Damit Login-Frust keine Daten und Prozesse gefährdet Zugang zu Cloud-basierter IT sicher gestalten

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Mimecast Germany GmbH

Vielfache Logins nerven – aber ist Login-Müdigkeit wirklich ein Faktor, den IT-Verantwortliche im Blick haben sollten? Eine Umfrage zeigt, wie Login-Frust die Produktivität stört und IT-Risiken erhöht. Aus den Daten lassen sich Maßnahmen ableiten, um Login-Prozesse systematisch sicherer zu machen.

Die Bürotür aufschließen, am eigenen Schreibtisch Platz nehmen, den Computer anschalten und sich für den bevorstehenden Tag in die Unternehmens-IT einloggen – so begannen früher viele Arbeitstage. Aber weder für den Arbeitsort noch für die Unternehmens-IT gelten diese alten Gewohnheiten noch: Mitarbeiterinnen und Mitarbeiter arbeiten heute an verschiedenen Orten – im Firmenbüro, Homeoffice, in Coworking Spaces oder mobil von unterwegs. Auch die IT-Applikationen, die sie für ihre Arbeit brauchen, laufen oft nicht mehr im eigenen zentralen Rechenzentrum.

In vielen Unternehmen sind heute hybride Infrastrukturen entstanden. Sie nutzen Applikationen, die von verschiedenen Anbietern beispielsweise als webbasierter Software-as-a-Service bereitgestellt und auf verschiedenen Servern in verteilten Rechenzentren gehostet werden. Die Intensität der Nutzung von Cloud-Services steigt dabei mit der Unternehmensgröße, wie ein aktueller Report zeigt: Unternehmen mit 500 bis 2.000 Mitarbeitenden setzen durchschnittlich 138 Cloud-Anwendungen pro Monat zum Hochladen, Erstellen, Freigeben oder Speichern von Daten ein. Diese Zahl steigt bei einer Unternehmensgröße von 2.000 bis 4.000 Mitarbeitenden auf durchschnittlich 204 und erreicht bei Firmen mit über 4.000 Mitarbeitenden 326 Anwendungen.

Statt sich einmal zu Arbeitsbeginn einzuloggen und dann sicher arbeiten zu können, müssen sich Mitarbeitende im Laufe eines Tages und im Zuge ihrer Aufgaben heute oft vielfach einloggen, was nicht nur lästig ist, sondern in hohem Maße auch die Produktivität stört und die Sicherheit von Unternehmensdaten und -prozessen gefährdet. Besonders akut ist die Situation, wenn ungeschulte neue Mitarbeitende gleich zu Beginn ihres Jobs dazu aufgefordert werden, sich bei einer Vielzahl ihnen noch unbekannter Cloud-Apps zu authentifizieren oder Konten zu bestätigen, die jemand als Teil des Onboardings vorab für sie angelegt hat.

Das Problem: Oft ist die Seriosität der Anfragen für die neuen Beschäftigten gar nicht einzuschätzen, etwa weil Registrier- oder Bestätigungsaufforderungen per Mail kaum Kontextinformationen enthalten. Oft bleiben den Job-Neulingen nur zwei Optionen: Sie nerven die Kolleginnen und Kollegen mit diesbezüglichen Fragen oder – etwa, weil sie zu Beginn nicht unangenehm auffallen möchten – vertrauen darauf, dass die Aufforderungen sicher und echt sind.

Das Unternehmen 1Password wollte besser verstehen, was das vielfache Einloggen für Mitarbeitende bedeutet und welche Einstellungen, Verhaltensweisen und Probleme wirklich damit verbunden sind, und führte deshalb im Sommer 2022 eine Befragung unter 2.000 nordamerikanischen Erwachsenen durch, die in Vollzeit hauptsächlich am Computer arbeiten.

Das Ergebnis: Die modernen Anmeldeprozesse sind nicht nur frustrierend – sie verringern auch die Produktivität und gefährden das Unternehmen. Hier ein paar relevante Zahlen aus der Umfrage:

• Vom ersten Tag an schwierig: 37 Prozent, also über ein Drittel der Mitarbeitenden fand es schon im Rahmen ihres Einführungsprozesses an ihrem derzeitigen Arbeitsplatz zeitaufwändig, verwirrend oder schwierig, wenn es darum ging, sich bei arbeitsbezogenen Konten anzumelden.

• Unvollständige Arbeitsergebnisse: Mit 26 Prozent gaben über ein Viertel der Befragten an, schon einmal eine Aufgabe abgebrochen zu haben, um sich die Mühe des Einloggens zu ersparen.

• Sicherheitsprozesse umgangen: 38 Prozent der Beschäftigten haben die Einrichtung neuer Sicherheitsanwendungen für die Arbeit wegen umständlicher Anmeldeverfahren schon mal aufgeschoben, delegiert oder übersprungen.

• Firmen-Login mit Privat-Accounts: Fast die Hälfte der Befragten (45 Prozent) nutzt persönliche Konten wie E-Mail oder Facebook für die einmalige Anmeldung bei der Arbeit. Dies macht Unternehmen verwundbar, da sie persönliche Konten nicht auf Sicherheitsrisiken überwachen können.

• Unklare Sicherheitskonzepte: Mit 27 Prozent waren mehr als ein Viertel der Mitarbeitenden der Meinung, dass es keinen Unterschied zwischen Single-Sign-on und der Wiederverwendung von Passwörtern gibt, wobei ersteres die Sicherheit erhöht, da es die Zahl der zu sichernden Zugangspunkte begrenzt, und letzteres die Anfälligkeit für Hacker erhöht.

