Unkontrollierte VPN-Zugänge sind eine offene Tür Warum VPN für externe Zugriffe ausgedient hat

Anbieter zum Thema

Imprivata, Inc.

sysob IT-Distribution GmbH & Co. KG

Jahrelang galt VPN als Goldstandard für externe Zugriffe auf Unternehmens­netz­werke. Doch einmal eingerichtete Zugänge werden selten kontrolliert oder zurückgezogen und sind damit eine offene Einladung für Angreifer. Privileged Access Management (PAM) organisiert externe Zugriffe grund­le­gend anders, granular kontrolliert, individuell angepasst und weitgehend automatisiert.

Anders als bei herkömmlichen VPNs, die pauschal den Zugang zum Netzwerk gewähren, arbeitet PAM nach dem Prinzip der minimalen Rechtevergabe. Jeder externe Nutzer erhält ausschließlich Zugriff auf die Systeme und Ressourcen, die er tatsächlich benötigt. Diese feingranulare Steuerung lässt sich auf spezifische Nutzerprofile und Einsatzszenarien maßschneidern. Der entscheidende Vorteil: Selbst, wenn Zugangsdaten kompromittiert werden, bleiben die potenziellen Schäden begrenzt. Gleichzeitig entlasten automatisierte Prozesse die IT-Abteilungen erheblich – von der Zugriffsverwaltung bis zur kontinuierlichen Sicherheitsüberwachung. Was früher viele manuelle Eingriffe erforderte, läuft nun weitgehend automatisch kontrolliert im Hintergrund ab.

Am 7. Mai 2021 sahen sich Mitarbeiter von Colonial Pipeline in den USA einem Albtraum gegenüber: Cyberkriminelle legten ihre IT-Systeme lahm. Die Hackergruppe DarkSide hatte zugeschlagen – mit verheerenden Folgen. Die Pipeline, die täglich 100 Millionen Gallonen Treibstoff von Texas nach New York transportiert und 45 Prozent des gesamten Kraftstoffverbrauchs an der US-Ostküste abdeckt, stand still.

Sicherheitslücken bei nahezu allen VPN-Diensten

20 Jahre alte Lücke ermöglicht Angreifern das Auslesen von Daten

Ursache: Eine fatale VPN-Schwachstelle

Wie das FBI später bestätigte, drang DarkSide über eine erschreckend triviale Sicherheitslücke ein: ein kompromittiertes VPN-Passwort für einen inaktiven Account. Das eigentliche Desaster: Colonial Pipeline hatte für diesen Zugang keine Multifaktor-Authentifizierung (MFA) aktiviert. Diese grundlegende Nachlässigkeit ermöglichte den Angreifern freien Zugang. Das Passwort selbst stammte vermutlich aus einem früheren Datenleck und wurde im Darknet gehandelt. Mit diesem einen Zugangscode konnten die Hacker sich lateral durch das gesamte Netzwerk bewegen, in nur zwei Stunden rund 100 Gigabyte Daten stehlen und Ransomware installieren.

Die Folgen des Angriffs auf die kritische Infrastruktur waren verheerend: Treibstoffknappheit entlang der gesamten Ost- und Südküste der USA, Panik-Käufe an Tankstellen, Benzinpreise auf Sechsjahreshoch, gestrichene Flüge. US-Präsident Biden reagierte damals mit der Ausrufung des regionalen Notstands für 17 Bundesstaaten. Die Shutdown dauerte sechs Tage. Obwohl das Unternehmen umgehend 4,4 Millionen US-Dollar in Bitcoin als Lösegeld zahlte, musste es selbst für die Datenwiederherstellung sorgen, da die von Erpressern bereitgestellte Entschlüsselungssoftware extrem langsam arbeitete. Dies ist ein weiterer Grund, warum sich Lösegeldzahlungen nicht lohnen.

Dieses echte Beispiel zeigt deutlich: Um Cyberangriffe wirksam einzudämmen, müssen Angriffsflächen minimiert oder komplett beseitigt werden. Absolute Sicherheit bleibt dennoch unerreichbar. VPNs wurden lange als optimale Lösung für den sicheren Fernzugriff Externer auf interne IT-Infrastrukturen betrachtet, zeigen jedoch inzwischen gravierende Schwachstellen, die Attacken begünstigen. Organisationen, die Dritten Systemzugang gewähren, stehen damit vor massiven Sicherheitsproblemen.

