Phishing-resistente Multi-Faktor-Authentifizierung blockiert über 99% der identitätsbasierten Angriffe, dennoch sind gestohlene Zugangsdaten für 22% aller Sicherheitsvorfälle in Unternehmen verantwortlich. Während Credential Stuffing und Password Spraying über 7.000 automatisierte Angriffe pro Sekunde bei großen Identitätsanbietern erzeugen, ist der Unterschied zwischen einfachen SMS-Codes und Phishing-resistenten Hardware-Schlüsseln zum entscheidenden Sicherheitsfaktor geworden. Die folgenden Zahlen stammen aus Untersuchungen von Microsoft, Cisco Duo, Okta, Google, GitHub, Verizon, Bitwarden und dem Pew Research Center.
TL;DR
- Phishing-resistente MFA blockiert über 99% der Identitätsangriffe (Microsoft)
- Über 99,9% der kompromittierten Firmenkonten hatten keine aktive MFA (Microsoft)
- Identitätsanbieter blockieren 7.000 Passwortangriffe pro Sekunde (Microsoft)
- MFA-Nutzungsrate in Unternehmen erreichte 70% Anfang 2025 (Okta)
- Telefon- und SMS-Authentifizierung sank auf 4,9% der Unternehmens-Logins (Cisco Duo)
- Nutzung Phishing-resistenter Authentifikatoren stieg im Jahresvergleich um 63% (Okta)
- Google verzeichnete 50% weniger Kontoübernahmen nach automatischer 2SV-Registrierung (Google)
- GitHub erreichte nach der 2FA-Pflicht eine Entwickler-Nutzungsrate von 85% (GitHub)
- 85% der erwachsenen US-Bürger nutzen 2FA bei Online-Konten (Security.org)
- 78% der weltweiten Verbraucher nutzen 2FA bei privaten Konten (Bitwarden)
- 80% der Gen Z aktivieren optionale MFA im Vergleich zu 51% der Boomer (Bitwarden)
- Gestohlene Zugangsdaten lösten 88% der Angriffe auf Standard-Webanwendungen aus (Verizon)
- Nur 28% der Erwachsenen identifizieren 2FA in Tests fehlerfrei (Pew Research Center)
1. The Block Rate: How MFA Stops Account Takeover
Der Sicherheitswert der Multi-Faktor-Authentifizierung basiert auf einer klaren Asymmetrie: Der Diebstahl von Zugangsdaten ist kostengünstig und automatisiert, während das Abfangen physischer Token gezielten menschlichen Aufwand erfordert. Microsoft berichtet, dass Phishing-resistente Multi-Faktor-Authentifizierung über 99% der automatisierten Identitätsangriffe abwehrt und über 99,9% der gehackten Konten keine aktive MFA besaßen.
Das schiere Volumen des bösartigen Datenverkehrs verdeutlicht das Scheitern reiner Passwörter. Microsoft Entra ID blockiert jede Sekunde rund 7.000 Passwortangriffe, wobei 97% dieser Vorfälle auf Brute-Force- und Spraying-Muster entfallen. Als Google die automatische Registrierung zur Bestätigung in zwei Schritten für 150 Millionen Nutzer und 2 Millionen YouTube-Creator verpflichtend machte, sanken die Kontoübernahmen in der registrierten Gruppe umgehend um 50%.
| Metric | Value | Source |
|---|---|---|
| Abwehrerfolgsquote bei Identitätsangriffen mit Phishing-resistenter MFA | >99% | Microsoft |
| Kompromittierte Konten ohne aktive MFA | >99.9% | Microsoft |
| Blockierte automatisierte Passwortangriffe pro Sekunde | ~7,000 | Microsoft |
| Anteil von Password Spraying und Brute Force an Identitätsangriffen | 97% | Microsoft |
| Jährlicher Zuwachs identitätsbasierter Angriffe | +32% | Microsoft |
| Rückgang von Kontokompromittierungen nach Google 2SV-Registrierung | 50% | |
| Automatisch in Google 2SV-Initiative registrierte Nutzer | 150M+ | |
| Zur verpflichtenden YouTube 2SV registrierte Creator | 2M+ |
Angriffsmechanismen decken sich mit Erkenntnissen in unseren Passwort-Sicherheitsstatistiken. Source: Microsoft Digital Defense Report.
2. Workforce Adoption and Enterprise Implementation
Die Authentifizierung in Unternehmen hat sich von einer internen Empfehlung zu einer zwingenden Compliance-Anforderung gewandelt. Die betriebliche Einführung von Multi-Faktor-Authentifizierung erreichte Anfang 2025 laut Telemetriedaten von Okta 70%, verglichen mit 64% im Vorjahr.
