Zwei-Faktor-Authentifizierung im Hinweisgebersystem

Zwei-Faktor-Authentifizierung (2FA) gehört in einem Hinweisgebersystem an die Tür der Meldestelle: Wer Meldungen liest, bearbeitet oder das System verwaltet, sollte sich nie nur mit einem Passwort anmelden. Die anonyme Person, die einen Hinweis abgibt, braucht dagegen keinen zweiten Faktor, der an ihre Telefonnummer, ihre E-Mail-Adresse oder ihr Gerät gebunden ist. Genau diese Trennung entscheidet darüber, ob Ihr System gleichzeitig sicher und wirklich anonym ist. Hier lesen Sie, welche Faktoren sich eignen, was Gesetz und Aufsichtsbehörden in Deutschland verlangen und wie Sie MFA einführen, ohne Hinweisgeber zu verschrecken.

Kurz gesagt

• 2FA und MFA schützen die Konten der Fallbearbeiter und Administratoren, denn dort liegen vertrauliche Meldungen, Namen von Beschuldigten und die gesamte Fallakte.
• Für Hinweisgeber gilt das Gegenteil: kein Konto, keine Telefonnummer, keine E-Mail-Pflicht. Der Zugang zum Postfach läuft über eine Meldungskennung und ein selbst gewähltes Passwort.
• Phishing-resistente Verfahren wie FIDO2-Sicherheitsschlüssel oder Passkeys sind erste Wahl, eine App mit Einmalcodes ist ein solider Standard, und jede MFA ist besser als keine.
• Planen Sie vor dem Start, was bei verlorenem Handy passiert: mindestens zwei Faktoren pro Bearbeiter und ein dokumentierter Wiederherstellungsweg.
• Rechtlich verlangt die DSGVO angemessene technische Maßnahmen für die Meldestelle, und für Einrichtungen unter NIS2 ist MFA ausdrücklich vorgeschrieben.

Inhaltsverzeichnis

• Was 2FA und MFA bedeuten
• Warum gerade der Zugang zur Meldestelle geschützt sein muss
• Was Gesetz und Aufsicht in Deutschland verlangen
• Zwei Rollen, zwei Schutzkonzepte
• Welcher zweite Faktor sich eignet
• MFA einführen, ohne die Anonymität zu gefährden
• Verlorenes Handy, gesperrtes Konto: Wiederherstellung planen
• Unsere Sicht
• Ashio für Ihre Meldestelle
• Häufige Fragen
• Quellen

Was 2FA und MFA bedeuten

Bei der Zwei-Faktor-Authentifizierung reicht das Passwort allein nicht. Der Bundesverband IT-Sicherheit TeleTrusT beschreibt in seiner Handreichung zum Stand der Technik zwei von drei Merkmalen als Grundlage: etwas, das Sie wissen (Passwort, PIN), etwas, das Sie besitzen (Smartphone, Sicherheitsschlüssel), und etwas, das Sie körperlich auszeichnet (Fingerabdruck, Gesicht).

Multi-Faktor-Authentifizierung (MFA) ist der Oberbegriff. Sie verlangt mindestens zwei Merkmale aus verschiedenen Kategorien. 2FA ist also die häufigste Form von MFA. Wer nach “MFA im Hinweisgebersystem” sucht, meint in der Praxis meist dasselbe: Der Login zur Fallbearbeitung wird durch einen zweiten, unabhängigen Nachweis abgesichert.

Wichtig ist das Wort “verschiedene”. Zwei Passwörter hintereinander sind keine 2FA, weil beide zur Kategorie Wissen gehören. Erst die Kombination aus Wissen und Besitz oder Wissen und Biometrie gleicht die Schwächen des einzelnen Faktors aus. Das bayerische Landesamt für Sicherheit in der Informationstechnik (LSI) erklärt in seinem Leitfaden zu phishing-resistenter MFA von 2025, dass eine sinnvolle Kombination vor allem gegen Passwortdiebstahl und Brute-Force-Angriffe hilft und Phishing je nach Kombination erschwert.

