Die meisten 2FA-Rollouts scheitern nicht an der Technik, sondern an der fehlenden Auswertung dessen, was danach passiert. Ein Unternehmen aktiviert die Zwei-Faktor-Authentifizierung für 4.000 Konten, meldet das an den Prüfer und hört sechs Monate lang nichts mehr davon. Dann fällt bei einem Audit auf, dass 12 Prozent der Nutzer per SMS-Fallback vorbeigeschleust werden und dass niemand die Zahl der abgebrochenen Anmeldeversuche kennt. Genau hier setzt Two-Factor-Authentication-Analytics an: Es geht nicht um das Einschalten von 2FA, sondern um das kontinuierliche Messen seiner Wirksamkeit.
Die Kennzahlen, die für Sicherheitsteams zählen, sind selten die, die im Marketingblatt stehen. Relevant sind unter anderem:
Diese Daten sind der Unterschied zwischen der Behauptung, 2FA sei aktiv, und dem Nachweis, dass es funktioniert.
Eine Aktivierungsquote von 100 Prozent sagt nichts über die tatsächliche Widerstandsfähigkeit aus. Wenn die Hälfte dieser Konten SMS als zweiten Faktor nutzt, ist das Risiko durch SIM-Swapping real vorhanden. Prüfer nach ISO- oder branchenspezifischen Rahmenwerken fragen inzwischen nicht mehr nur, ob 2FA existiert, sondern nach der Verteilung der Methoden und nach dokumentierten Ausnahmen. Ohne Analytik lassen sich diese Fragen nur mit Vermutungen beantworten.
Auswertungsdaten sind ein Frühwarnsystem. Ein plötzlicher Anstieg abgelehnter Push-Benachrichtigungen aus einer ungewöhnlichen Region deutet oft darauf hin, dass ein Angreifer bereits das Passwort besitzt und nur noch am zweiten Faktor scheitert. Eine praktische Beobachtung aus realen Implementierungen: Die aussagekräftigste Metrik ist häufig die Zahl der Push-Genehmigungen, die außerhalb der normalen Arbeitszeit eines Nutzers erfolgen. Wer diese Zeitfenster mit Standortdaten kombiniert, findet kompromittierte Konten oft Tage vor dem eigentlichen Schaden.
Hier trennt sich verantwortungsvolle Analytik von Überwachung. Anmelde- und Faktordaten sind personenbezogen, sobald sie einer Person zuordenbar sind. Compliance-Teams sollten Aufbewahrungsfristen definieren, den Verarbeitungszweck klar auf Sicherheit begrenzen und aggregierte Auswertungen bevorzugen, wo eine Einzelzuordnung nicht nötig ist. Das Prinzip ähnelt dem Ansatz, den Vemco Group in einem angrenzenden Feld verfolgt: Bei der DSGVO-konformen Personenzählung wird bewusst keine Person identifiziert, das Personal wird ausgeschlossen und es werden ausschließlich aggregierte Zahlen gebildet. Dieselbe Zurückhaltung ist bei Authentifizierungsdaten sinnvoll – so viel messen wie für die Sicherheit nötig, so wenig speichern wie datenschutzrechtlich vertretbar.
Diese Frage entscheidet oft der Prüfer, nicht die IT. Für regulierte Branchen ist die Datenresidenz häufig ausschlaggebend. Ein Modell, das sowohl gehostete als auch private Cloud-Optionen zulässt und sich in bestehende IT-Systeme einfügt, gibt Beschaffungsteams Verhandlungsspielraum. Wichtig für den Einkauf: Klären Sie vor Vertragsabschluss, wo Protokolldaten gespeichert werden, wie lange, und ob der Anbieter SSO über SAML unterstützt. Fragen Sie nach konkreten Zertifikaten wie SOC 2 oder ISO 27001 und lassen Sie sich diese schriftlich bestätigen, statt sich auf Aussagen im Verkaufsgespräch zu verlassen.
Drei Muster wiederholen sich über Branchen hinweg:
Der teuerste dieser Fehler ist meist der zweite, weil er sich erst nach einem Vorfall zeigt.
Authentifizierungsereignisse sind grundsätzlich deterministisch – eine Anmeldung ist erfolgt oder nicht. Die Ungenauigkeit entsteht bei der Interpretation, etwa wenn dieselbe Person über mehrere Geräte protokolliert wird und als mehrere Ereignisse erscheint. Wer Analytik einsetzt, sollte sich die Deduplizierungslogik zeigen lassen, bevor Kennzahlen an das Management berichtet werden. Das ist eine Parallele zu Messsystemen generell: Auch bei der Besucherzählung nennt Vemco Group ehrlich eine vertragliche Mindestgenauigkeit von 96 Prozent, wobei unter guten Bedingungen typischerweise 98 bis 99 Prozent erreicht werden – eine flache Garantie von 99 Prozent wäre unseriös. Fordern Sie von jedem Anbieter dieselbe Transparenz über Messgrenzen ein.
Eine kurze Prüfliste, die Diskussionen im Nachhinein erspart: