Sicherheit in hybriden IT-Landschaften Zugriff auf Unternehmens­an­wen­dung­en einfacher und sicherer machen

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

SEPPmail - Deutschland GmbH

indevis IT Consulting and Solutions GmbH

Gegenwart und Zukunft der IT-Landschaften ist hybrid. Doch der Mix aus On-Premises und Cloud bringt Herausforderungen im Bereich der digitalen Sicherheit mit sich. IT-Security-Verantwortliche müssen dafür sorgen, dass Mitarbeiter einfach und gleichzeitig sicher auf alle notwendigen Applikationen zugreifen können – und sich nicht täglich in einem Dschungel aus verschiedenen Multi-Faktor-Authentifizierungen verlieren. Das Stichwort hierbei lautet: Identity and Access Management (IAM).

Hybrid ist heute die Norm. Die Studie „Hybrid Work 2022“ zeigt, dass bereits die Hälfte der befragten deutschen Unternehmen ein detailliertes Konzept für ein Hybrid-Work-Modell haben, das auf allen Ebenen und in allen Bereichen implementiert werden kann. Außerdem investieren 69 Prozent in weitere Möglichkeiten des hybriden Arbeitens. Diese Transformation verändert auch die Zugriffspolitik zu den firmeneigenen System­landschaften grundlegend – und wirft neue Security-Fragen auf.

Sicherheit und Zugriffskontrolle in der heutigen Cloud-Welt

Vor der „Cloudifizierung“ liefen alle Anwendungen, die Mitarbeiter für ihre Arbeit benötigten, im unternehmens­eigenen Rechenzentrum. Sie waren damit nur innerhalb des Firmennetzwerks zugänglich. Heute ist das anders: Applikationen sind auf verschiedenen Webservern in der Cloud gehostet und Mitarbeiter können sie über ihren Webbrowser von überall aus anwählen, ohne sich vorher in das sichere Firmennetzwerk einzuloggen. Die letzte Entscheidung bei der Zugriffskontrolle hängt damit nicht mehr an einem Sicherheitsschlüssel oder Zertifikat, sondern nur noch an den Log-in-Daten des jeweiligen Mitarbeiters, an Benutzername und Passwort – die oftmals verhältnismäßig einfach zu knacken sind.

Diese Tatsache wird bei der Einführung einer Cloud-Applikation jedoch oft nicht beachtet. Funktionalität steht bei den meisten Firmen zunächst an erster Stelle. Zwar stellen SaaS-Anbieter auch eigene Schutzmechanismen wie Firewalls bereit. Doch diese unterscheiden nicht, ob etwa ein Zugriff aus einem vertrauenswürdigen Netzwerk heraus erfolgt – wie dem Firmennetzwerk – oder einem unsicheren öffentlichen Netz. Deshalb sollten Unternehmen selbst dazu in der Lage sein, zu überprüfen, ob ein Benutzer der ist, für den er sich ausgibt und ob er auf die angeforderte Anwendung zugreifen darf.

Kriminelle hacken lieber Identitäten als Applikationen

Cyberkriminelle wissen, dass es für sie einfacher und kostengünstiger ist, Identitäten zu stehlen, als in Applikationen einzubrechen. Denn Erstere sind oftmals mit schwachen Passwörtern und unzulänglichen Zugriffs­kontrollen versehen. Das Schlimmste am Identitätsdiebstahl ist, dass er oft erst spät erkannt wird. Kompromittierte Konten können wochen- oder sogar monatelang unbemerkt bleiben, während der Hacker auf sensible Informationen zugreift. Verschafft er sich so Zugang zu E-Mails, SharePoint-Dokumenten und anderen vertraulichen Informationen, ist dem Schaden, den er anrichten kann, beinahe keine Grenze gesetzt.

Zum Schutz der Identität setzen viele IT-Sicherheitsexperten auf die Multi-Faktor-Authentifizierung (MFA). Diese schafft eine zusätzliche Sicherheitsebene, indem sie die Identität des Benutzers genauestens überprüft. Sie verwendet mehrere Faktoren wie biometrische Daten, PINs oder Push-Benachrichtigungen, um zu verifizieren, dass der Zugreifende tatsächlich der ist, für den er sich ausgibt. Dadurch wird das Risiko von Identitätsdiebstahl und Phishing-Angriffen minimiert.

Warum Sicherheit manchmal ermüdend wird

Das stellt die IT-Teams allerdings vor eine weitere Herausforderung: Wenn jede Cloud-Applikation eine eigene MFA benötigt, um die Identität der Nutzer zu prüfen, kann das für den Mitarbeiter sehr viel Aufwand bedeuten. Früher war es einfacher: Ein VPN-Login am Morgen und man hatte Zugriff auf alle firmeninternen Daten und Anwendungen. Heute haben Firmen jedoch meist mehrere SaaS-Applikationen im Einsatz, die Mitarbeiter nicht über das Unternehmens­netzwerk, sondern direkt über das Internet anwählen. Wenn jede Einzelne mit eigenen Authentifizierungs­faktoren geschützt ist, müssen Mitarbeiter täglich mehrere MFA-Codes eingeben – und dazu unter Umständen auch noch verschiedene Apps auf ihrem Handy installieren, um die Codes zu generieren. Diese Vielzahl an MFA-Anfragen und -Systemen kann schnell zu Frustration und damit auch Unachtsamkeit führen.

Die IT-Abteilung hat die Möglichkeit, eine solche Entwicklung zu vermeiden. Wenn sie auf ein IAM-System setzt, das alle MFA-Systeme vereint und eine nahtlose und vereinfachte Nutzererfahrung einschließlich Single Sign-On bietet.

IAM: Zentraler Baustein für die IT-Sicherheit in der hybriden Welt

Eine vom Unternehmen implementierte Identitäts- und Zugriffsverwaltung ermöglicht es, Nutzern eindeutige Identitäten zuzuweisen und zu definieren, welche Rechte sie haben. IAM ist damit eine zentrale Technologie, um die firmeninterne IT-Sicherheitsstrategie in einer hybriden Umgebung wirksam umzusetzen. Denn sie verifiziert, dass ausschließlich authentifizierte Personen Zugang zu Daten haben – unabhängig von der Art der Applikation oder des Endgeräts. Einmal eingerichtet, verwaltet IAM die Zugriffsrechte automatisch, ohne dass Mitarbeiter sich noch einmal einloggen müssen.

Das macht das Identitätsmanagement zu einem wichtigen Verbündeten von Compliance und Datensicherheit. Mit ihm lässt sich detailliert überwachen und dokumentieren, wer auf sensible Daten zugegriffen und sie geändert hat. Für interne Audits, externe Prüfungen oder den Abschluss einer Cyberversicherung ein Muss. Um IAM nutzbringend einzusetzen und die Vorteile voll auszuschöpfen, brauchen Unternehmen jedoch eine dedizierte IAM-Strategie, die sowohl die Technologie als auch die Geschäftsprozesse umfassen.

Komplexe Strukturen erfordern Expertise

Die Einführung eines Identitäts­managements kann eine komplexe und schwierige Aufgabe sein, besonders dann, wenn es nicht von Anfang an geplant wurde. Viele Firmen gehen das Thema erst nachgelagert an – ihr Hauptaugenmerk liegt meist zunächst auf der Einführung von Cloud-Applikationen und nicht auf der Absicherung des Zugriffs auf diese. Kommt dann noch MFA für jede Applikation hinzu, wird das Thema schnell ungemein komplex.

Durch ein gutes IAM-System kann man jedoch die Komplexität reduzieren und die Verwaltung der Zugänge zentralisieren. Das macht das Management von Identitäten wieder möglich – eine essenzielle Security-Voraussetzung. Durch das IAM lässt sich die erforderliche Sicherheit dynamisch anpassen. Das erhöht die Usability signifikant und führt zu einer deutlich höheren Benutzerakzeptanz. Daher sollte man sich frühzeitig mit der Einführung beschäftigen. Ist ein IAM implementiert, lassen sich Applikationen in der Regel ohne großen Aufwand einbinden. Das spart bei der Einführung viel zusätzlichen Aufwand und für den User ist der Zugang dann nahezu transparent.

Es ist sinnvoll, sich dabei von einem Dienstleister unterstützen zu lassen, der täglich mit IAM-Systemen arbeitet und in deren Implementierung und Betrieb erfahren ist. Er weiß, wie SaaS-Applikationen zu integrieren und Identitäten anzulegen oder zu sperren sind. So kann der Admin sich auf andere Aufgaben konzentrieren, während der Dienstleister den komplexeren Teil der IAM-Policy aufsetzt, umsetzt und kontinuierlich im Hintergrund betreibt.

Fazit: IAM jetzt angehen

Hybride IT-Landschaften sind heute unternehmerische Realität. IT-Sicherheits­verantwortliche müssen dafür sorgen, dass Mitarbeiter einfach und sicher auf alle notwendigen Applikationen zugreifen können. IAM ist hierfür ein zentraler Baustein. Mit ihm lassen sich Sicherheitskonzepte umsetzen, die eine sinnvolle Balance zwischen Usability und Security herstellen. Dazu muss das Identitäts­management effektiv in die IT-Landschaft eingepasst werden. Insbesondere wenn Unternehmen schon viele verschiedene Cloud-Applikationen nutzen, kann das komplex und herausfordernd sein. Spezialisierte Dienstleister geben hier wertvolle Hilfestellung – und schieben Hackern so einen weiteren Riegel vor.

Über den Autor: Dipl.-Ing. Wolfgang Kurz gründete die Indevis GmbH noch während seines Studiums der Elektrotechnik in München. Er ist ausgewiesener Experte im Bereich Infrastruktur und Rechenzentrum und verantwortete bis 2019 den technischen Bereich bei Indevis, insbesondere die Entwicklung sowie den Betrieb der Indevis Managed Security Services. Seit 2019 liegt sein Hauptfokus als Geschäftsführer auf der strategischen Ausrichtung des Unternehmens.

(ID:49680065)