Datenschutzverletzungen vorbeugen

Tatsächlich ist es so, dass annähernd bei der Hälfte (44 Prozent) aller Datenschutzverletzungen in 2017 privilegierte Konten eine Rolle gespielt haben. Das bestätigt eine im Herbst letzten Jahres veröffentlichte Studie.

Es gibt eine Reihe von Gründen, warum gerade mit diesen Konten ein erhöhtes Risiko verbunden ist. Ein Beispiel: Selbst ein so simpler Prozess wie das Zurücksetzen eines Passworts kann dazu führen, dass einem Benutzer fälschlich Administratorenrechte zugewiesen werden. Rechte, die potenziell missbraucht werden, sei es versehentlich oder beabsichtigt. Dazu kommt, dass diese Konten nicht einfach zu verwalten sind. Das liegt unter anderem an der hohen Zahl von Benutzern und Systemen, die Zugriff auf Anmeldeinformationen solcher Accounts haben. Dies erschwert es, Login-Details wie Passwörter effektiv zu schützen. Doch es gibt einige konkrete und wichtige Schritte, die Unternehmen beherzigen sollten, um Risiken zu minimieren und sich vor dem Missbrauch von privilegierten Konten zu schützen.

Wer die mit privilegierten Konten verbundenen Risiken senken will, der muss zunächst wissen, wie viele derartige Konten überhaupt existieren und welche Benutzer darauf zugreifen können und müssen. Eine umsichtige Bestandsaufnahme ist der erste wichtige Schritt. Mithilfe einer kompletten Liste aller Konten mit erweiterten Berechtigungen sowie derjenigen Nutzer und Systeme, die tatsächlich darauf Zugriff haben, kann ein Unternehmen exakt einschätzen, wo Schwachstellen bestehen, die es für eine interne oder externe Datenschutzverletzung anfällig machen. Darauf basierend lassen sich die Analyse und Beseitigung der Schwachstellen priorisieren.

Ist die Bestandsaufnahme der Konten und Passwörter für privilegierte Konten abgeschlossen, ist der logische nächste Schritt, für die Sicherheit der betreffenden Anmeldeinformationen zu sorgen. Eine Option besteht in der Nutzung von Passwort-Managern, die über verschiedene Sicherheitsmaßnahmen verfügen. Dazu gehören die verschlüsselte Speicherung der Passwörter, strenge Zugriffkontrollen auf das Passwort-Management-System selbst sowie eine abgesicherte Kommunikation. Passwort-Manager können auch sicherstellen, dass die Anmeldeinformationen den Benutzern nur nach einem definierten Freigabeprozess zur Verfügung gestellt werden. Sind Passwort-Manager keine geeignete Option für ein Unternehmen, ist es wichtig, dass alle Passwörter für Konten mit erweiterten Berechtigungen zumindest verschlüsselt sowie der Zugriff darauf über zwei oder mehr Authentifizierungsfaktoren geschützt ist.

Es gehört zu den bewährten Sicherheitsempfehlungen, Passwörter regelmäßig zu ändern. Wenn man sich aber die Change-Management-Prozesse bei privilegierten Konten ansieht, ist eher das Gegenteil die Norm, diese Passwörter nämlich überhaupt nicht zu ändern. Anmeldeinformationen sind nicht selten in Skripten oder Anwendungen hart-kodiert. Passwörter zu ändern ist deshalb relativ umständlich, und es besteht das Risiko, dass wichtige Applikationen nach der Änderung nicht mehr funktionieren. Das hat dazu geführt, dass in den meisten Fällen derartige Passwörter nur höchst ungern oder gar nicht geändert werden. Um Fehler zu vermeiden, sollten Unternehmen eine vollständige, präzise Liste all der Skripts und Anwendungen erstellen, die solche Anmeldeinformationen benutzen. Es gibt Software-Lösungen, mit deren Hilfe hart-kodierte Passwörter durch programmatische Aufrufe ersetzt werden, die dann dynamisch Zugangsinformationen abfragen. Das vermeidet Reibungsverluste innerhalb des Prozesses.

Best Practices zu gewährleisten und an Compliance-Vorgaben festzuhalten ruht im Wesentlichen auf zwei Säulen. Zum einen der persönlichen Verantwortlichkeit und zum anderen auf dem Prinzip der minimalen Rechtevergabe. Man muss genau wissen, wer auf was zugreifen kann und wann. Benutzer sollten nur genau die Berechtigungen zugewiesen bekommen, die sie tatsächlich brauchen um ihre beruflichen Aufgaben erfüllen zu können. Auf diese Weise lassen sich potenziell schädliche und gefährliche Aktivitäten begrenzen. Unabhängig davon, ob diese beabsichtigt sind oder versehentlich passieren. Nicht alle Systeme verfügen über native Tools um persönliche Verantwortlichkeiten sicherzustellen und Zugriffsberechtigungen nach dem obigen Prinzip zu vergeben. Dann sollte man auf Lösungen von Drittanbietern zurückgreifen, die eine granulare Zugriffskontrolle erlauben.

Es reicht nicht aus zu kontrollieren, was privilegierte Nutzer tun dürfen. Es is genauso nötig zu auditieren, was genau die betreffenden Nutzer mit ihren Zugriffsberechtigungen tatsächlich tun. Regelmäßig sollte in Berichten aufgeführt sein, wann Passwörter privilegierter Konten geändert wurden und ob und welche potentiell schädliche Befehle auf einem System ausgeführt wurden und auch von wem. Zudem ist es ist wichtig einen periodischen Zertifizierungsprozess einzuziehen, der sicherstellt, dass Nutzer, die auf privilegierte Konten zugreifen, diese Berechtigung weiterhin benötigen. Mithilfe regelmäßiger Audits, der Berichtserstellung und Zertifizierung lässt sich besser verstehen, wie es um die Sicherheit der privilegierten Konten eines Unternehmens bestellt ist. Und es lassen sich Bereiche identifizieren, in denen Verbesserungen erforderlich sind und Risiken minimiert werden müssen.

Mit privilegierten Konten sind in jedem Unternehmen Risiken verbunden. Die betreffenden Zugriffsberechtigungen zu verwalten sollte so durchdacht wie praktikabel sein und in Einklang mit den geschäftlichen Erfordernissen stehen.

Wenig überraschend gibt es in der IT-Sicherheit keinen Königsweg. Die beschriebenen Schritte bilden aber eine gute Voraussetzung, um Best Practices dauerhaft zu etablieren, den Sicherheitsstatus eines Unternehmens einzuschätzen, Lücken und Schwachstellen zu erkennen und Risiken zu senken.

Tyler Reese, One Identity