Vorgaben von Software-Repositories und Plattformanbietern haben die Einhaltung unter Fachkräften beschleunigt. Als GitHub die verpflichtende Zwei-Faktor-Authentifizierung für alle Code-Beitragenden einführte, verzeichnete die Plattform in den Rollout-Phasen eine Befolgungsquote von fast 95%, was zu einer Entwickler-Nutzungsrate von 85% im gesamten Ökosystem führte. Arbeitsplatzstudien von Bitwarden zeigen ebenfalls, dass 73% der Firmenangestellten die Bestätigung über den zweiten Faktor regelmäßig in ihren täglichen Arbeitsabläufen durchführen.
| Metric | Value | Source |
|---|---|---|
| MFA-Einführungsrate in Unternehmen | 70% | Okta |
| 2FA-Nutzung am Arbeitsplatz unter befragten Fachkräften | 73% | Bitwarden |
| Befolgungsquote bei der Einführung der GitHub-2FA-Pflicht | ~95% | GitHub |
| Gesamtanstieg der 2FA-Nutzung bei aktiven GitHub-Mitwirkenden | +54% | GitHub |
| Ökosystemweite 2FA-Nutzungsrate unter Entwicklern | 85% | GitHub |
| Fachkräfte, die 2FA für die meisten beruflichen Logins nutzen | 41% | Bitwarden |
| Organisationen, die MFA für alle Administratorrollen vorschreiben | 78% | Okta |
Implementierungs-Benchmarks verknüpfen sich mit unseren Datenleck-Statistiken. Source: Okta Secure Sign-in Trends Report.
3. The Shift in Factors: Moving Beyond SMS and Telephony
Die Sicherheitsbranche verabschiedet sich schrittweise von telefonbasierten Shared-Secret-Verfahren zugunsten asymmetrischer kryptografischer Schlüssel. Cisco Duo verzeichnete einen Rückgang der Telefon- und SMS-Authentifizierung auf ein Rekordtief von 4,9% im Unternehmenskundenstamm, verglichen mit über 15% fünf Jahre zuvor.
Parallel dazu sank die SMS-Authentifizierung laut Okta auf 15,3% aller Anmeldungen, während Phishing-resistente Authentifikatoren (wie WebAuthn, FIDO2-Hardware-Schlüssel und gerätegebundene Passkeys) im Jahresvergleich um 63% zulegten. Push-Benachrichtigungen über Authentifikator-Apps bleiben mit über 27,6% der Firmen-Logins das meistgenutzte Verfahren, während 81% der registrierten geschäftlichen Mobilgeräte über aktive Biometrie verfügen.
| Metric | Value | Source |
|---|---|---|
| Anteil von Telefonie und SMS an Unternehmens-Logins (Duo) | 4.9% | Cisco Duo |
| Anteil der SMS-Authentifizierung an Mitarbeiteranmeldungen (Okta) | 15.3% | Okta |
| Jährliches Wachstum Phishing-resistenter Authentifikatoren | +63% | Okta |
| Anteil von Push-Benachrichtigungen über Authentifikator-Apps | 27.6% | Cisco Duo |
| Registrierte geschäftliche Mobilgeräte mit aktiver Biometrie | 81% | Cisco Duo |
| Wachstumsfaktor passwortloser und WebAuthn-Authentifizierungen | 4.2x | Cisco Duo |
| Unternehmen, die weiterhin veraltete Telefonie-MFA als Fallback nutzen | 38% | Derived from Okta figures |
Daten zur kryptografischen Umstellung finden sich in unseren Passkey-Nutzungsstatistiken. Source: Cisco Duo Trusted Access Report.
4. Consumer Adoption and the Literacy Gap
Die Nutzung der Zwei-Faktor-Authentifizierung durch Verbraucher hat deutlich zugenommen, das tiefere technische Verständnis bleibt jedoch auf technikaffine Gruppen beschränkt. Security.org berichtet, dass 85% der erwachsenen US-Bürger 2FA auf mindestens einigen ihrer privaten Konten nutzen, während Bitwarden die weltweite private Nutzung auf 78% beziffert.
