IAM und PAM für IT-Dienstleister und Managed Service Provider
Wer fremde Systeme betreibt, verwaltet die weitreichendsten Zugänge seiner Kunden. Wir bauen mandantenfähige Berechtigungsstrukturen, die im Kundenaudit standhalten und den eigenen Betrieb nicht ausbremsen – für Systemhäuser, MSP, Hoster und Cloud-Anbieter.
Der Mehrwert für IT-Dienstleister
Regulatorik erreicht Sie aus zwei Richtungen
Zum einen unmittelbar: NIS-2 nennt Anbieter verwalteter Dienste und verwalteter Sicherheitsdienste ausdrücklich als betroffene Einrichtungen, ebenso Rechenzentrumsdienste und Cloud-Anbieter. Mit dem deutschen Umsetzungsgesetz gelten für sie Registrierungs-, Melde- und Nachweispflichten, und die Geschäftsleitung haftet persönlich für die Billigung und Überwachung der Maßnahmen.
Zum anderen mittelbar über Ihre Kunden. Deren Pflicht zur Absicherung der Lieferkette nach Art. 21 NIS-2 landet vertraglich bei Ihnen, ebenso die Anforderungen aus Art. 28 DSGVO an die Auftragsverarbeitung. Finanzkunden führen nach DORA ein Informationsregister über ihre IKT-Drittdienstleister und müssen vertragliche Mindestinhalte durchsetzen, darunter Zugriffs-, Prüfungs- und Kündigungsrechte. In der Praxis kommt diese Regulatorik als Fragebogen auf Ihren Tisch – mit Fragen nach Rollenkonzept, Protokollierung privilegierter Zugriffe und dem Nachweis, dass Rechte beim Ausscheiden entzogen wurden.
Mandantenfähigkeit gehört ins Berechtigungsmodell
Eine Rolle wie „Windows-Administrator“ trägt in einem Dienstleistungsbetrieb zu wenig Information. Entscheidend ist, für welchen Kunden sie gilt. Wir schneiden Rollen deshalb entlang der Achse Kunde × Funktion × Umgebung, sodass die Zuordnung zu einem Projektteam den Zugriff auf genau dessen Kundenumgebung erzeugt – und der Wechsel in ein anderes Team ihn wieder entzieht, ohne dass jemand daran denken muss. Externe, Subunternehmer und Freelancer erhalten Identitäten mit Ablaufdatum, das an die Vertragslaufzeit gekoppelt ist.
Besondere Aufmerksamkeit verdienen die technischen Konten. In Betriebsumgebungen laufen Skripte, Monitoring-Agenten und Automatisierungsstrecken unter Service-Accounts, die oft weitreichende Rechte tragen, selten rotiert werden und keiner Person zugeordnet sind. Wir erfassen sie als eigene Klasse von Identitäten, geben ihnen einen Verantwortlichen und nehmen sie in die Rezertifizierung auf.
Privilegierte Zugriffe auf Kundenumgebungen
Der Zugriff auf Kundensysteme ist Ihr Kerngeschäft und zugleich das Risiko, nach dem im Audit zuerst gefragt wird. Privileged Access Management legt diesen Zugriff auf eine kontrollierte Strecke: Zugangsdaten bleiben im System hinterlegt statt in Passwortlisten der Technikerinnen und Techniker, Sessions werden aufgezeichnet, und die Vergabe erfolgt auf Anforderung mit zeitlicher Begrenzung. Mit Just-in-Time-Zugriff und Zero Standing Privilege bestehen die Rechte zwischen zwei Einsätzen gar nicht erst – ein kompromittiertes Technikerkonto eröffnet dann keinen nutzbaren Zugang zu Kundensystemen.
Das wirkt bis in den Vertrieb: Ein Kunde, der wissen will, wer im letzten Quartal administrativ auf seine Umgebung zugegriffen hat, bekommt einen Auszug aus dem System. Für regulierte Kunden, die diesen Nachweis selbst schulden, ist genau das die Voraussetzung für eine Zusammenarbeit.
Unsere Beratung beinhaltet
- •Analyse des IST-Zustandes (Rechte, Rollen, Zielsysteme)
- •Recherche und Auswahl geeigneter Tools
- •Projektsteuerung und Implementierung der/des Tools
- •Identifizierung von Sicherheitsrisiken
- •Erstellung eines Sicherheitskonzepts
- •Entwicklung von Strategien, um IT-Sicherheit zu erhöhen und Risiken zu reduzieren
- •Erstellung eines Maßnahmenplans (inkl. einer Management-Entscheidungsvorlage)
- •Management-Reports (quartalsweise oder individuell)
Vom gewachsenen Zugriff zum mandantenfähigen Modell
Ausgangslage
Bei IT-Dienstleistern wächst die Berechtigungslandschaft mit dem Kundenstamm. Jede neue Kundenumgebung bringt eigene Verzeichnisse, eigene Admin-Konten und eigene Zugangswege mit, häufig aus der Übernahme bestehender Systeme. Technikerinnen und Techniker arbeiten für mehrere Kunden zugleich, wechseln zwischen Projekten und behalten Zugänge, weil ein späterer Einsatz möglich bleibt. Die Trennung zwischen den Mandanten liegt dann in der Disziplin der Einzelnen statt im Modell – und lässt sich im Kundenaudit schwer belegen.
Unser Vorgehen
Wir arbeiten vom Kundenzugriff nach innen: • Aufnahme der Zugangswege in Kundenumgebungen, einschließlich der Konten, die außerhalb des zentralen Verzeichnisses entstanden sind, • Entwurf eines mandantenfähigen Rollenmodells, in dem jede Rolle einem Kunden zugeordnet bleibt, • Anbindung von Personal- und Projektdaten, damit Zuordnungen zu Teams und Kunden Berechtigungen erzeugen und wieder entziehen, • Einführung einer PAM-Strecke für administrative Zugriffe, mit befristeter Vergabe und Session-Aufzeichnung, • Aufbau der Rezertifizierung entlang der Kundenverantwortlichen, damit die Nachweise pro Mandant vorliegen, • Ableitung der Artefakte, die Ihre Kunden ohnehin anfordern: Rollenkonzept, Protokollierungsnachweis, Nachweis des Rechteentzugs.
Woran Sie den Erfolg messen
Der Erfolg zeigt sich zuerst im Vertrieb und in der Prüfung: Wie lange dauert die Beantwortung eines Sicherheitsfragebogens, und wie viele Antworten stützen sich auf einen Systemauszug statt auf eine Zusage? Wie viele dauerhaften Administratorkonten bestehen in Kundenumgebungen, wie viele Zugriffe laufen über befristete Vergabe? Wie schnell ist ein ausscheidender Mitarbeiter aus allen Kundenumgebungen entfernt? Und wie viel Aufwand kostet die Anbindung eines neuen Kunden an Ihr Berechtigungsmodell – diese Zahl entscheidet darüber, ob das Modell mit Ihrem Wachstum mithält.
Bereit für mehr IT-Sicherheit?
Kontaktieren Sie uns noch heute, um zu besprechen, wie wir Ihre IT-Dienstleistungen absichern können.