Zu viele Privilegien kosten Geld und unterminieren IT-Sicherheit

Wenige Chefs würden ihren Angestellten die Schlüssel zum voll beladenen Firmen-LKW geben, nur um etwas Milch vom Laden um die Ecke zu holen. Von der Parkplatzsuche mal ganz abgesehen, ist das genutzte Fahrzeug deutlich zu groß für diese einfache Aufgabe und sorgt nur für ein überflüssiges Sicherheitsrisiko – für den Fahrer sowie für die anderen Verkehrsteilnehmer. Allerdings geschieht genau das im Grunde jeden Tag in Unternehmen auf der ganzen Welt. Angestellte erhalten Zugriff auf privilegierte Accounts, die deutlich mehr Rechte umfassen, als sie für ihre Arbeit benötigen. Für die Unternehmenssicherheit ist das katastrophal. Die meisten heutigen Cyberangriffe mit Datenverlust lassen sich auf schwache Passwörter zurückverfolgen, die Zugriff auf derartige „über-privilegierte“ Accounts erlaubt haben.

Dabei ist die Lösung einfach: Least-Privilege-Prinzip einführen, wie es in der Centrify Server Suite implementiert ist.

Least-Privilege ist ein Grundprinzip der IT-Sicherheit, dass den Zugriff jedes Einzelnen auf Systeme, Applikationen und Daten auf das passende Minimum limitiert. Ein Beispiel: Ich arbeite im Vertrieb, also gibt es für mich keinen Grund, auf das Lohnbuchhaltungssystem meines Arbeitgebers zuzugreifen. Also sollte ich das auch nicht können. Dafür aber beispielsweise auf unsere Kundenliste. Die Implementierung von Least-Privilege-Zugriff als Teil der Sicherheitsinfrastruktur gewährleistet, dass Mitarbeiter nur auf das zugreifen können, was sie für ihren Job benötigen.

Privilegierter Zugriff ist vor allem bei sogenannten Super-User- oder Root-Admin-Accounts, die IT-Systemadministratoren nutzen, besonders riskant. Unabhängig davon, ob sie Windows, Linux oder UNIX Systeme verwalten, müssen sich Administratoren täglich um viele verschiedene IT-Probleme kümmern. Daher erstellen sie sich selbst oft Benutzerkonten mit umfangreichen Zugriffsrechten.

Das ist zwar bequem für die Administratoren, schafft jedoch enorme Sicherheitsrisiken für ihre Unternehmen. Hacker müssen nur ein einziges Einfallstor finden – sei es beispielsweise ein Sysadmin-Passwort, das identisch mit dem gehackten Passwort eines Social-Media-Account ist. Schon haben die Hacker Zugriff auf alles – die „Schlüssel zum Königreich“. Kombiniert mit der Tatsache, dass heutzutage immer mehr IT-Dienstleistungen an Externe outgesourct werden, hat das verheerende Konsequenzen für die Sicherheit und Reputation einer Organisation.

Beispielsweise ist es weithin bekannt, dass Edward Snowden 2013 relativ simple Techniken und einfach zugänglich Tools nutze um 1,7 Millionen NSA Dateien zu kopieren. Berichten zufolge bekam Snowden während seiner Tätigkeit als externer technischer Auftragnehmer für die NSA in Hawaii Admin-Zugriff auf Unterlagen gewährt, da zu seinen Aufgaben auch Backups von Computern und die Speicherung von Information auf lokale Server gehörten. Daher besaß Snowden umfassenden Zugriff auf gemeinsame Netzwerke mit Admin-Rechten.

Das Least-Privilege-Verfahren hätte genau das verhindern können. Least Privilege ist kein Nice-to-Have-Feature. Least Privilege bildet das Fundament einer ausgereiften Sicherheitsinfrastruktur. Es nicht zu nutzen, kostet Unternehmen mitunter sehr viel Geld.

Zu Jahresbeginn veröffentlichte Forrester Research eine von Centrify in Auftrag gegebene Studie. Sie zeigte, dass Unternehmen mit einer unausgereiften Herangehensweise an Identity and Access Management (IAM) – kein Least-Privilege-Prinzip –  häufiger von Cyberangriffen mit Datenverlusten und höheren Kosten betroffen sind als Unternehmen mit ausgereiften IAM-Konzepten. Konkret sind 83 % der Unternehmen mit unausgereifter Herangehensweise an IAM von doppelt so vielen Cyberangriffen mit Datenverlusten betroffen und bei ihnen fallen 5 Millionen Dollar an zusätzlichen Kosten anfallen.