Verwaltung der Zugänge der Mitarbeiter?

Im Oktober 2022 veröffentlichte der Twitter-Account der New York Post mehrere beleidigende und gewaltverherrlichende Tweets. Das Unternehmen erklärte zunächst, das Konto sei gehackt worden. Wenig später stellte sich heraus: Ein Mitarbeiter hatte die Tweets verfasst — ein Mitarbeiter, der für seine Rolle keinen Zugriff auf den offiziellen Twitter-Account hätte haben müssen.

Das eigentliche Problem: Unkontrollierte Zugriffsrechte

Der Vorfall war kein Cyberangriff im klassischen Sinne. Aber er illustriert ein Sicherheitsproblem, das in vielen Unternehmen existiert: Mitarbeiter haben Zugriff auf Systeme und Accounts, die sie für ihre tägliche Arbeit nicht benötigen.

Das Prinzip dahinter ist so alt wie die IT-Sicherheit selbst: Least Privilege — jeder Benutzer erhält nur die minimalen Zugriffsrechte, die für seine Aufgabe erforderlich sind. In der Praxis wird dieses Prinzip häufig unterlaufen:

• Berechtigungen werden bei Abteilungswechseln nicht angepasst: Ein Mitarbeiter wechselt von Marketing zu HR, behält aber den Zugriff auf Social-Media-Accounts
• Geteilte Zugangsdaten: Team-Passwörter für Social-Media-Accounts, Admin-Portale oder Cloud-Dienste werden an mehr Personen weitergegeben als nötig
• Fehlende regelmäßige Access Reviews: Berechtigungen werden einmal vergeben und nie überprüft
• Kein Offboarding-Prozess: Ausscheidende Mitarbeiter behalten Zugriff auf Systeme, weil niemand die Deaktivierung anstößt

Insider-Risiko: Nicht nur böswillig

Wenn von Insider-Bedrohungen gesprochen wird, denken viele an bewusste Sabotage. Die Realität ist differenzierter. Laut dem Verizon Data Breach Investigations Report 2023 sind übermäßige Berechtigungen ein wesentlicher Faktor bei Datenschutzverletzungen durch Insider — ob fahrlässig oder absichtlich.

Übermäßige Zugriffsrechte vergrößern den Blast Radius jedes Sicherheitsvorfalls:

• Ein Phishing-Angriff auf einen Mitarbeiter mit zu vielen Rechten kompromittiert mehr Systeme
• Ein gestohlenes Passwort eines Mitarbeiters mit Admin-Zugang öffnet das gesamte Netzwerk
• Ein unzufriedener Mitarbeiter mit unnötig breitem Zugriff kann mehr Schaden anrichten

Privilegierte Accounts: Mehr Schutz, nicht mehr Rechte

Administratoren und Führungskräfte benötigen erweiterte Zugriffsrechte — das ist unvermeidlich. Aber diese Accounts erfordern zusätzliche Schutzmaßnahmen:

• Multi-Faktor-Authentifizierung (MFA) für alle privilegierten Accounts — ohne Ausnahme
• Privileged Access Management (PAM): Zentrale Verwaltung und Überwachung privilegierter Zugänge, zeitlich begrenzte Rechteerweiterung (Just-in-Time Access)
• Separate Admin-Accounts: Tägliche Arbeit mit Standard-Account, Administrative Aufgaben nur über dedizierten Admin-Account
• Session-Monitoring: Protokollierung aller Aktionen mit privilegierten Accounts

Identity Governance als kontinuierlicher Prozess

Zugriffsrechte zu verwalten ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess. Effektives Identity Governance and Administration (IGA) umfasst:

• Automatisiertes Provisioning und Deprovisioning: Zugriffsrechte werden automatisch vergeben, wenn ein Mitarbeiter eine Rolle antritt, und entzogen, wenn er sie verlässt
• Regelmäßige Access Reviews: Manager bestätigen quartalsweise, dass ihre Teammitglieder nur die Rechte haben, die sie benötigen
• Role-Based Access Control (RBAC): Berechtigungen werden an Rollen gebunden, nicht an Personen — das vereinfacht die Verwaltung erheblich
• Anomalie-Erkennung: Ein SIEM, das ungewöhnliche Zugriffsmuster erkennt — ein Mitarbeiter, der plötzlich auf Systeme zugreift, die er nie zuvor genutzt hat