Warum gerade der Zugang zur Meldestelle geschützt sein muss

Ein Hinweisgebersystem ist kein gewöhnliches Firmentool. Im Bearbeiterkonto liegen Vorwürfe gegen namentlich genannte Kolleginnen und Kollegen, Beweisdokumente, interne Notizen und manchmal Hinweise, aus denen sich die Identität der meldenden Person erschließen lässt. Ein einziges gestohlenes Passwort würde reichen, um all das offenzulegen, und damit genau das Vertrauen zu zerstören, auf dem jede Meldestelle beruht.

Drei Gründe machen den zweiten Faktor hier besonders wertvoll:

1. Das System ist aus dem Internet erreichbar. Hinweisgeber sollen auch von zu Hause und vom privaten Handy melden können, also ist auch die Anmeldeseite der Bearbeiter öffentlich erreichbar. Das LSI Bayern empfiehlt in seinem Leitfaden von 2024 MFA grundsätzlich für alle Zugänge, insbesondere für solche aus dem öffentlichen Internet und für hoch privilegierte Benutzerkonten.
2. Bearbeiterkonten sind hoch privilegiert. Wer dort eingeloggt ist, sieht Inhalte, die selbst die Geschäftsführung nicht sehen darf. Administratoren können zusätzlich Rechte vergeben und Einstellungen ändern.
3. Die Akte muss jahrelang vertraulich bleiben. Nach § 11 HinSchG wird jede Meldung dauerhaft abrufbar dokumentiert und in der Regel erst drei Jahre nach Abschluss des Verfahrens gelöscht. So lange muss der Zugang geschützt bleiben.

Hinzu kommt der Zeitdruck. Dasselbe Gesetz verlangt nach § 17 eine Eingangsbestätigung spätestens nach sieben Tagen und eine Rückmeldung innerhalb von drei Monaten. Ein kompromittiertes Konto, das gesperrt und neu aufgesetzt werden muss, frisst genau die Zeit, die Ihr Team für die Fristen braucht.

Was Gesetz und Aufsicht in Deutschland verlangen

Das Hinweisgeberschutzgesetz schreibt keine bestimmte Anmeldemethode vor. Es verpflichtet Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten zu einer internen Meldestelle, und private Unternehmen mit 50 bis 249 Beschäftigten mussten diese laut FAQ des Landesdatenschutzbeauftragten Baden-Württemberg ab dem 17. Dezember 2023 einrichten. Welche Pflichten für Ihr Unternehmen gelten, fassen wir auf unserer Seite zum Hinweisgeberschutzgesetz zusammen.

Die Sicherheitsanforderungen ergeben sich aus dem Datenschutz. Dieselbe Behörde verweist auf Art. 32 DSGVO: Für interne Meldestellen und Meldekanäle sind technische und organisatorische Maßnahmen nötig, etwa ein Zugriffsberechtigungskonzept, das über Passwortsicherungen durchgesetzt und durch Protokollierung der Zugriffe kontrolliert wird, gegebenenfalls mit Ende-zu-Ende-Verschlüsselung. Ein zweiter Faktor ist die naheliegende Verstärkung dieser Passwortsicherung.

Die Gesellschaft für Datenschutz und Datensicherheit nennt in ihrer GDD-Praxishilfe zum HinSchG (Stand 02/2025) die Leitlinien für den Aufbau: Datenminimierung, Zugriff nur für einen kleinen notwendigen Personenkreis, Pseudonymisierung und Verschlüsselung, Transparenz und datenschutzfreundliche Voreinstellungen. MFA setzt den Punkt “kleiner Personenkreis” technisch durch: Nur wer berechtigt ist und seinen zweiten Faktor bei sich hat, kommt hinein.

Für viele Unternehmen ist MFA inzwischen ausdrücklich Pflicht. Das im Dezember 2025 verabschiedete NIS2-Umsetzungsgesetz verpflichtet besonders wichtige und wichtige Einrichtungen, Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung zu verwenden. Fällt Ihr Unternehmen unter NIS2, sollte das Hinweisgebersystem mit seinen sensiblen Daten nicht die Ausnahme sein.

