„IT-Security beginnt bei der Identität“

ITD: Herr Kleist, was sind die größten Ausreden der Unternehmen, warum sie sich bislang nicht mit dem Thema „IT-Security“ auseinandergesetzt haben?
Michael Kleist: Die heute zwingend erforderlichen Investitionen in die IT-Sicherheit bleiben oft aus, weil viele Unternehmen sich ausreichend geschützt fühlen. Sie begründen den Verzicht auf Investitionen unterschiedlich. Gängige Aussagen sind „Wir sind schon genug abgesichert, etwa durch den Perimeterschutz“, „Wir sind zu klein und damit uninteressant für Hacker“ oder „Bisher ist ja noch nichts passiert“. Diese Einschätzungen werden der aktuellen IT-Sicherheitslage nicht mehr gerecht. Vor allem verkennen sie die Tatsache, dass durch die zunehmende Cloud-Nutzung und Remote-Arbeit der traditionelle Netzwerkperimeter de facto wertlos geworden ist. Als eigener, neuer Perimeter hat sich die Identität herauskristallisiert. Ein umfassender Identity-Security-Ansatz muss deshalb ausgehend von einem Privileged Access Management (PAM) die Sicherung individueller Identitäten fokussieren.

ITD: Inwieweit haben die Hacker in den letzten Jahren ihren Fokus bzw. ihre Angriffsmethoden verändert?
Kleist: Die Digitale Transformation, die Cloud-Migration und neue Angriffstechniken gefährden die IT-Sicherheit zunehmend. Unsere aktuelle Untersuchung „Identity Security Threat Landscape“, bei der weltweit 1.750 IT-Security-Entscheider befragt wurden, hat ergeben, dass die größten Sicherheitsgefahren derzeit von Ransomware-Attacken und Angriffen auf die Software Supply Chain ausgehen. Damit ist auch verbunden, dass durch Automation der Angriffe jedes Unternehmen im Visier steht.

ITD: Inwieweit haben Konzerne und Mittelständler im Blick, wie viele Identitäten in ihrem Unternehmen schlummern?
Kleist: Da im Zuge der Digitalisierung immer mehr Interaktionen zwischen Menschen, Applikationen und Prozessen erfolgen, steigt auch die Zahl der Identitäten. In Konzernen kann sie sich durchaus in einer Größenordnung bewegen, die in die Hunderttausende geht. Und Unternehmen unterschätzen in der Regel auch die Anzahl vorhandener Identitäten. Vielfach werden dabei primär die menschlichen Identitäten fokussiert, die in erster Linie Personen wie Administratoren und Super-User oder Entwickler und DevOps-Ingenieure betreffen, die auf Source Code zugreifen müssen. Ebenso wichtig sind aber die nicht-menschlichen Identitäten. Dabei geht es etwa um die privilegierten Rechte, die in Applikationen, Tools und Systemen vorhanden sind. Nicht zu vergessen sind dabei die Zugriffe von außen, die oft nur unvollständig bekannt sind.

ITD: Wo kann man diese Identitäten überhaupt finden?
Kleist: Die nicht-menschlichen Identitäten auf der Applikationsebene betreffen die Software-Kommunikation untereinander. Sie besteht etwa zwischen Applikation und Datenbank, zwischen Applikation und Middleware-Produkten und von dort wiederum zu weiteren Infrastrukturdiensten oder auch direkt zwischen Anwendungen. Auf der Tool-Ebene ist vor allem die zunehmende Nutzung von Cloud- und Automatisierungsservices zu beachten. Dabei geht es um Lösungen wie Red Hat Openshift, Jenkins, Puppet, Chef, Ansible oder auch RPA-Anwendungen. Nicht zu vergessen sind auch Skripte, die weiterhin häufig zur Automation eingesetzt werden. Auf der technologischen Systemebene schließlich sind die Systemdienste zu berücksichtigen, besonders die vielfach vorhandenen Service-Accounts.

ITD: Warum sollten auch nicht-menschliche Identitäten in den Mittelpunkt gerückt werden?
Kleist: Untersuchungsergebnisse zeigen, dass mehr als 70 Prozent der nicht-menschlichen Identitäten oder Bots auf vertrauliche Daten und Ressourcen zugreifen können. Ein identitätsbasierter Sicherheitsansatz muss deshalb neben den Usern auch alle Systeme, Applikationen und Prozesse umfassen. Ein solches Sicherheitskonzept betrachtet die Identität als zentrale Verteidigungslinie eines Unternehmens – und zwar unabhängig davon, ob es sich um eine Person, eine Applikation oder eine Maschine handelt.

Dies ist ein Artikel aus unserer Print-Ausgabe 10/2022. Bestellen Sie ein kostenfreies Probe-Abo.

ITD: Welchen Stellenwert haben hier die Zugangsdaten in der Cloud?
Kleist: Sie haben einen extrem hohen Stellenwert. Unternehmen nutzen in immer größerem Umfang Cloud-Services. Um Sicherheitsgefahren auszuschließen, müssen sie dabei vor allem die Zugriffsrechte der Anwender adäquat verwalten, sichern und überwachen. Auf Basis eines Least-Privilege-Prinzips und Just-In-Time-Ansatzes dürfen Unternehmen Nutzern nur die für ihre Tätigkeit erforderliche Zugangs- bzw. Berechtigungsebene gewähren. Vor allem für die Verwendung von Zugangsdaten zur Verwaltung der Cloud-Ressourcen über Cloud-Management-Konsolen und -Portale müssen klare Richtlinien existieren. Bei Multi-Cloud-Lösungen und den darin oft betriebenen Applikationen empfiehlt sich die Nutzung einer Cloud-unabhängigen Secrets-Management-Lösung, die zentral und separat den Bezug von Anmeldeinformationen regelt und die Portabilität der Anwendungen erleichtert.