Jenseits der Firewall

Sicherer Remote Access für moderne OT-Umgebungen

Herausforderung: Verwaltung und Kontrolle von VPNs

Einmal eingerichtete VPN-Zugänge lassen sich praktisch jederzeit ohne Kontrolle nutzen. Dieser unkontrollierte Zugang ist eine offene Einladung für Cyberkriminelle, denn es lässt sich kaum feststellen, ob jemand über ein gekapertes VPN unberechtigt ins Unternehmensnetz eindringt. Angreifer können sich dort erweiterte Berechtigungen verschaffen und erhalten damit Vollzugriff auf sämtliche Systeme sowie die Möglichkeit, Dateien beliebig zu übertragen. Das bedeutet: Sie können Daten manipulieren, entwenden oder Angriffswerkzeuge installieren.

Als Alternative könnten sogenannte Jump-Hosts zum Einsatz kommen, die kontrollierten Zugang zu internen Ressourcen bieten. Doch deren Wartung und Betrieb sind allerdings aufwendig, zudem mangelt es an Flexibilität der Sicherheitsvorkehrungen. Auch hier gilt: Wer einmal Zugang erlangt hat, dem öffnen sich sämtliche Tore zum IT-Netzwerk der gesamten Organisation.

Erschwerend kommt hinzu, dass immer mehr IoT-Geräte geschützte Wartungszugänge benötigen – von Telefonanlagen über Gebäudetechnik bis zu Medizingeräten in Kliniken oder Maschinensteuerungen in der Industrie. Die Anzahl potenzieller Einfallstore für Cyberkriminelle steigt kontinuierlich, während eine zuverlässige Überwachung Tausender VPN-Verbindungen praktisch unmöglich wird.

Der Grund: Es mangelt häufig am Fachpersonal für die Verwaltung bereits gewährter VPN-Zugänge. Oft werden VPN-Zugriffe unter Zeitdruck kurzfristig eingerichtet, Zugriffe bleiben unbeschränkt und zu viele Ports offen. Im operativen Tagesgeschäft gerät es nach Projektabschluss regelmäßig in Vergessenheit, Zugriffsrechte zu reduzieren oder vollständig zu entziehen. Das Sicherheitsrisiko ist damit vorprogrammiert, wie das oben geschilderte Beispiel zeigt.

privacyIDEA Workshop – Teil 2

VPN an privacyIDEA anbinden

Sicherer, flexibler, individueller: Privileged Access Management

Die nach heutigem Stand der Technik beste Architektur dafür ist PAM. Sie bietet die Antwort auf die Herausforderungen, mit denen VPN-Betreiber konfrontiert sind. Das Konzept liefert flexible und hochsichere Lösungen mit dem Potenzial, VPNs vollständig zu ersetzen.

Vendor Privileged Access Management (VPAM) kann beispielsweise VPN-Zugänge ersetzen und lässt sich wesentlich präziser und granularer für einzelne Nutzer konfigurieren, wodurch sich die IT-Sicherheit deutlich steigern lässt.

Dabei können mehrere Sicherheitsebenen implementiert werden. Die Verbindung lässt sich auf Port 443 beschränken. Die komplette Kommunikation kann über diesen Port abgewickelt werden, sodass keine zusätzlichen Ports offenstehen müssen. Nach der Anmeldung kann eine zusätzliche Zugriffsgenehmigung gefordert werden. Im Anschluss an Systemarbeiten können Passwörter automatisch erneuert werden, um zu verhindern, dass ausgespähte oder aus dem Arbeitsspeicher extrahierte Passwörter weiterhin verwendbar bleiben. Datentransfers können grundsätzlich unterbunden oder nur eingeschränkt erlaubt werden, beispielsweise indem ein Datei-Upload eine separate Freigabe erfordert.

Lösungen auf Basis von PAM ermöglichen die Implementierung von Zero-Trust-Architekturen. So lassen sich Wartungs-Accounts kurzfristig erst zum Zeitpunkt der Wartung erstellen und unmittelbar danach teilautomatisiert wieder löschen. Wer die notwendige Infrastruktur nicht selbst bereitstellen möchte, kann VPAM als SaaS-Lösung aus der Cloud nutzen.

Mit OpenVPN-Client

VPN-Server mit dem Synology-NAS aufbauen

Fernwartung und Logs inklusive

Das Privileged-Access-Security-Konzept bietet enorme Flexibilität zur Absicherung von Fernzugriffen Externer bei gleichzeitiger Vereinfachung der Prozesse.

