Identitätszentrierte Sicherheitskonzepte Jeder kann zum Risiko werden!

Anbieter zum Thema

SailPoint Technologies GmbH

Fsas Technologies GmbH

FTAPI Software GmbH

Immer öfter sind kompromittierte Identitäten der Auslöser für Sicherheits­verletzungen. Zugriffsdaten sind ein lukratives Handelsobjekt für Cyber­kriminelle. Zudem erschwert die steigende Komplexität der IT-In­fra­struk­turen und eine veränderte Arbeitswelt mit mehr externen Kräften und Mobilarbeit den Schutz von Accounts. Was Unternehmen noch vor einem Jahrzehnt wirksam schützen konnte, reicht heute nicht mehr.

Eines ist gewiss: die Angreifer schlafen nicht. Die Aktivitäten sogenannter Initial Access Broker, die mittels Phishing oder Social Engineering erbeutete Zugriffsdaten lukrativ an Cyberkriminelle verkaufen, wurden vom BKA 2023 als besonders relevant eingestuft.

Auf Seite der Gesetzgebung ist man sich der Notwendigkeit umfassender Sicherheitsstrategien zur Abwehr von Cyberattacken auf kritische Infrastrukturen voll bewusst. So muss die am 16. Januar 2023 in Kraft getretene EU-Richtlinie zur Netzwerk- und Informationssicherheit (NIS2-Richtlinie) im Oktober 2024 in nationales Recht überführt werden. Das soll sicherstellen, dass Organisationen in Sektoren wie Energie, Gesundheit, Transport und digitale Infrastruktur vollumfängliche Maßnahmen zum Schutz vor Cyber-Bedrohungen implementiert haben. Aber auch Unternehmen, die von der Richtlinie nicht betroffen sind, sollten angesichts der gestiegenen Fälle von Identitätsdiebstahl die Bedeutung der identitätszentrierten Sicherheit nicht unterschätzen. Sicherheitsvorfälle sind rufschädigend und können schnell teuer werden: Laut Branchenverband Bitkom betrugen die Gesamtschäden aus Cyberattacken für deutsche Unternehmen im Jahr 2023 mehr als 148 Milliarden Euro. Schäden durch Erpressung mit gestohlenen oder verschlüsselten Daten beliefen sich auf 16,1 Milliarden Euro. Weltweit wurden bei jedem dieser Fälle im Durchschnitt 577.084 Euro Lösegeld gezahlt. Zu gewährleisten, dass wirklich nur autorisierte Benutzer auf die Unternehmenssysteme zugreifen können, ist deshalb ein wichtiger Baustein zur Vermeidung unerwünschter Datenleaks und zum Schutz des Unternehmens.

Zero Trust Prinzip als Grundlage der identitätszentrierten Sicherheit

Das Zero Trust Prinzip basiert auf der Annahme, dass keine Zugangsanfrage – egal ob sie intern oder extern erfolgt – vertrauenswürdig ist. Deshalb muss jeder Zugriff verifiziert werden. Unternehmen können das Prinzip umsetzen, indem sie eine identitätszentrierte Sicherheitsstrategie einführen. Das Herzstück dieser Strategie bildet ein zentrales Identitätsmanagement-System, also eine moderne Plattform zur Verwaltung von Benutzeridentitäten und Nutzungsrechten, die die Erstellung, Verwaltung und Deaktivierung von Benutzerkonten automatisiert. Sie sorgt beispielsweise dafür, dass Zugriffsrechte nach klar definierten Richtlinien vergeben werden. Alle Anfragen werden unabhängig vom Ursprung gründlich überprüft. Ganz im Sinne der minimalen Rechtevergabe, wird der Zugriff nur auf die Daten und Anwendungen erteilt, die wirklich benötigt werden. Dafür lassen sich vorab Rollen und Zugriffsprofile im Unternehmen erstellen, aus denen sich die jeweiligen Zugriffsrechte ableiten. Ein Entwickler erhält demnach andere Zugänge als ein Mitarbeitender im Vertrieb.