Weitere Orientierung bieten die Datenschutzaufsichtsbehörden selbst: Die Datenschutzkonferenz hat eigene Orientierungshilfen zu Whistleblowing-Hotlines und zur Zugangssicherung bei Online-Diensten veröffentlicht. Für die organisatorische Gestaltung ist der DICO-Standard S11 Hinweisgebersysteme ein verbreiteter Bezugspunkt, der sich an Unternehmen jeder Größe richtet.

Zwei Rollen, zwei Schutzkonzepte

Der häufigste Denkfehler: 2FA für alle. Ein Hinweisgebersystem hat aber Nutzer mit völlig unterschiedlichen Schutzzielen. Bei Bearbeitern schützt der zweite Faktor die Vertraulichkeit. Bei Hinweisgebern würde ein an die Person gebundener Faktor die Anonymität gefährden.

Warum kein zweiter Faktor für Hinweisgeber? Jeder Besitzfaktor verknüpft die Meldung mit etwas Identifizierbarem. Eine Mobilnummer lässt sich einer Person zuordnen, eine E-Mail-Adresse oft ebenso. Wer weiß, dass sein Hinweis an seine Nummer gekoppelt ist, meldet im Zweifel gar nicht. Die Schutzwirkung für Hinweisgeber entsteht anders: Sie erhalten nach der Meldung eine Kennung, wählen ein Passwort und können damit den Status verfolgen und Rückfragen beantworten, ohne je ein Konto anzulegen. Wie das bei uns aus Sicht der meldenden Person aussieht, zeigt unsere Seite für sichere anonyme Meldungen.

Wer die interne Meldestelle besetzt, ob eigene Beauftragte, eine Kanzlei oder ein externer Dienstleister, beeinflusst übrigens direkt, wie viele Bearbeiterkonten Sie absichern müssen. Die Optionen vergleichen wir im Beitrag Wer kann interne Meldestelle sein.

Welcher zweite Faktor sich eignet

Nicht jeder zweite Faktor schützt gleich gut. Der entscheidende Unterschied liegt beim Phishing: Kann ein Angreifer den Bearbeiter auf eine gefälschte Login-Seite locken und dort Passwort und Code in Echtzeit abgreifen? Das LSI Bayern empfiehlt vorzugsweise standardbasierte, hardwarebasierte und auch gegen Echtzeit-Phishing resistente Lösungen. Ist das nicht umsetzbar, gilt dort der Grundsatz: Eine MFA ist besser als keine MFA.

Zwei Details aus den Empfehlungen des LSI sind für die Meldestelle besonders relevant. Erstens: Je kürzer ein Einmalcode gültig ist, desto besser, und bei hohem Schutzbedarf sollte nicht nur der Login, sondern auch kritische Aktionen einzeln bestätigt werden, etwa der Export einer Fallakte oder die Vergabe neuer Rechte. Zweitens: Biometrie ist bequem, ihre Zuverlässigkeit hängt aber stark von der Umsetzung auf dem Endgerät ab, und vor dem Einsatz sollten datenschutz- und personalvertretungsrechtliche Fragen geklärt sein. Haben Sie einen Betriebsrat, binden Sie ihn bei der Einführung biometrischer Verfahren früh ein.

MFA einführen, ohne die Anonymität zu gefährden

Die Umsetzung gelingt in wenigen Schritten, wenn Sie die Rollen sauber trennen:

1. Rollen festlegen. Bestimmen Sie, wer Meldungen sieht und wer administriert. Je kleiner der Kreis, desto weniger Konten müssen Sie absichern. Das entspricht auch dem Prinzip der Zugriffsbeschränkung aus der GDD-Praxishilfe.
2. Persönliche Konten statt Sammelzugang. Jede Person erhält ein eigenes Konto. Nur so ordnet das Protokoll jeden Zugriff eindeutig zu, wie es die Datenschutzaufsicht für Meldestellen erwartet.
3. Faktor nach Rolle wählen. Administratoren bekommen den stärksten verfügbaren Faktor, Bearbeiter mindestens eine Authenticator-App. SMS und E-Mail-Codes bleiben die Ausnahme.
4. Zwei Faktoren pro Person hinterlegen. Etwa eine App und einen Hardware-Schlüssel oder eine App und ausgedruckte Backup-Codes, die verschlossen aufbewahrt werden.
5. Den Meldekanal unangetastet lassen. Prüfen Sie, dass das Meldeformular weiterhin ohne Registrierung, ohne Pflichtangaben zur Person und ohne Tracking funktioniert. Kein Feld für Telefonnummer oder E-Mail als Voraussetzung.
6. Zugriffe protokollieren und auswerten. Ein lückenloses Audit-Protokoll zeigt, wer wann welchen Fall geöffnet hat. Zusammen mit MFA wird so nachvollziehbar, dass nur Berechtigte zugegriffen haben.
7. Hinweisgeber informieren. Erklären Sie im Meldeportal, dass Sie für die Meldung weder Namen noch Kontaktdaten brauchen und dass der Bearbeiterzugang zusätzlich gesichert ist. Das senkt die Hemmschwelle.

