Externe Mitarbeiter: Die unterschätzte Sicherheitsgefahr

von Jochen Koehler

Zugriffe von externen Mitarbeitern auf unternehmenskritische Datenbestände sind heute an der Tagesordnung. Ob im Supportfall oder beim Outsourcing und Outtasking: Immer wieder ist es erforderlich, dass sich externe Spezialisten unter Nutzung von Passwörtern auf den Servern, Datenbanken oder dem SAP-System einloggen, um Routineaufgaben zu erledigen oder Fehlerdiagnosen und -behebungen durchzuführen. Viele Unternehmen unterschätzen dabei nach wie vor die Sicherheitsgefahren, die von externen Mitarbeitern ausgehen. Damit Passwörter nicht unbefugt verwendet werden, ist eine Sicherheitslösung absolute Pflicht.

Inhaltsübersicht:

• Unternehmen sind sich der Gefahren nicht bewusst
• Die zunehmende Auslagerung von IT oder Geschäftsprozessen in die Cloud verschärft die Problematik
• An Privileged-Identity-Management-Lösungen führt kein Weg vorbei
• Fazit

Mitarbeiter oder externe Dienstleister müssen sich zwar verpflichten, Geschäftsgeheimnisse des Unternehmens vertraulich zu behandeln, eine Garantie für korrektes Verhalten ist das aber noch lange nicht. In vielen Unternehmen herrscht ein reges Kommen und Gehen: Externe Mitarbeiter von Partnerfirmen verlassen das Unternehmen nach abgeschlossenem Projekt, und Zeitarbeitskräfte sind oft nur für einen kurzen Zeitraum angestellt. Einige der externen Mitarbeiter kennen Passwörter für „Superuser-Accounts“, mit deren Eingabe sämtliche Sicherheitsmechanismen des Unternehmens ausgeschaltet werden können.

Unternehmen sind sich der Gefahren nicht bewusst

Trotz der potenziellen Gefahren setzen die meisten Unternehmen kein oder nur ein unzureichendes Passwort-Management ein. Oft genügt ein Passwort zu einem privilegierten Benutzerkonto, um auf unternehmenskritische Anwendungen und sogar auf nachgelagerte Systeme problemlos zuzugreifen. Wer einmal den Zugang erlangt hat, kann nach Gusto handeln und sensitive Informationen wie Personal-, Kunden-, Entwicklungs- oder Finanzdaten stehlen.

Das Grundproblem: Auf vielen sicherheitskritischen Systemen befinden sich identische, oftmals leicht zu entschlüsselnde Passwörter, die nur selten oder überhaupt nicht geändert werden. In der Regel können mehrere Administratoren mit dem gleichen Passwort auf die Systeme zugreifen. Bei diesen sogenannten Shared Accounts ist dann keine Nachvollziehbarkeit gegeben. Hat eine größere Gruppe von Administratoren Zugriff auf Passwörter, kann nicht kontrolliert werden, welche Person ein solches Passwort wann und wozu verwendet hat.

Die zunehmende Auslagerung von IT oder Geschäftsprozessen in die Cloud verschärft die Problematik

Bei jeder Auslagerung von unternehmenskritischen Applikationen oder Daten sollte das Thema Sicherheit natürlich an oberster Stelle stellen. Eines darf man nämlich auf keinen Fall vergessen: Auch bei einem Outsourcing von IT oder Geschäftsprozessen sind Unternehmen verpflichtet, alle Anforderungen des Risikomanagements zu erfüllen. Die Verantwortung für die ausgelagerten Bereiche verbleibt also beim Auftraggeber. Unternehmen sollten bei der Nutzung von Cloud-Services deshalb genau überprüfen, wo sich ihre Daten befinden, wie sie gesichert werden und – vor allem – wer darauf Zugriff hat. Ein zentrales Sicherheitsproblem bei der Nutzung von Cloud-Services ist nämlich, dass Administratoren des Service-Providers per se Zugang zu unternehmenskritischen Applikationen, Prozessen, Services, Systemen oder Daten erhalten. Eine klare Regelung der Zugriffsmöglichkeiten und detaillierte Überwachung aller Aktivitäten ist hier unerlässlich.

An Privileged-Identity-Management-Lösungen führt kein Weg vorbei

Um dies sicherzustellen, sollte man eine Lösung im Bereich Privileged Identity Management (PIM) implementieren, mit der privilegierte Benutzerkonten automatisch verwaltet, regelmäßig geändert und überwacht werden können. Mit einer PIM-Lösung kann jede Art von privilegiertem Zugriff auf beliebige Zielsysteme zentral berechtigt, jederzeit kontrolliert und revisionssicher auditiert werden. Dadurch sind auch administrative Tätigkeiten mit generischen Benutzerkonten transparent bis auf die Personenebene nachvollziehbar.

Bei der Lösungsauswahl sollte vor allem darauf geachtet werden, dass privilegierte Zugänge nicht nur im Hinblick auf das „Wer“, sondern auch auf das „Was“ gesichert und überwacht werden. Cyber-Ark hat hierfür beispielsweise die Lösung Privileged Session Manager entwickelt.

Entsprechende Anwendungen sollten durch eine durchgängige Protokollierung von Admin-Sessions eine vollständige Transparenz über alle Vorgänge bei privilegierten Zugriffen bieten – und damit auch eine jederzeitige Nachvollziehbarkeit, was in ihnen konkret passiert ist. Für den Privileged-Remote-Access-Zugriff bieten sie in der Regel einen sicheren, isolierten Zugang. Zentraler Vorteil dabei ist, dass keinerlei direkte Kommunikation mehr vom Admin-PC zum Ziel-Server erfolgt, sondern die Verbindung – über „Firewall-friendly“-HTTPS – zunächst über die Lösung terminiert wird. Erst von hier aus werden die eigentlichen Admin-Sessions gestartet, und man gelangt über RDP zu Windows-Servern, über SSH zu UNIX-Servern oder anderen Terminals, über SQL zu Datenbanken oder über vSphere direkt in die ESX-Adminkonsole von VMware. Dabei erfolgt die Verbindung über Single-Sign-On-Verfahren – ohne dass externe Dienstleister oder Administratoren die Passwörter jemals einsehen können. Die Anwendung fungiert sozusagen als Jump-Server für alle administrativen Verbindungen. Nur sie „kennt“ die Passwörter der Zielsysteme und nur sie darf sich mit diesen verbinden. So verlässt ein Passwort das Unternehmensnetzwerk auch dann nicht, wenn der Zugriff von außen erfolgt.

Fazit

Generell sollte die Gefahr, die durch externe Mitarbeiter ausgeht, nicht unterschätzt werden. Schon ein einziges Passwort kann ausreichen, um sämtliche Sicherheitsmechanismen außer Kraft zu setzen. Deshalb ist es unerlässlich, eine Lösung im Bereich Privileged Identity Management einzusetzen, mit der sich ein Missbrauch effektiv verhindern lässt. Die Notwendigkeit zur Einführung einer solchen Lösung liegt auf der Hand – gerade in einer Zeit, in der das Thema Datensicherheit zunehmend an Bedeutung gewinnt. Eine zentralisierte, automatisierte und sichere Verwaltung von administrativen Benutzerkonten, die einen uneingeschränkten Zugriff auf alle – auch vertraulichen – Unternehmensdaten ermöglichen, ist heute unverzichtbar.