Benutzerrechte werden zudem kontinuierlich überprüft, um sicherzustellen, dass die Berechtigungen noch gültig bzw. zulässig sind. Haben sich beispielsweise die Rollen geändert? Hat der Mitarbeiter das Unternehmen verlassen? Dann müssen die Zugriffsrechte anders vergeben oder entzogen werden. Dieser Prozess ist dynamisch. Bei der Komplexität der heutigen Systeme und Unternehmenslandschaften reichen in vielen Unternehmen die Kapazitäten aber leider oft nicht aus, um mit der Geschwindigkeit der Veränderungen Schritt zu halten. Automatisierte Prozesse und durch Machine Learning gestützte Entscheidungen sind deshalb notwendig, um sicherzustellen, dass die IT-Administration diesbezüglich nicht an ihre Grenzen stößt.

Auch Maschinenidentitäten und externe Mitarbeiter gehören dazu

Mit der Verlagerung hin zu mehr Remote- oder Hybrid-Arbeit, ist die Notwendigkeit, externe Kräfte mit einzubeziehen, gestiegen. Moderne Identitätsmanagementsysteme ermöglichen es Unternehmen, temporäre Zugriffsrechte für Zeitarbeitskräfte oder Auftragnehmer und Partner in der erweiterten Wertschöpfungskette zu vergeben. Auch hier wird sichergestellt, dass diese zum einen nur auf die Ressourcen zugreifen können, die für ihre Aufgaben tatsächlich erforderlich sind, und zum anderen die Zugriffsrechte nach Abschluss ihrer Tätigkeit automatisch entzogen werden. Die Identitätssicherheit beschränkt sich jedoch nicht nur auf Personen, sondern bezieht alle Arten von Unternehmensidentitäten mit ein – auch Maschinenaccounts. Unternehmen investieren immer mehr in Software-Bots, Roboterintelligenz und intelligente Geräte. Die Themen Identität und Zugriff werden an dieser Stelle jedoch oft nicht mitbedacht. Sie von Anfang an einzubeziehen, minimiert das Risiko unbefugter Zugriffe und gewährleistet die Einhaltung von Sicherheitsrichtlinien.

Sicherheitsbewusstsein der Mitarbeiter schärfen

Neben den technischen Maßnahmen ist es zudem sehr wichtig, das Sicherheitsbewusstsein der Mitarbeiter zu schärfen. Schulungskampagnen oder Best Practices im Umgang mit Zugangsdaten und Benutzerkonten sensibilisieren die Belegschaft für das Thema und ermöglichen eine umfassende Aufklärung über Phishing und andere Social-Engineering-Angriffe. Schulungen helfen auch dabei, die Akzeptanz einer Identitätssicherheitsstrategie zu erhöhen, die Beweggründe für die Einführung zu erläutern und Zweifel zu zerstreuen. Denn gerade Audits rufen bei der Belegschaft oft Unbehagen hervor. Zudem lässt sich durch Trainings auch vermitteln, dass die Prozesse reibungslos im Hintergrund ablaufen und den Arbeitsalltag nicht beeinflussen.

Zusammenfassung

Die Integration der Identitätssicherheit in die Sicherheitsstrategie ist kein Luxusproblem, sondern eine unumgehbare Notwendigkeit. Durch die Anwendung des Zero Trust Prinzips, können Unternehmen ihre Sicherheitslage erheblich verbessern, Compliance-Anforderungen erfüllen und das Risiko von Sicherheitsvorfällen minimieren. Die Implementierung einer Identitätsmanagementlösung als Grundpfeiler stellt sicher, dass jeder Zugriff überprüft und autorisiert wird, was einen wichtigen Schutz vor den aktuellen Bedrohungen bietet und der zunehmenden Komplexität der Arbeitswelt und IT-Infrastruktur gerecht wird.

Über den Autor: Klaus Hild ist Solution Engineering Enterprise Manager, DACH & MEA bei SailPoint. Er ist seit über 20 Jahren im Bereich Identity und Access Management tätig und arbeitet seit 2016 für SailPoint Technologies. Mehr an praktischer Umsetzung als an neuen Buzzwords interessiert, hilft Klaus Hild Kunden und Partnern den besten Weg zu nachhaltiger Identitätssicherheit zu finden. Seine Arbeit als Identity Stratege bei SailPoint beinhaltet sowohl die Anpassung an aktuelle Marktanforderungen als auch die genaue Kenntnis typischer Geschäftsanforderungen in verschiedenen Branchen.

(ID:50167393)