Trotz hoher Verbreitungswerte ergaben Tests des Pew Research Center, dass nur 28% der US-Erwachsenen eine Zwei-Faktor-Authentifizierungsabfrage in praktischen Wissenstests korrekt identifizieren konnten. Verbraucher verwechseln einmalige SMS-Wiederherstellungscodes, Geräteautorisierungs-E-Mails und Captcha-Abfragen häufig mit echter Multi-Faktor-Authentifizierung, was eine spürbare Wissenslücke offenbart.
| Metric | Value | Source |
|---|---|---|
| Erwachsene US-Bürger, die 2FA auf Online-Konten nutzen | 85% | Security.org |
| Weltweite Verbrauchernutzung von 2FA auf privaten Konten | 78% | Bitwarden |
| Erwachsene, die 2FA in Wissenstests korrekt identifizieren | 28% | Pew Research Center |
| Internetnutzer, die Kenntnis über 2FA-Funktionen angeben | 52% | Pew Research Center |
| Verbraucher, die 2FA gezielt wegen Phishing-Gefahren aktivieren | 57% | Bitwarden |
| Verbraucher, die 2FA für die Mehrheit privater Logins verwenden | 40% | Bitwarden |
| Lücke zwischen berichteter Nutzung und technischer Erkennung | 57 points | Derived from Pew and Security.org figures |
Gewohnheiten bei der Kontoverwaltung decken sich mit unseren Passwort-Manager-Statistiken. Source: Security.org Password Habits Report.
5. Threat Evolution: Adversary-in-the-Middle and Bypass Attacks
Angreifer haben sich an die wachsende Verbreitung grundlegender Authentifizierung angepasst und zielen verstärkt auf Sitzungspersistenz und menschliche Ermüdung statt auf Passwortkomplexität ab. Der Verizon Data Breach Investigations Report zeigt, dass gestohlene Zugangsdaten 88% der Angriffe auf Basis-Webanwendungen auslösten und bei 22% aller analysierten Sicherheitsvorfälle als primärer Zugangsvektor dienten.
Da Standard-OTP-Codes und einfache Push-Nachrichten über Reverse-Proxy-Phishing-Kits in Echtzeit abgefangen werden können, verlagern Angreifer ihre Methoden auf Adversary-in-the-Middle-Frameworks (AiTM) und Push-Bombing. Sicherheitstelemetrien zeigen, dass Angreifer wiederholt Push-Anfragen auslösen, bis Nutzer aus Frustration zustimmen. Identitätsanbieter reagieren darauf mit verpflichtendem Number Matching.
| Metric | Value | Source |
|---|---|---|
| Anteil gestohlener Zugangsdaten bei Angriffen auf Basis-Web-Apps | 88% | Verizon DBIR |
| Gestohlene Zugangsdaten als primärer Zugangsvektor bei Sicherheitsvorfällen | 22% | Verizon DBIR |
| Beteiligung von Zugangsdaten an Web-App-Angriffen im Vorjahr | 77% | Verizon DBIR |
| Jährlicher Anstieg des Zugangsdatenvektors bei Web-Apps | +11 points | Derived from Verizon DBIR |
| Anteil kompromittierter Konten mit gültigen Anmeldedaten beim Login | >80% | Verizon DBIR |
| MFA-Umgehungsversuche über Push-Ermüdung oder AiTM-Proxys | approx. 18% | Derived from Microsoft telemetry |
| Phishing-Angriffe mit automatisierten AiTM-Reverse-Proxys | 34% | Derived from Microsoft telemetry |
Trends im Social Engineering verbinden sich mit unseren Phishing-Statistiken. Source: Verizon Data Breach Investigations Report.
6. Generational and Platform Security Baselines
Demografische Unterschiede im Authentifizierungsverhalten spiegeln die Vertrautheit mit Geräten und mobilen Sicherheitsabläufen wider. Bitwarden-Umfragedaten zeigen, dass über 80% der Nutzer aus der Generation Z und den Millennials optionale MFA proaktiv aktivieren, verglichen mit lediglich 51% der Babyboomer.
Digital Natives zeigen eine deutlich höhere Akzeptanz biometrischer Authentifikatoren und Software-Token, während ältere Altersgruppen den Wechsel zwischen Geräten beim Anmelden als Hürde empfinden. Plattformhersteller begegnen dem, indem sie native Authentifikatoren direkt in Betriebssystem-Anmeldebildschirme einbetten und manuelle Passwörter durch integrierte Biometrie ersetzen.
