IAM und PAM für Betreiber Kritischer Infrastrukturen
Ein Ausfall in der Versorgung trifft nicht nur das eigene Unternehmen. Entsprechend genau prüft der Gesetzgeber, wer auf die maßgeblichen Systeme zugreifen darf. Wir bringen Identitäten, Berechtigungen und externe Zugänge in eine Struktur, die den Nachweis trägt und den Betrieb nicht behindert.
Der Mehrwert für Betreiber Kritischer Infrastrukturen
Wer unter die Pflichten fällt – und seit wann
Lange war der Kreis überschaubar: Wer nach der BSI-Kritisverordnung die Schwellenwerte seines Sektors überschritt, galt als Betreiber Kritischer Infrastrukturen und schuldete dem BSI regelmäßige Nachweise über den Stand seiner Sicherheitsmaßnahmen. Mit NIS-2 und dem deutschen Umsetzungsgesetz, das Ende 2025 verabschiedet wurde, hat sich dieser Kreis erheblich geweitet. Erfasst sind nun wesentliche und wichtige Einrichtungen in 18 Sektoren, als Faustregel ab 50 Beschäftigten oder 10 Millionen Euro Jahresumsatz. Damit fallen Organisationen unter die Pflichten, die sich bislang zu Recht nicht als KRITIS verstanden haben.
Für Betroffene gilt eine Registrierungspflicht beim BSI, dazu Meldepflichten mit engen Fristen und der Nachweis geeigneter Risikomanagementmaßnahmen. Die Geschäftsleitung haftet für deren Billigung und Überwachung persönlich. Der erste Schritt ist deshalb selten ein technischer: Er besteht darin, belastbar zu klären, welche Gesellschaften, Standorte und Anlagen tatsächlich im Geltungsbereich liegen – und welche nicht.
Zugriffskontrolle steht in jedem Prüfkatalog
Ob branchenspezifischer Sicherheitsstandard, ISO/IEC 27001 oder die Risikomanagementmaßnahmen aus Art. 21 NIS-2 – die Steuerung von Identitäten und Zugriffsrechten taucht in jedem dieser Kataloge als eigener Punkt auf, meist zusammen mit Multi-Faktor-Authentifizierung und der Absicherung der Lieferkette. In der Prüfung wird daraus eine kurze Reihe von Fragen: Wer hat administrativen Zugriff auf die versorgungsrelevanten Systeme? Woraus ergibt sich die Berechtigung? Wann wurde sie zuletzt bestätigt? Und wie wird sie entzogen, wenn die Aufgabe wegfällt?
Ein gepflegtes Identity & Access Management beantwortet diese Fragen als Auszug aus dem laufenden System. Fehlt es, entsteht die Antwort in Handarbeit aus Systemexporten, und die Vorbereitung einer Prüfung bindet über Wochen Personal, das im Betrieb gebraucht wird. Für die administrativen Zugänge übernimmt Privileged Access Management denselben Nachweis auf der kritischsten Ebene: Zugangsdaten bleiben im System hinterlegt, Sessions werden aufgezeichnet, und Rechte werden auf Anforderung befristet vergeben statt dauerhaft.
Angriffserkennung ist auf saubere Identitätsdaten angewiesen
Betreiber Kritischer Infrastrukturen sind verpflichtet, Systeme zur Angriffserkennung einzusetzen. Deren Wirksamkeit hängt an einer Voraussetzung, die selten mitgedacht wird: Eine Meldung ist nur so verwertbar wie die Identität dahinter. Meldet ein System einen ungewöhnlichen Zugriff über eine Sammelkennung, über ein Konto ohne hinterlegten Verantwortlichen oder über einen Service-Account, dessen Zweck niemand mehr benennen kann, dann beginnt an dieser Stelle die Recherche, während die Meldefristen bereits laufen. Personalisierte Konten, dokumentierte technische Identitäten und ein aktueller Berechtigungsstand sind deshalb die Bedingung dafür, dass eine Angriffserkennung im Ernstfall zu einer Entscheidung führt.