Ein Hinweis zum letzten Punkt: Die Sicherheit für Hinweisgeber entsteht nicht durch einen zweiten Faktor, sondern durch das, was das System gar nicht erst erfasst. Keine IP-Adressen, keine Cookies, keine Gerätekennungen. Was nicht gespeichert wird, kann auch ein Angreifer mit gestohlenem Bearbeiterkonto nicht finden.

Verlorenes Handy, gesperrtes Konto: Wiederherstellung planen

Der zweite Faktor ist nur so gut wie der Plan für den Tag, an dem er fehlt. Eine Studie der USENIX-Konferenz SOUPS mit dem Titel Adventures in Recovery Land (2023) hat Online-Dienste getestet: 20,5 Prozent boten keine Backup-Möglichkeit für den zweiten Faktor an, und nur 12,8 Prozent sagten klar, dass ohne ihn der Zugang verloren ist.

Für eine Meldestelle ist das mehr als ein Ärgernis. Fällt die einzige Bearbeiterin wegen eines verlorenen Telefons aus, laufen die Fristen nach § 17 HinSchG trotzdem weiter. Dean H. Saxe empfiehlt im IDPro Body of Knowledge, pro Konto mehrere Authentifizierungsoptionen einzurichten, etwa mehrere Einmalcode-Geräte, FIDO-Schlüssel und Backup-Codes, damit der Verlust eines Faktors keinen aufwendigen Wiederherstellungsprozess auslöst.

Bewährt hat sich diese Vorsorge:

• Mindestens zwei Bearbeiter mit Zugriff, damit Fristen bei Ausfall einer Person gewahrt bleiben.
• Zwei registrierte Faktoren pro Person, einer davon an einem sicheren Ort hinterlegt.
• Ein schriftlicher Wiederherstellungsweg, bei dem ein zweiter Berechtigter oder ein Administrator die Identität prüft, bevor ein Faktor zurückgesetzt wird. Telefonische Rücksetzung auf Zuruf öffnet Social Engineering die Tür.
• Sofortiges Entfernen verlorener Geräte und ausgeschiedener Mitarbeitender aus dem System, dokumentiert im Audit-Protokoll.
• Kein Abschalten von MFA als schnelle Lösung. Wer 2FA für ein Konto deaktiviert, um ein Problem zu beheben, sollte das nur befristet und protokolliert tun.

Unsere Sicht

Wir halten die Trennung der Rollen für den Kern jedes sicheren Hinweisgebersystems. Die Meldestelle braucht starke Zugangskontrollen, weil sie die sensibelsten Daten des Unternehmens verwaltet. Die meldende Person braucht das Gegenteil: ein System, das über sie so wenig wie möglich weiß.

Deshalb setzen wir bei Ashio auf echte Anonymität durch Verzicht auf Identitätsdaten. Unser Meldekanal speichert keine IP-Adressen und setzt kein Tracking ein, die Inhalte sind Ende-zu-Ende-verschlüsselt, und die Daten liegen in der Schweiz mit einem Hosting nach ISO 27001. Hinweisgeber verfolgen den Status ihrer Meldung, ohne ein Konto mit persönlichen Angaben anzulegen.

