Die Mehr-Faktor-Authentifizierung verlangt mindestens zwei voneinander unabhängige Nachweise aus verschiedenen Kategorien: Wissen, Besitz und Inhärenz, also ein Merkmal der Person selbst. Die Zwei-Faktor-Authentifizierung ist damit der praktisch häufigste Sonderfall; von MFA spricht man, wenn auch mehr als zwei Faktoren möglich sind oder je nach Risiko unterschiedlich kombiniert wird.
Wesentlich ist die Unabhängigkeit der Kategorien, denn Passwort plus Sicherheitsfrage sind zwei Wissensfaktoren und damit keine echte Mehr-Faktor-Prüfung. Zunehmend verbreitet ist die adaptive Variante, die den zweiten Faktor nur bei ungewöhnlichen Umständen verlangt, etwa bei neuem Gerät, unbekanntem Standort oder besonders sensiblen Vorgängen. Passkeys, also gerätegebundene kryptografische Schlüssel nach dem FIDO2-Standard, verbinden beide Faktoren in einem Schritt und ersetzen das Passwort ganz.
Bei der Einführung im Unternehmen ist der Wiederherstellungsweg mitzuplanen, denn verlorene oder defekte Geräte sind der Regelfall und ein schlecht abgesicherter Rücksetzweg macht den gesamten Schutz zunichte.