Die Gefahr aus der Ferne Remote-Mitarbeiter als Risikofaktor

Anbieter zum Thema

Arvato Systems

SEPPmail - Deutschland GmbH

Keeper Security EMEA Ltd.

CyberArk Software (DACH) GmbH

Viele Remote-Tätigkeiten erfordern privilegierte Zugriffsrechte für sicherheitskritische Systeme. Ein Unternehmen muss dabei verschiedene Remote-Anwendergruppen mit unterschiedlichen Aufgabenbereichen berücksichtigen. Damit das möglich wird muss man die verschiedenen Benutzertypen aber erst einmal kennen.

Der Ort, an dem ein Mitarbeiter seiner Tätigkeit nachgeht, wird im modernen Geschäftsleben immer unwichtiger. Die Remote-Arbeit liegt im Trend. Und sie betrifft keineswegs nur die eigenen Mitarbeiter, sondern in hohem Maße auch den Zugriff externer Dienstleister auf interne Unternehmenssysteme. Sowohl eigene Mitarbeiter als auch externe Personen benötigen dabei oft Zugang zu kritischen Systemen. Die damit verbundenen Sicherheitsrisiken liegen auf der Hand. Im Wesentlichen sind fünf unterschiedliche Benutzertypen zu unterscheiden:

1. Remote IT- oder IT-Security-Mitarbeiter

Es ist von entscheidender Bedeutung, die genauen Zugriffsebenen zu ermitteln, die allgemeine IT- und IT-Security-Mitarbeiter wie Domain- oder Netzwerk-Administratoren bei der Remote-Arbeit benötigen und entsprechende Least-Privilege-Prinzipien zu etablieren. Um den Zugriff zu ermöglichen, setzen viele Unternehmen auf unsichere und ineffiziente Methoden. So werden in der Regel VPNs genutzt. Sie können aber nicht das erforderliche Maß an granularem Zugriff auf Zielsystem- oder Anwendungsebene bieten, um einen Least-Privilege-Ansatz effektiv umzusetzen. Die Zuweisung granularer Zugriffsrechte ist wichtig, um etwa den Zugriff eines Windows-Administrators auf Unix-Root-Accounts zu verhindern.

2. Drittanbieter von Hardware, Software und IT-Services

Drittanbieter von Hard- und Software und IT-Dienstleister bieten häufig Remote-Services beispielsweise für die Fernwartung an, bei denen erhöhte Privilegien benötigt werden. Für die Durchführung von Systemaktualisierungen oder das Security Patch Management etwa sind Admin-Zugriffsrechte auf Windows- und Linux-Server oder Datenbanken notwendig.

Es ist zwingend erforderlich, alle Benutzer mit Domain-Admin-Rechten zu identifizieren – denn letztendlich werden oft mehr Rechte zugewiesen, als für eine konkrete Aufgabenstellung nötig wären – und ihnen lediglich die für ihre Tätigkeiten erforderlichen Zugriffsrechte zuzuweisen. Oft erfolgt diese Erkennung noch manuell und die Einräumung von Fernzugriffsmöglichkeiten von Fall zu Fall. Dieser Prozess ist extrem zeitaufwändig und zudem fehlerbehaftet.

3. Supply-Chain-Beteiligte

Die Sicherung von Systemen und Daten in der Supply Chain zählt zu den größten IT-Herausforderungen. Im Supply-Chain-Umfeld muss berücksichtigt werden, dass eine umfassende Vernetzung verschiedenster Unternehmen vorhanden ist – und dadurch oft auch Externe einen – teilweise indirekten – privilegierten Zugriff auf interne IT-Systeme erhalten, etwa auf sensible Daten im Zusammenhang mit Produktionsprognosen und Qualitätskontrolle oder auf andere kritische Systeme, die in Bezug zu Industrial Control Systems und Operational Technology stehen.

Supply-Chain-Beteiligte wie Lieferanten oder Logistiker werden bei Sicherheitsbetrachtungen oft nicht ausreichend berücksichtigt, da sie über keine Administrator­rechte verfügen, aber sie besitzen Zugriffsmöglichkeiten, die von böswilligen Angreifern ausgenutzt werden könnten.

4. Dienstleistungsunternehmen

Dienstleistungsunternehmen, die fachspezifische Aufgaben in Bereichen wie Rechtsabteilung, Marketing oder Gehaltsabrechnung ausführen, benötigen möglicherweise Zugang zu kritischen Geschäftsanwendungen, um effizient arbeiten zu können. Es ist wichtig, jeden einzelnen externen Benutzer zu identifizieren und Least-Privilege-Prinzipien durchzusetzen, um sicherzustellen, dass er keinen Zugriff auf Anwendungen außerhalb seines Zuständigkeitsbereichs erhält oder den Zugriff länger behält, als er ihn benötigt.

Geschäftskritische Applikationen wie Customer Relationship Management (CRM), Enterprise Resource Planning (ERP) oder Cloud-Konsolen sind für die Business Continuity von größter Bedeutung. In den falschen Händen kann mit den Zugangsdaten ein erheblicher Schaden angerichtet werden. Die Identifizierung der Personen, die Zugriff auf diese Anwendungen haben, ist deshalb sehr wichtig. Außerdem sollte die Möglichkeit minimiert werden, von einer Geschäftsanwendung zur nächsten zu wechseln, ohne sich neu zu authentifizieren.

5. Externe Consultants

Auch Unternehmens- und IT-Berater benötigen manchmal einen privilegierten Zugriff auf Systeme, um ihre Leistungen erbringen zu können. Ein solcher Zugang darf aber nur für den Zeitraum ihrer Tätigkeit eingeräumt werden. Vor allem muss definiert werden, welche Art von Zugang die Berater benötigen, zu was er befähigen muss und wie lange er verwendet werden darf. Darüber hinaus sollte der Zugang eines externen Beraters genau überwacht und gesichert werden, solange er aktiv ist. Nach dem Ende einer Tätigkeit wird die Zugriffsmöglichkeit idealerweise automatisch entzogen.

Da Unternehmen in immer stärkerem Umfang Remote-Mitarbeiter und -Dienstleister im Hinblick auf die IT-Sicherheit berücksichtigen müssen, ist es wichtig, dass sie die verschiedenen Arten von Benutzern kennen, die sich von außerhalb in ihre Systeme einloggen. Und in einem nächsten Schritt ist es erforderlich, diese Zugriffe zu verwalten, zu sichern und zu überwachen.

Dafür ist eine Privileged-Access-Management-Lösung erforderlich, die auch dezidiert die Verwaltung von privilegierten Zugriffen von Remote-Usern oder Externen wie Drittanbietern und Dienstleistern abdeckt. Eine moderne Lösung bietet dabei Zero-Trust-Zugang, biometrische Authentifizierung und Just-in-Time-Provisionierung. Idealerweise werden auch weder VPNs noch Agenten oder Passwörter benötigt, sodass der Administrationsaufwand für Unternehmen sinkt – bei gleichzeitig erhöhter Sicherheit.

Über den Autor: Michael Kleist ist Regional Director DACH bei CyberArk in Düsseldorf.

(ID:46765894)