Systematisches Login-Management vom ersten Tag an

Die Ergebnisse der Umfrage zeigen, wo IT-Administratoren aktiv werden müssen, um Sicherheitsrisiken zu vermeiden, die durch Unverständnis von Sicherheitskonzepten und Login-Müdigkeit durch wiederholte Anmeldeanfragen entstehen: Es gilt, Mitarbeiterinnen und Mitarbeiter vom ersten Tag des Onboardings an systematisch abzuholen und mitzunehmen, denn zur Sicherung von IT-Infrastruktur und Unternehmensdaten braucht es verantwortlich handelnde und mitdenkende Beschäftigte.

Die IT-Abteilung sollte das IT-Onboarding neuer Kolleginnen und Kollegen daher systematisch und nachvollziehbar gestalten. Oft sind grundlegende Sicherheitsschulungen direkt am ersten Tag sinnvoll, noch bevor neue Mitarbeitende vollen Zugang zu Systemen und Daten erhalten. Hier lassen sich auch grundsätzliche Regeln für die Nutzung von Anmeldedaten und wichtige Konzepte der IT-Sicherheit noch in Ruhe kommunizieren.

Single-Sign-on gegen Login-Frust

Die Überwachung der Nutzung und Login-Prozesse für verteilte Cloud-Anwendungen und die Risikominimierung in der Unternehmens-IT ist für Verantwortliche ohnehin eine große Herausforderung. Für sie gibt es nämlich meist keine zentralen Teams und oft ist es schwierig, die Übersicht zu behalten. Hier kann ein Passwortmanager für Unternehmen schon für eine deutliche Vereinfachung der Login-Prozesse sorgen. Das reduziert Login-Frust bei den Mitarbeitenden und so die Gefahr für unsichere Passwörter gleichermaßen. Sie erhalten mit einem einzigen Passwort komfortabel, aber sicher Zugang zu all ihren Online-Konten.

Technische Lösungen gegen Phishing

Aus technologischer Sicht sollten Unternehmen außerdem einen allgegenwärtigen, über die Cloud bereitgestellten Phishing-Schutz einführen, der für Web- und Cloud-Datenverkehr gleichermaßen wirksam ist. Das Risiko, dass Nutzer am Ende jede Anfrage, die sie erhalten, also beispielsweise auch bei bösartigen Phishing-Angriffen, einfach "bestätigen", ist sehr real und ein noch größeres Risiko, wenn man die zunehmende Nutzung von Unternehmensgeräten für private Zwecke bedenkt.

Sicherheitsrichtlinien mit CASB-Tools durchsetzen

Für viele Unternehmen empfiehlt sich auch der Einsatz so genannter CASB. Die Abkürzung steht für Cloud Access Security Broker und meint eine lokale oder Cloud-basierte Stelle zur Durchsetzung von Sicherheitsrichtlinien, die zwischen Cloud-Service-Kunden und Cloud-Service-Anbietern platziert wird, um die Sicherheitsrichtlinien des Unternehmens beim Zugriff auf Cloud-basierte Ressourcen zu kombinieren und durchzusetzen.

Sicherheitskonzepte mit SASE auf Cloud-IT umstellen

Je mehr Mitarbeitende im Unternehmen immer mehr Cloud-Anwendungen nutzen, desto komplexer werden der Schutz von Unternehmensdaten und die Gewährleistung sicherer Prozesse. Deshalb ist jetzt ein guter Zeitpunkt, sich mit neuen Cloud-basierten Sicherheitskonzepten zu befassen. Denn klar ist: Das traditionelle Konzept einer Sicherheitsarchitektur, bei dem ein sicherer Bereich um die Unternehmensressourcen herum aufgebaut und der Datenverkehr überwacht wird, der in diesen sicheren Bereich hinein- und herausgeht, wird den neuen Anforderungen nicht mehr gerecht. Im Zeitalter der Cloud wird immer deutlicher, dass dieser Ansatz nicht mehr zweckmäßig ist: Daten, Anwendungen und Mitarbeitende sind in die Cloud gewandert. Die Sicherheit muss folgen.

Um den aktuellen Anforderungen einer Cloud-basierten IT-Security gerecht zu werden, stellte der Branchenanalyst Gartner 2019 einen neuen Ansatz für Sicherheitsarchitekturen vor: Secure Access Service Edge (SASE). SASE ist ein Framework für die Implementierung einer Cloud-basierten, konvergierten Infrastruktur für Netzwerk- und Sicherheitsfunktionen. SASE kombiniert dabei Konzepte wie Zero Trust, Software-Defined Wide Area Networking (SD-WAN) und Security Service Edge (SSE), um uns zu einer Sicherheits- und Netzwerkstruktur zu führen, die die Cloud und moderne Work-from-Anywhere-Umgebungen schützt und steuert. Eine solche neue Architektur bietet Unternehmen umfassende Sicherheit für eine Cloud-zentrierte Arbeitswelt – und beseitigt jeden Login-Frust.

Über den Autor

Alex Hoffmann ist Sales Engineer bei 1Password und seit 2013 in verschiedenen Rollen und Funktionen Teil des Unternehmens. Zuvor leitete er den Kundensupport für die Windows-App und war maßgeblich an der Entwicklung des Business-Sales-Teams von 1Password beteiligt. Alex hat eine Leidenschaft für menschenzentrierte Sicherheit und weiß, wo die Bedürfnisse der Kunden liegen.

(ID:49410295)