Die wichtigsten Punkte
- Setzen Sie MFA für jedes Administratorkonto durch, einschließlich Integrations- und API-Benutzer:innen, um unbefugten Zugriff zu blockieren und Phishing- oder Credential-Stuffing-Angriffe zu verhindern.
- Nutzen Sie starke app-basierte Authentifizierungswerkzeuge wie Salesforce Authenticator, Microsoft Authenticator oder Google Authenticator oder Hardware-Sicherheitsschlüssel (FIDO2/U2F).
- Deaktivieren Sie schwächere MFA-Optionen wie SMS-basiertes MFA.
- Setzen Sie bedingte oder adaptive MFA-Richtlinien um, die nur bei riskanten Bedingungen greifen. So verbessern Sie den Schutz, ohne MFA-Fatigue auszulösen.
- Schulen Sie Administrator:innen regelmäßig darin, Phishing-Versuche zu erkennen, MFA-Fatigue-Angriffen standzuhalten und Best Practices beim Bestätigen legitimer Authentifizierungsanfragen zu befolgen.
- Prüfen und überwachen Sie MFA-Protokolle in Salesforce und bei Ihrem Identitätsanbieter (idP), um Compliance nachzuweisen und Umgehungsversuche zu erkennen. Nehmen Sie diese Prüfungen in Ihre vierteljährlichen Sicherheitsreviews auf.
Salesforce steht bei vielen KMU im Zentrum des Geschäftsbetriebs und enthält sensible Kunden- und Unternehmensdaten. Da Salesforce-Administrator:innen Zugriffe und Konfigurationen steuern, sind ihre Konten ein beliebtes Ziel für Phishing und Credential Stuffing.
Genau deshalb ist es entscheidend, Salesforce MFA für Ihre Admin-Benutzer:innen zu aktivieren. So bleiben Ihre Daten vor Sicherheitsverletzungen und Angreifer:innen geschützt.
So stärken Sie die MFA-Compliance Ihrer Administrator:innen
📌 Voraussetzungen:
- Sie benötigen Zugriff auf ein Salesforce-Administratorkonto.
- Sie benötigen eine bestehende Salesforce-Lizenzierung, die MFA unterstützt (in den meisten Editionen enthalten).
- Sie müssen Richtlinien für das Offboarding und die Einarbeitung von Salesforce-Benutzer:innen definiert haben.
💡 Hinweis: Optional: Sie können einen Identitätsanbieter (idP) eines Drittanbieters (Okta, Azure AD, Google) für zentrale MFA-Richtlinien nutzen.
Schritt 1: MFA für alle Admin-Rollen durchsetzen
Sie müssen MFA für jedes Administratorkonto verpflichtend machen. Das sollte nach Möglichkeit auch Integrationskonten einschließen. Dafür können Sie die in Salesforce integrierten MFA-Optionen verwenden (Authenticator-Apps, U2F-Schlüssel, SMS als Rückfalloption).
Außerdem muss jede Person ein eigenes Anmeldekonto haben. Vermeiden Sie geteilte Logins so weit wie möglich und erlauben Sie sie nicht.
Schritt 2: Authentifizierungsfaktoren verstärken
App-basierte Authenticator (Microsoft Authenticator, Google Authenticator, Salesforce Authenticator) sind die bevorzugte Methode. Nutzen Sie sie, wann immer es möglich ist. Deaktivieren Sie zudem schwächere Authentifizierungsmethoden wie SMS-Codes, um Sicherheitsverletzungen vorzubeugen.
In Umgebungen mit hohen Sicherheitsanforderungen können Sie zusätzlich Hardware-Schlüssel einsetzen. Das sind kleine, physische Geräte, die eine zusätzliche Authentifizierungsebene schaffen und es Angreifer:innen deutlich schwerer machen. Autorisierte Personen müssen sich an einen physischen Ort begeben und den Schlüssel tatsächlich einstecken oder an das Gerät halten, um auf die Inhalte zuzugreifen. Für Angreifer:innen ist das ungleich schwieriger.
Schritt 3: Bedingte MFA-Richtlinien umsetzen (über Salesforce oder den Identitätsanbieter)
Nicht jede Situation ist gleich. Manche erfordern mehr Sicherheit als andere. Melden sich Admin-Benutzer:innen zum Beispiel von einem neuen Gerät oder aus einer ungewohnten Region an, sollten strengere MFA-Vorgaben greifen. Das verhindert, dass Angreifer:innen sich mit gestohlenen oder kompromittierten Anmeldeinformationen anmelden.
Setzen Sie dabei auf adaptive statt auf übermäßig restriktive MFA-Richtlinien. Menschen verlieren schnell die Geduld, wenn sie sich immer wieder neu anmelden müssen. Statt sie ständig zur Bestätigung aufzufordern, sollten MFA-Richtlinien nur dann greifen, wenn es wirklich nötig ist.