Dienstleister mit großem Kundenstamm können ein eigenes Customer Privileged Access Management (CPAM) etablieren. Damit erhalten sie eine leistungsfähige Alternative zu herkömmlichen Fernwartungstools. Die Anbindung neuer Wartungskunden gestaltet sich mit CPAM erheblich effizienter.

Grundsätzlich ist bei PAM-Lösungen stets eine vollständige Dokumentation integriert. Das heißt: Es bleibt jederzeit nachvollziehbar, wer, wann, welche Systemänderungen durchgeführt hat. So lässt sich beispielsweise ermitteln, von welchem Mitarbeitenden zu welchem Zeitpunkt eine Software oder Maschine mit welchen Parametern konfiguriert wurde.

Bei der Fernwartung von medizinischen Großgeräten wie CTs, MRTs oder Sterilisatoren in Krankenhäusern ermöglicht VPAM trotz lokal installierter Steuerungssoftware den direkten Zugriff auf die Steuerungseinheit des jeweiligen Geräts. Damit entfällt die Notwendigkeit, jedes Gerät physisch aufzusuchen, dessen Software aktualisiert oder umprogrammiert werden muss. Dieses Szenario gilt selbstverständlich auch für andere industrielle Großanlagen, beispielsweise Offshore-Windkraftanlagen, und kann zu beträchtlichen Ressourceneinsparungen führen, ohne dass das Risiko einer VPN-Kompromittierung besteht.

Sicherer Fernzugriff neu gedacht

Warum Zero Trust Network Access das klassische VPN ablöst

Multifaktorauthentifizierung erhöht Sicherheit

PAM-Lösungen, einschließlich VPAM und CPAM, erlauben es, Verfahren vorzugeben, wie sich Externe authentifizieren müssen. Hier kann zwischen Token, Biometrie (Fingerabdruck oder Gesichtserkennung), Windows Hello oder Codes, die per Mail oder SMS versandt werden, ausgewählt werden. Wenn gewünscht, kann auch Mehrfaktorauthentifizierung eingeschaltet werden, die über zwei Faktoren hinaus geht. Zudem kann eingestellt werden, welche Aktionen dem Externen erlaubt sind, etwa in puncto Dateitransfer oder Einsatz von Remote Desktop Protocol (RDP). Bei Bedarf können sogar Tastatureingaben und Bildschirmansichten aufgezeichnet werden, um Änderungen nachvollziehen zu können.

Wird ein VPAM in der Cloud betrieben, können sich Hersteller sogar selbst für Fernzugriffe registrieren. Viele große Dienstleister, wie General Electric, Philips oder Siemens, sind sogar bereits voreingestellt und müssen nur aktiviert werden.

Wenn auf IoT-Geräte oder -Maschinen zugegriffen werden soll, die mittels lokal installierter Programme angesprochen werden müssen, kann über https-Verbindungen durchgetunnelt werden.

Privileged Access Management als Schlüssel zur digitalen Resilienz

Best Practices für eine erfolgreiche PAM-Einführung

PAM wird VPN vielerorts ersetzen

Die Ära des flächendeckenden VPN-Einsatzes zur Bewältigung sämtlicher Fernzugriffs-Herausforderungen geht zu Ende. Der Trend bewegt sich hin zu Web-Plattformen, an denen sich Externe für den Zugriff anmelden und authentifizieren müssen. Die Zertifikatsprüfung bietet wesentlich höhere Sicherheit als die manuelle Eingabe von Benutzername und Passwort über die Tastatur. Zukunftsweisend sind passwortlose Verfahren mittels Gesichtserkennung, Passkeys oder dem offenen Standard für passwortlose Authentifizierung Fast Identity Online, kurz FIDO2.

Das kontinuierlich wachsende Bedrohungspotenzial durch Cyberangriffe zwingt IT-Abteilungen, CISOs, CIOs und Geschäftsführer dazu, sich gegen aktuelle und künftige Gefahren zu wappnen. NIS2 erhöht den Handlungsdruck, da Unternehmensleiter in die persönliche Haftung genommen werden, falls sie nachweislich zu wenig unternommen haben, um IT-Risiken zu vermeiden. Vor diesem Hintergrund ist auch die Entwicklung weg von VPN hin zu Privileged-Access-Management-Lösungen eine logische Konsequenz.

Über den Autor: Olaf Milde is Manager Solutions Engineering Central Europe bei Imprivata.

Netzwerksicherheit im Wandel

Warum SASE klassische VPN- und Firewall-Ansätze ablöst

(ID:50823732)