IAM und PAM im Mittelstand
Sicherheitsanforderungen, die für Konzerne geschrieben wurden, treffen zunehmend auch Unternehmen ohne eigenes Security-Team. Wir bringen Identitäten und Zugriffsrechte in eine Struktur, die zu Ihrer Größe passt – in einer Reihenfolge, die schon vor dem ersten Werkzeug Wirkung zeigt.
Der Mehrwert für den Mittelstand
NIS-2 erreicht den Mittelstand – auf zwei Wegen
Der erste Weg ist der direkte. NIS-2 und das deutsche Umsetzungsgesetz erfassen wesentliche und wichtige Einrichtungen in 18 Sektoren, als Faustregel ab 50 Beschäftigten oder 10 Millionen Euro Jahresumsatz. Nach Schätzungen betrifft das in Deutschland rund 30.000 Unternehmen – ein Vielfaches der alten Regelung, und ein großer Teil davon sind mittelständische Betriebe, für die Cybersicherheitsregulierung neu ist. Betroffene müssen sich beim BSI registrieren, Risikomanagementmaßnahmen umsetzen und nachweisen können; die Geschäftsleitung haftet für deren Billigung und Überwachung persönlich.
Der zweite Weg führt über Ihre Kunden und trifft auch Unternehmen, die selbst nicht unter die Richtlinie fallen. Wer als Zulieferer oder Dienstleister für eine betroffene Organisation arbeitet, bekommt deren Pflicht zur Absicherung der Lieferkette vertraglich weitergereicht – in der Praxis als Sicherheitsfragebogen. Dieselbe Entwicklung zeigt sich bei Cyber-Versicherern, die den Umgang mit privilegierten Konten und eine Multi-Faktor-Authentifizierung inzwischen zur Bedingung machen. In beiden Fällen wird nach Nachweisen gefragt, nicht nach Absichten.
Die Struktur, an der wir ansetzen
Mittelständische IT-Organisationen arbeiten mit wenig Personal und hoher Vertrautheit. Das macht sie schnell und unbürokratisch, führt aber zu wiederkehrenden Mustern: Administratorrechte werden dauerhaft vergeben, weil sie gelegentlich gebraucht werden. Externe Dienstleister behalten ihre Zugänge zwischen zwei Einsätzen. Ein Konto überlebt den Austritt, weil niemand außerhalb der IT den Anstoß gibt, es zu schließen. Und die über Jahre gewachsenen Gruppen in Active Directory und Microsoft 365 geben irgendwann keine Auskunft mehr darüber, warum eine Berechtigung besteht.
Keines dieser Muster entsteht aus Nachlässigkeit; jedes ist die praktikable Lösung eines echten Problems. Wir lösen sie deshalb nicht durch Verbote, sondern indem der geregelte Weg schneller wird als der improvisierte: MFA auf den Zugängen, über die ein Angreifer hereinkäme, ein separates Administratorkonto statt dauerhafter Rechte am Arbeitskonto, und ein Austrittsverfahren, das aus der Personalabteilung ausgelöst wird statt aus einem Zuruf. Least Privilege ist dabei kein Ideal für später, sondern lässt sich mit Bordmitteln so weit umsetzen, dass die häufigsten Angriffswege ins Leere laufen.
Reihenfolge vor Werkzeug
Eine IGA-Lösung einzuführen, bevor geklärt ist, welche Konten existieren und wer für sie verantwortlich ist, verlagert das Problem nur in ein teureres System. In der Größenordnung des Mittelstands tragen die ersten Schritte fast den gesamten Sicherheitsgewinn: eine vollständige Kontenübersicht, saubere Trennung privilegierter Zugänge, ein verlässliches Austrittsverfahren und eine wiederkehrende Bestätigung der Berechtigungen durch die Führungskräfte, die den Zugriff fachlich beurteilen können. Erst wenn das Volumen an Identitäten, Systemen und Wechseln diese Verfahren überfordert, rechnet sich die Automatisierung – und dann entscheidet sie sich anhand belastbarer Zahlen statt anhand einer Produktdemonstration.
Besondere Aufmerksamkeit verdienen dabei die Konten, die keiner Person gehören. Backup-Aufträge, Schnittstellen zur Warenwirtschaft, Monitoring und Automatisierungen laufen unter Service-Accounts, die häufig weitreichende Rechte tragen, deren Passwort seit Jahren unverändert ist und für die sich nach einem Personalwechsel niemand mehr zuständig fühlt. Sie zu erfassen, ihnen einen Verantwortlichen zu geben und ihre Rechte auf das tatsächlich Benötigte zu begrenzen, ist einer der wirksamsten Schritte überhaupt – und einer, der ohne zusätzliche Software auskommt.
Vom gewachsenen Zugriff zu einer Struktur, die mitwächst
Ausgangslage
Die IT mittelständischer Unternehmen ist entlang des Bedarfs gewachsen, nicht entlang eines Konzepts. Berechtigungen entstanden dort, wo jemand etwas brauchte, und blieben bestehen, weil kein Anlass sie infrage stellte. Häufig liegt das Wissen darüber, wer worauf zugreifen kann, bei ein bis zwei Personen und nicht in einem System. Kommen Cloud-Dienste, mobile Arbeit und externe Dienstleister dazu, verteilt sich dieses Wissen weiter – und die Frage eines Kunden oder eines Versicherers nach dem Stand der Zugriffskontrolle lässt sich nur noch aus der Erinnerung beantworten.
Unser Vorgehen
Wir fangen mit dem an, was ohne Projektbudget wirkt, und bauen erst danach aus: • Bestandsaufnahme der Konten in den zentralen Systemen, einschließlich der Zugänge von Dienstleistern und der technischen Konten, • Trennung von Arbeits- und Administratorkonto, damit tägliche Arbeit nicht mit weitreichenden Rechten stattfindet, • MFA auf allen administrativen und extern erreichbaren Zugängen, • Austritt und Rollenwechsel an das Personalverfahren koppeln, damit Konten nicht überleben, • eine einfache, wiederkehrende Überprüfung der Berechtigungen durch die Führungskräfte einführen, • erst dann über ein Werkzeug entscheiden – und zwar anhand des Volumens, das Sie tatsächlich verwalten.
Woran Sie den Erfolg messen
Nützlich sind Zahlen, die Sie ohne Projekt erheben können: Wie viele Konten in Ihren Systemen lassen sich keiner aktuell beschäftigten Person zuordnen? Wie viele Personen haben administrative Rechte, und wie viele davon brauchen sie täglich? Auf wie vielen extern erreichbaren Zugängen ist MFA aktiv? Wie viele Arbeitstage vergehen zwischen dem letzten Arbeitstag einer Person und dem Ende ihrer Zugänge? Diese vier Zahlen sagen mehr über Ihre Lage aus als jede Werkzeugauswahl – und sie sind zugleich die Antworten, die in Sicherheitsfragebögen abgefragt werden.
Bereit für mehr IT-Sicherheit?
Kontaktieren Sie uns noch heute, um zu besprechen, wie wir Ihr Unternehmen schützen können.