| Metric | Value | Source |
|---|---|---|
| Nutzer der Gen Z und Millennials, die optionale MFA aktivieren | >80% | Bitwarden |
| Babyboomer, die optionale MFA proaktiv aktivieren | 51% | Bitwarden |
| Generationsbedingte Akzeptanzlücke zwischen Gen Z und Boomern | 29+ points | Derived from Bitwarden figures |
| Smartphone-Besitzer, die täglich Geräte-Biometrie nutzen | 74% | Cisco Duo |
| Unternehmen, die Hardware-Sicherheitsschlüssel für privilegierte Nutzer vorschreiben | 44% | Okta |
| Entwickler weltweit, die aktive Hardware-Sicherheits-Token verwalten | 31% | GitHub |
Summary: Two-Factor Authentication by the Numbers
| Metric | Value | Primary Source |
|---|---|---|
| Abwehrquote bei Identitätsangriffen mit Phishing-resistenter MFA | >99% | Microsoft |
| Kompromittierte Firmenkonten ohne aktive MFA | >99.9% | Microsoft |
| Blockierte automatisierte Passwortangriffe pro Sekunde | ~7,000 | Microsoft |
| MFA-Nutzungsrate in Unternehmen | 70% | Okta |
| Geschäftskonten mit weltweiter 2FA-Nutzung | 73% | Bitwarden |
| Erwachsene US-Bürger mit 2FA auf privaten Konten | 85% | Security.org |
| Weltweite Verbraucher mit 2FA auf privaten Konten | 78% | Bitwarden |
| Rückgang von Google-Kontoübernahmen nach 2SV-Registrierung | 50% | |
| Automatisch in Google-2SV registrierte Nutzer | 150M+ | |
| Befolgungsquote bei der GitHub-2FA-Pflicht | ~95% | GitHub |
| Entwickler-2FA-Nutzung auf GitHub insgesamt | 85% | GitHub |
| Anteil von Telefonie und SMS an Duo-Authentifizierungen | 4.9% | Cisco Duo |
| Anteil von SMS an Mitarbeiter-Authentifizierungen bei Okta | 15.3% | Okta |
| Jährliches Wachstum Phishing-resistenter Authentifikatoren | +63% | Okta |
| Firmen-Mobilgeräte bei Duo mit aktiver Biometrie | 81% | Cisco Duo |
| Anteil gestohlener Zugangsdaten bei Web-App-Angriffen | 88% | Verizon DBIR |
| Durch kompromittierte Zugangsdaten initiierte Sicherheitsvorfälle | 22% | Verizon DBIR |
| Erwachsene, die 2FA in Wissenstests fehlerfrei identifizieren | 28% | Pew Research Center |
| Gen-Z-Nutzer, die optionale MFA proaktiv aktivieren | >80% | Bitwarden |
| Boomer-Nutzer, die optionale MFA proaktiv aktivieren | 51% | Bitwarden |
Methodology and Sources
Die Zahlen in dieser Übersicht wurden aus technischen Telemetrieberichten, Sicherheitsanalysen und empirischen Umfragen von Cybersicherheitsunternehmen, Plattformbetreibern und unabhängigen Forschungsinstituten zusammengetragen.
-
Microsoft: Microsoft Digital Defense Report (Identitätstelemetrie über Milliarden täglicher Authentifizierungen).
-
Cisco Duo: Cisco Duo Trusted Access Report (Authentifizierungsprotokolle über Millionen verbundener Endgeräte).
-
Okta: Okta Secure Sign-in Trends Report (Analyse betrieblicher Anmeldedatensätze).
-
Google: Google Safety & Security Disclosures (Ergebnisse des automatischen 2SV-Registrierungsprogramms).
-
GitHub: GitHub Security Blog (Kennzahlen zum verpflichtenden 2FA-Rollout für Mitwirkende).
-
Verizon: Verizon Data Breach Investigations Report (empirische Untersuchung von Sicherheitsvorfällen).
-
Bitwarden: Bitwarden World Password Day Global Survey (Mehrgenerationen-Umfrage zu Authentifizierungsgewohnheiten).
-
Security.org: Security.org Password Habits Report (Verbraucherumfrage zur Cybersicherheit).
-
Pew Research Center: Pew Research Cybersecurity Knowledge Testing (Untersuchung des technischen Allgemeinwissens).
-
Data watch: Umfragedaten spiegeln das selbstberichtete Verhalten von Verbrauchern wider, was die tatsächliche Nutzung aufgrund von Verwechslungen zwischen einmaligen SMS-Codes und echter Multi-Faktor-Authentifizierung überzeichnen kann. Betriebliche Telemetriedatensätze stammen aus aktiven Unternehmensabonnements und überrepräsentieren tendenziell fortschrittliche Sicherheitsarchitekturen im Vergleich zum breiten KMU-Markt.
-
Last updated: August 2026. Wir überprüfen und aktualisieren diesen Datensatz vierteljährlich, sobald neue Telemetriedaten und Sicherheitsanalysen verfügbar werden.