Mit sicheren Identitäten gegen den Datenklau
Passwort-Manager als Grundpfeiler des IAM
| Autor / Redakteur: Gerald Beuchelt / Peter Schmitz
Die IT-Sicherheit steht heute ganz oben auf der Agenda in Unternehmen. Doch während es an Antiviren-Tools, Firewalls und Backup-Routinen in der Regel nicht mangelt, wird das schwächste Glied oft vernachlässigt – der eigene Mitarbeiter. So fehlt es Organisationen nicht selten an einer klaren Strategie für das Identity- und Access-Management (IAM) – und die beginnt mit den Passwörtern.
2,2 Milliarden E-Mail-Adressen mitsamt Passwörtern: Was Anfang des Jahres unter der Bezeichnung „Collection #1-5“ frei zugänglich im Internet kursierte, lässt IT-Sicherheitsexperten noch heute die Haare zu Berge stehen. Gleichzeitig weisen Security-Profis gebetsmühlenartig darauf hin, wie essenziell sichere Codes für Datenschutz und -sicherheit sind. Totzukriegen sind Kombinationen wie „123456“, „hallo123“ oder gar „passwort“ trotzdem nicht. Sie zählen zu den zehn beliebtesten Passwörtern deutscher User.
Doch woran liegt es, dass sich das Problem mit Passwörtern partout nicht in den Griff bekommen lässt? Vieles hängt mit der Bequemlichkeit von Anwendern zusammen. Oft siegt die Faulheit beim Anlegen eines Accounts. Hinzu kommt, dass persönliche Gewohnheiten und geschäftliche Prozesse zunehmend miteinander verschmelzen. Mitarbeiter nutzen mehrere mobile Endgeräte für geschäftliche und private Zwecke (Stichwort: Bring your own device). Darüber hinaus teilen Anwender häufig Passwörter mit Kollegen und verwenden dieselben Zugangsdaten für unterschiedliche Accounts. All das öffnet Cyber-Kriminellen Tür und Tor – entweder, weil sich entwendete Zugangsdaten gleich für mehrere Accounts nutzen lassen, oder weil Logins mit einfachen Methoden wie Brute-Force-Attacken ausgehebelt werden können.
Passwort-Manager: Datensicherheit mit System
Um die Datensicherheit auf dem Benutzer-Level schlagartig erhöhen zu können, empfiehlt sich die Einführung eines Passwort-Managers. Ein von LogMeIn erstellter Passwortsicherheitsreport aus dem Jahr 2018 etwa zeigt, dass Unternehmen, die einen Passwort-Manager wie LastPass einsetzen, bereits nach einem Jahr einen um 15 Punkte höheren Sicherheitswert (LastPass-Sicherheitswert siehe Kasten) erreichen und eine jährliche Steigerung erzielen. Hier haben sich SaaS-Lösungen durchgesetzt. Sie haben den Vorteil, dass sie für die IT-Abteilung mit minimalem Aufwand zu implementieren sind und Mitarbeitern einen einfachen und sicheren Zugriff bieten.
Dabei sollten IT-Entscheider unter anderem darauf achten, dass ein Passwort-Manager eine Datenbank mit End-to-End-Verschlüsselung, ein sicheres Verschlüsselungsverfahren wie AES oder Blowfish und das Generieren zufälliger Passwörter unterstützt. Hinzu kommen Funktionen wie ein übersichtliches Dashboard, das automatische Ausfüllen von Login-Feldern und der Check für unsichere Passwörter und Dubletten. Zu den empfohlenen Features gehören weiterhin die Möglichkeit, Zugangsdaten zu deaktivieren, sobald ein Mitarbeiter die Organisation verlassen hat und eine zusätzliche Sicherheitsebene durch Multifaktor-Authentifizierung. Ein Anwender muss dafür nicht nur etwas wissen, nämlich das Passwort, sondern zusätzlich über einen Token verfügen, der über eine App generiert wird oder einen Fingerabdruck per Scanner einbringen, um Zugang zu seinem Account zu erhalten.
Das Change-Management nicht unterschätzen
Passwortmanagement bedeutet Change-Management. Wichtig ist bei der Einführung eines Passwort-Managers, dass Mitarbeiter der Lösung offen gegenüberstehen und lernen, damit effektiv und selbstverständlich umzugehen. Dafür sollte die Organisation nicht nur ein Konzept zur Implementierung eines Passwort-Managers erstellen sowie fundierte Authentifizierungs- und Passwortrichtlinien einführen, sondern auch frühzeitig auf Kommunikation und Aufklärung setzen. Auch lassen sich die Richtlinien und der Umgang durch Schulungen und regelmäßige Trainings verankern.
Passwort-Manager entlasten IT-Abteilungen
Idealerweise erlaubt es die Lösung der IT-Abteilung, die aktuelle Passwortsicherheit von Anwendern zu analysieren. Damit lässt sich feststellen, wie oft identische Login-Informationen über verschiedene schützenswerte Applikationen hinweg wiederverwendet werden. Die Einhaltung von Richtlinien kann effektiv kontrolliert werden, indem die IT-Abteilung auf einem zentralen Dashboard Einblicke in potenzielle Risikobereiche wie schwache und mehrfach verwendete Passwörter, niedrige Passwortqualität sowie inaktive Konten erhält.
Dafür sollte eine entsprechende Lösung mit dem Active-Directory synchronisiert und ein Single Sign-On ermöglicht werden. Ein weiterer wichtiger Aspekt ist das so genannte Zero-Knowledge-Sicherheitskonzept. Dabei handelt es sich um ein Vorgehen, bei dem selbst der SaaS-Anbieter eines Passwort-Managers keinen Zugriff auf die von ihm gehosteten Kundenpasswörter erhält. Auch regelmäßige Penetrationstests spielen eine wichtige Rolle, wenn es darum geht, das Sicherheitsbewusstsein im Unternehmen nachhaltig zu stärken. Mit ihrer Hilfe lassen sich Einfallstore für Hacker erkennen und durch entsprechende Sicherheitsmaßnahmen schließen. Fest steht: Das Investment in einen Passwort-Manager lohnt sich.
Über den Autror: Gerald Beuchelt ist CISO von LogMeIn / LastPass.