Dienstleister, Hersteller und technische Konten
Der Zugriff von außen ist in kritischen Umgebungen der Regelfall: Hersteller warten ihre Komponenten aus der Ferne, Instandhalter arbeiten vor Ort mit eigenen Kennungen, IT-Dienstleister betreiben Teile der Landschaft. Art. 21 NIS-2 verlangt ausdrücklich, die Sicherheit dieser Lieferkette zu steuern – eine Anforderung, die sich vertraglich weitergeben, aber nur technisch belegen lässt. Wir richten diese Zugänge so ein, dass sie auf Anforderung entstehen, zeitlich enden und eine auswertbare Spur hinterlassen. Wo Rechte zwischen zwei Einsätzen gar nicht bestehen – Just-in-Time-Zugriff –, entfällt die Angriffsfläche in der Zwischenzeit vollständig.
Für zwei Sektoren haben wir das Zusammenspiel aus Regulatorik und Betriebsrealität gesondert beschrieben: die Energiewirtschaft mit IT-Sicherheitskatalog und Netzleittechnik sowie das Gesundheitswesen mit Patientendaten, Rotation und Notfallzugriff.
Von der Betroffenheitsfrage zum nachweisfähigen Berechtigungsmodell
Ausgangslage
Betreiber Kritischer Infrastrukturen führen zwei Welten nebeneinander: die Verwaltungs-IT mit ihrem Verzeichnisdienst und ihren Fachanwendungen, und die technische Ebene, auf der die Versorgungsleistung tatsächlich erbracht wird. Beide sind über Jahre gewachsen, haben eigene Benutzerverwaltungen und werden von unterschiedlichen Teams betreut. Dazu kommen Hersteller, Instandhalter und IT-Dienstleister mit eigenen Zugängen. Eine Aussage darüber, wer auf die versorgungsrelevanten Systeme zugreifen kann, muss in dieser Konstellation aus mehreren Quellen zusammengesetzt werden – und genau diese Aussage verlangt die Prüfung.
Unser Vorgehen
Wir arbeiten vom Geltungsbereich her, nicht vom Werkzeug: • Betroffenheit und Schwellenwerte klären, einschließlich der Frage, welche Gesellschaften, Standorte und Anlagen tatsächlich in den Geltungsbereich fallen, • Schutzbedarf der versorgungsrelevanten Systeme bewerten und daraus den Umfang des Berechtigungsmodells ableiten, • Identitäten aus den führenden Quellsystemen zusammenführen, einschließlich Fremdpersonal und technischer Konten, • ein Rollenmodell entlang Funktion, Standort und Zone entwerfen, das die Trennung der beiden Welten abbildet, • privilegierte und externe Zugriffe auf eine kontrollierte, protokollierte Strecke legen, • Maßnahmen nach Risiko und Aufwand priorisieren und als Entscheidungsvorlage für die Geschäftsleitung aufbereiten, die dafür persönlich einsteht.
Woran Sie den Erfolg messen
Die aussagekräftigen Größen sind dieselben, die eine Prüfung abfragt: Wie schnell sind Zugriffe nach einem Austritt oder Rollenwechsel entzogen, und zwar über alle Systeme im Geltungsbereich hinweg? Welcher Anteil der administrativen Zugriffe erfolgt über personalisierte Konten? Wie viele Zugänge von Dienstleistern stehen dauerhaft offen? Wie viele aktive Konten lassen sich keiner verantwortlichen Person zuordnen? Und wie lange dauert es, für einen konkreten Vorfall zu belegen, wer zum fraglichen Zeitpunkt Zugriff hatte – an dieser Zeit hängt, ob Sie die Meldefristen halten können.
Bereit für mehr IT-Sicherheit?
Kontaktieren Sie uns noch heute, um zu besprechen, wie wir Ihre kritische Infrastruktur schützen können.