Schützen, nicht ersticken: Besseres Gleichgewicht für umfangreichen privilegierten Zugriff

Die Angst vor Malware und anderen ungebetenen Gästen ist die Ursache vieler IT-Richtlinien, die Administratorrechte auf einige wenige Mitarbeiter beschränken. Die Annahme, dass sich so die Gefahr eines Datendiebstahls minimieren lässt, kann sich jedoch als falsch herausstellen, zumal Behelfslösungen und schlechte Praktiken ein Unternehmen deutlich anfälliger für Angriffe machen. Unterdessen ärgern sich die Geschäftsanwender im Stillen – manchmal auch weniger still – darüber, aufgrund von Sicherheitsbeschränkungen so gut wie keine Anwendung mehr ohne Unterstützung der IT ausführen zu können. Kurz gesagt, es muss ein Gleichgewicht hergestellt werden zwischen dem Schutz von Unternehmenssystemen und der Produktivität der Benutzer.

Zugriff verweigert
Geschäftsanwender müssen täglich Anwendungen ausführen, installieren oder aktualisieren, die Administratorrechte erfordern. Ein genereller Entzug dieser Privilegien zwingt sie, bei jeder ihrer tagtäglichen Aufgaben die IT um Unterstützung zu bitten. Das Ergebnis: Frustrierte Benutzer, die so lange unproduktiv sind, bis das Problem gelöst ist. Ebenso steigen die Zahl der Anfragen – und damit die Kosten – beim IT-Helpdesk.

Damit die Benutzer weiterarbeiten können, kann die IT ihnen vorübergehend lokale Administratorrechte gewähren. Diese werden aber nach Abschluss der Aufgabe häufig nicht entzogen. Die Folgen sind eine „schleichende“ Ausweitung von Privilegien und eine unbestimmte Anzahl von Benutzern im Unternehmen, die über Zugriffsrechte verfügen, von denen niemand etwas weiß bzw. die sie nicht haben sollten.  Ohne Aufzeichnungen darüber, wer auf was Zugriff hat, geht die Kontrolle verloren und jede Berechtigungsrichtlinie wird praktisch nutzlos, wodurch die Angriffsfläche wiederum zunimmt.

Nichtsdestotrotz können Unternehmen durch die Beschränkung von Administratorrechten ein falsches Gefühl von Sicherheit erzeugen, wodurch mitunter sogar das Bewusstsein für Kontrollen und Bedrohungen abnimmt. In der Annahme, dass Benutzer ohnehin nichts auf ihren Rechnern installieren können, fällt die Überwachung der Anwendungen häufig komplett weg. Dies ist Grund zur Besorgnis, da einige Malware keine Administratorrechte zur Ausführung braucht und unerwünschte Elemente trotzdem ihren Weg ins Netzwerk finden könnten. Zunächst unentdeckt, können sie dann ihren Schaden anrichten.

„Alles oder nichts“
Nach dem Prinzip „alles oder nichts“ erhalten nur wenige Personen im Unternehmen Administratorrechte, wodurch einige sehr einflussreiche Konten entstehen. Mit weitreichendem Zugriff auf das Unternehmensnetzwerk und seine Daten werden vor allem diese Konten zur Zielscheibe von Cyber-Angriffen und öffnen bei einer Kompromittierung dem Angreifer Tür und Tor.

Mit diesen umfangreichen Privilegien kann die IT – eigentlich unerlässlich für die Verteidigung eines Unternehmens – selbst zur Bedrohung werden. Grund dafür könnte zum Beispiel ein unerfahrener IT-Administrator sein, der aufgrund seines umfassenden Zugriffs fälschlicherweise einen Befehl ausführt, der Schaden verursacht. Auch ein böswilliges Teammitglied könnte Zugriff auf Daten erlangen, die nicht in seine Hände gehören.

Natürlich gibt es keine Patentlösung zur Verhinderung von Insider-Bedrohungen, aber tatsächlich brauchen nur sehr wenige Personen uneingeschränkten Zugriff auf alle Inhalte. Um das Unternehmen bestmöglich zu schützen, sollten Zugriffsrechte auf die erforderliche Mindestebene begrenzt werden. Dies kann nur erreicht werden, wenn Klarheit darüber herrscht, wer Zugriff auf welche Daten benötigt. Systemadministratoren, Anwendungseigner, Datenbankadministratoren usw. sollten jeweils eigene angemessene Sicherheitsebenen erhalten. In der Realität geschieht das aber nur selten.

Flexible, automatisiere Kontrolle
Ein richtiges Maß an Privilegien und Anwendungskontrolle schafft ein Gleichgewicht zwischen Sicherheit und Benutzerfreundlichkeit, verringert wirksam die Angriffsfläche und sorgt dafür, dass die Benutzer produktiv und sicher bleiben. Flexible Tools zur Automatisierung der Verwaltung von lokalen Administratorrechten und Anwendungskontrolle können IT-Abteilungen hierbei unterstützen.

So gestatten zum Beispiel automatisierte Kontrollen für privilegierten Zugriff vertrauenswürdigen Anwendungen die Ermittlung der für die Ausführung erforderlichen Rechte und erstellen darauf basierend Richtlinien. Sie können außerdem bei Bedarf lokale Administratorrechte erweitern oder entziehen und eine Least-Privilege-Richtlinie für Administratoren umsetzen. Die von jedem IT-Administrator ausführbaren Befehle werden abhängig von der jeweiligen Funktion kontrolliert, wodurch der Bedarf für einen unnötigen „Pauschalzugriff“ entfällt.

Aus der Vergangenheit haben wir gelernt, dass die Sperrung von Administratorkonten keinen unfehlbaren Schutz bietet – sie könnten in der Hand eines böswilligen Mitarbeiters oder Ziel eines Angriffs sein. Es sollte also nicht davon ausgegangen werden, dass jede von einem Administrator durchgeführte Aktion legitim ist.  Der Beamte der Thames Valley Police, der in diesem Monat verurteilt wurde, weil er seinem Vater per E-Mail vertrauliche Informationen zu Zeugen in einer Gerichtssache und Schießereien zwischen Bandenmitgliedern geschickt hatte, ist ein Beispiel für eine schwere Datenschutzverletzung trotz privilegiertem Zugriff. Tools, die diese Anmeldedaten proaktiv überwachen, können sämtliche Anomalien erkennen und zur schnellen Eindämmung melden. Sie können außerdem einen sicheren, nachvollziehbaren Mechanismus zum automatischen Speichern von Anmeldedaten für Administratorkonten in einem zentralen Repository bieten und für zusätzliche Sicherheit diese nach jeder Verwendung rotieren.

Man kann davon ausgehen, dass beim Thema Sicherheit zu viel des Guten nie genug ist. Es muss nicht alles „doppelt und dreifach“ abgesichert sein, aber die IT-Sicherheit muss Schutz ohne Behinderung der Produktivität bieten. Durch ein ausgewogenes Verhältnis zwischen Sicherheit und Benutzerfreundlichkeit kann eine Least-Privilege-Richtlinie zusammen mit entsprechender Automatisierung die Angriffsfläche deutlich reduzieren, die Behinderungen für Benutzer auf ein Mindestmaß begrenzen und IT-Ressourcen freigeben.