Schritt 4: KMU-taugliche Admin-Schulungen anbieten
Natürlich sollten auch die einzelnen Administrator:innen ihren Teil dazu beitragen, ihre Konten abzusichern. Organisieren Sie dafür Schulungen für Ihre Salesforce-Administrator:innen, damit sie Phishing-Versuche und MFA-Fatigue zuverlässig erkennen. Administrator:innen sollten außerdem wissen, was bei verdächtigen Aktivitäten zu tun ist und wie sie solche Vorfälle an die IT-Administration melden.
In diesen Schulungen sollte Aufmerksamkeit im Mittelpunkt stehen: Benutzer:innen sollten beispielsweise keine unerwarteten MFA-Anfragen bestätigen. Damit alle die Abläufe auch im Alltag parat haben, sollten Sie kurze Leitfäden oder Einträge in der Wissensdatenbank zur Fehlerbehebung bei MFA-Eingaben erstellen.
Schritt 5: MFA-Durchsetzung überwachen und überprüfen
Um sicherzustellen, dass Administrator:innen Ihre MFA-Vorgaben einhalten, müssen Sie die MFA-Protokolle in Salesforce regelmäßig prüfen. Vergewissern Sie sich, dass bei allen Administratorkonten MFA aktiviert ist. Ist das bei einzelnen Konten nicht der Fall, sprechen Sie die betreffende Person umgehend an und sorgen Sie dafür, dass MFA für das Konto aktiviert wird.
Nehmen Sie diese MFA-Prüfungen in Ihre vierteljährlichen Sicherheitsreviews auf. So fällt nichts durchs Raster und Angreifer:innen haben es deutlich schwerer, Ihre Schutzmaßnahmen zu überwinden und an die Daten Ihres Unternehmens zu gelangen.
Schritt 6: Überprüfung
Stellen Sie sicher, dass für alle Salesforce-Admin-Logins MFA erforderlich ist. Prüfen Sie die Audit-Protokolle auf umgangene oder nicht durchgesetzte MFA-Versuche. Finden Sie Konten, die nicht konform sind, sprechen Sie die Benutzer:innen sofort an und sorgen Sie dafür, dass MFA schnellstmöglich aktiviert wird.
Bestätigen Sie, dass Administrator:innen freigegebene MFA-Methoden nutzen (Apps oder Schlüssel, keine SMS). Wenn Sie Hardware-Schlüssel einsetzen, behalten Sie den Überblick über die Schlüssel und geben Sie sie nur an vertrauenswürdige Personen aus.
Weitere Aspekte bei der Durchsetzung der MFA-Compliance für Salesforce-Administrator:innen
- Manche mit Salesforce verbundenen Apps unterstützen möglicherweise kein MFA. Nutzen Sie in diesen Fällen Integrationsbenutzer:innen mit eingeschränktem Geltungsbereich und tokenbasierte Authentifizierung.
- Die Durchsetzung von MFA ist in der Regel Teil der Compliance-Anforderungen von KMU, insbesondere bei HIPAA, PCI DSS und der Datenschutz-Grundverordnung.
- Standardisieren Sie die MFA-Durchsetzung über alle vom MSP betreuten Salesforce-Kunden hinweg.
⚠️ Darauf sollten Sie achten
| Risiken | Mögliche Folgen | Gegenmaßnahmen |
| Administrator:innen umgehen MFA über Legacy-Apps | Legacy-Apps sind unter Umständen weniger sicher. Wird MFA umgangen, können Angreifer:innen auf Ihre Servicedaten zugreifen. | Sie müssen Integrationen einschränken oder ein Upgrade durchführen. Administrator:innen sollten nur über aktuelle und freigegebene Apps auf ihre Konten zugreifen. |
| Beschwerden über MFA-Fatigue | Benutzer:innen nutzen MFA weniger bereitwillig und suchen womöglich nach Wegen, es zu umgehen. | Optimieren Sie die Regeln für bedingten Zugriff und reduzieren Sie unnötige Abfragen. |
| Verlust eines Hardware-Tokens | Ohne den Hardware-Token können Sie nicht auf wichtige Daten zugreifen. | Halten Sie Ausweichmethoden mit administrativer Kontrolle bereit. |
NinjaOne-Integrationen für die Durchsetzung von MFA-Richtlinien
- Documentation: Hinterlegen Sie SOPs zur MFA-Durchsetzung für Salesforce-Administrator:innen in der NinjaOne Documentation.
- Automatisierung: Stoßen Sie Offboarding-Aufgaben an, um Administratorkonten zu entfernen und die MFA-Neuzuweisung durchzusetzen.
- Überwachung: Nutzen Sie NinjaOne-Alarmierungen, um Authentifizierungsprobleme über alle Kunden hinweg im Blick zu behalten.
- Berichterstattung: Binden Sie die MFA-Durchsetzung in QBRs ein, um Fortschritte bei der Compliance zu zeigen.
Mehr Sicherheit für Salesforce-Administratorkonten mit MFA
Salesforce-Administrator:innen sind für KMU eine kritische Angriffsfläche. Sie verfügen über weitreichende Berechtigungen, die in den falschen Händen gefährlich werden. Strengere MFA-Richtlinien schützen diese hoch privilegierten Konten vor modernen Angriffen und unterstützen zugleich Compliance und Kundenvertrauen.
Weiterführende Links:
