Mit Identitäten und wichtigen Zugängen beginnen
Zuerst sollte klar sein, welche Personen und technischen Konten welche Anwendungen erreichen. Gemeinsam genutzte Administratorkonten und längst nicht mehr benötigte Rechte sind häufige Hindernisse. Starke Anmeldung und getrennte administrative Zugänge schaffen eine Grundlage. Auch Dienstkonten brauchen einen Verantwortlichen und einen begrenzten Zweck.
Alte Anwendungen kontrolliert einbinden
Nicht jede Fachanwendung unterstützt moderne Identitätsverfahren. Dann kann eine vermittelnde Zugriffsschicht helfen, sofern ihre Grenzen dokumentiert werden. Sie ersetzt keine fachliche Berechtigungsprüfung innerhalb der Anwendung. Segmentierung begrenzt zusätzlich, welche Systeme nach einem kompromittierten Zugang erreichbar sind. Dabei müssen notwendige Betriebsverbindungen bewusst erhalten bleiben.
Wirksamkeit an konkreten Szenarien prüfen
Hilfreich sind Fragen wie: Kann ein gesperrter Nutzer weiterhin auf eine laufende Sitzung zugreifen? Welche Systeme erreicht ein kompromittiertes Arbeitsplatzgerät? Wie funktionieren Notfallzugänge bei einer Störung des Identitätsdienstes? Solche Tests zeigen mehr als eine Produktübersicht. Betrieb und Helpdesk müssen die veränderten Abläufe unterstützen können.
Beispiel: Externer Zugriff auf ein Fachverfahren
Statt einen breiten Netzzugang freizugeben, erhält eine klar benannte Nutzergruppe Zugang zu einer bestimmten Anwendung. Geräteanforderungen und zusätzliche Anmeldung werden geprüft. Zugriffe sind nachvollziehbar; bei Entzug der Berechtigung werden auch bestehende Sitzungen berücksichtigt. Das begrenzt die Reichweite eines einzelnen kompromittierten Kontos.
Womit Sie sinnvoll beginnen können
- Zuerst wichtige Anwendungen und ihre tatsächlichen Zugriffe erfassen.
- Rechteentzug, Administrationswege und Notfallzugänge gemeinsam planen.
- Verbesserungen anhand realistischer Zugriffsszenarien nachweisen.