang ausreicht, sollten Sie im Authentifizierungskonzept begründen.
Das BSI nennt TLS als Standard für die Absicherung der Übertragung von Sprache, Video und Text, mit Versionen und Schlüssellängen nach der BSI TR-02102-2. TLS schützt nur den Transportweg; für Nachrichten mit sensiblen Inhalten empfiehlt das BSI zusätzlich Ende-zu-Ende-Verschlüsselung, bei E-Mail etwa mit S/MIME oder PGP.
Nicht in jedem Fall. Das Gesetz verlangt gesicherte Notfallkommunikationssysteme „gegebenenfalls“. Ob ein Kanal nötig ist, der unabhängig von der eigenen IT funktioniert, ergibt sich aus der Risikoanalyse, etwa wenn ein Ausfall von Netz oder Verzeichnisdienst auch Chat und E-Mail lahmlegt. Konkrete Vorgaben zur Ausgestaltung hat das BSI bisher nicht veröffentlicht.
Noch nicht sicher, ob NIS2 für Sie gilt?
Der kostenlose Check ordnet Ihre Einrichtung nach § 28 BSIG ein.
Diese Seite fasst die Rechtslage nach bestem Wissen zusammen und ersetzt keine Rechtsberatung. Maßgeblich sind der Gesetzestext und die Festlegungen des BSI.