Auf der Seite der Meldestelle sorgen ein unveränderlicher, exportierbarer Audit-Trail, automatische Fristenüberwachung und strukturierte Fallbearbeitung dafür, dass jeder Zugriff nachvollziehbar bleibt und keine Frist verloren geht. Gute Authentifizierung und gute Datensparsamkeit ergänzen sich: Die eine hält Unbefugte draußen, die andere sorgt dafür, dass es über Hinweisgeber nichts zu finden gibt.

Author

Ashio für Ihre Meldestelle

Wenn Sie Ihre interne Meldestelle jetzt aufsetzen oder ablösen wollen: Ashio bringt einen vollständig anonymen Meldekanal ohne IP-Tracking, Statusverfolgung für Hinweisgeber, Team-Kollaboration, Fristenüberwachung und revisionssichere Dokumentation mit. Der Tarif Basic kostet 29 € pro Monat, und Sie starten mit einer kostenfreien Testphase. Wie die Anonymität technisch umgesetzt ist, lesen Sie unter wirklich anonyme Meldesoftware, Details zu Verschlüsselung und Hosting auf unserer Seite zu Sicherheit und DSGVO-Konformität. Direkt loslegen können Sie auf ashio.eu.

Häufige Fragen

Muss sich ein Hinweisgeber mit Zwei-Faktor-Authentifizierung anmelden?

Nein, und er sollte es auch nicht müssen. Ein zweiter Faktor per SMS oder E-Mail würde die Meldung mit identifizierbaren Daten verknüpfen. Hinweisgeber greifen besser über eine Meldungskennung und ein selbst gewähltes Passwort auf ihr Postfach zu.

Ist 2FA für Hinweisgebersysteme gesetzlich vorgeschrieben?

Das HinSchG nennt keine bestimmte Anmeldemethode. Die DSGVO verlangt aber angemessene technische und organisatorische Maßnahmen für die Meldestelle, und für Einrichtungen unter dem NIS2-Umsetzungsgesetz ist MFA oder kontinuierliche Authentifizierung ausdrücklich Pflicht. In der Praxis ist ein zweiter Faktor für Bearbeiterkonten der erwartbare Standard.

Welcher zweite Faktor ist für Fallbearbeiter am besten?

Phishing-resistente Verfahren wie FIDO2-Sicherheitsschlüssel oder Passkeys bieten den stärksten Schutz, besonders für Administratoren. Eine Authenticator-App mit Einmalcodes ist ein guter Standard für alle Bearbeiter. SMS-Codes sollten nur die Notlösung sein.

Was passiert, wenn ein Bearbeiter sein Smartphone verliert?

Hat die Person einen zweiten registrierten Faktor, etwa Backup-Codes oder einen Sicherheitsschlüssel, meldet sie sich damit an und entfernt das verlorene Gerät. Ohne Ersatzfaktor greift Ihr dokumentierter Wiederherstellungsweg über einen zweiten Berechtigten. Deshalb sollten immer mindestens zwei Personen Zugriff auf die Meldestelle haben.

Wie lange muss der Zugang zu Meldungen geschützt bleiben?

Meldungen werden nach § 11 HinSchG dokumentiert und in der Regel drei Jahre nach Abschluss des Verfahrens gelöscht, sofern keine längere Aufbewahrung erforderlich ist. Während dieser gesamten Zeit gelten die Zugriffsschutzmaßnahmen, also auch MFA und Protokollierung.

Quellen

• TeleTrusT: Handreichung Stand der Technik
• LSI Bayern: Phishing-resistente Multifaktor-Authentifizierung (2025)
• LSI Bayern: Leitfaden phishing-resistente MFA (2024)
• LfDI Baden-Württemberg: FAQ Hinweisgeberschutzgesetz
• GDD-Praxishilfe HinSchG
• NIS2-Umsetzungsgesetz, verabschiedeter Regelungstext
• BfDI: Orientierungshilfen der Datenschutzkonferenz
• DICO-Standard S11 Hinweisgebersysteme
• USENIX SOUPS 2023: Adventures in Recovery Land
• IDPro Body of Knowledge: Account Recovery

Empfehlungen

• Was ist ein Hinweisgebersystem? Aufbau, Pflicht & Software
• Hinweisgebersystem Vergleich 2025: Welche Software ist die richtige?