Fast die Hälfte der befragten Unternehmen hält es nicht für nötig, Administratoren-Passwörter überhaupt oder zumindest regelmäßig zu ändern

[datensicherheit.de, 09.11.2011] Datensicherheit werde in deutschen Unternehmen laut einer Umfrage des Sicherheitsexperten Cyber-Ark auf der diesjährigen IT-Security-Messe „it-sa“ weiterhin nicht ernst genug genommen:
Besonders besorgniserregend sei, dass fast 50 Prozent der befragten Unternehmen es nicht einmal für nötig hielten, ihre Administratoren-Passwörter überhaupt oder zumindest regelmäßig zu ändern.
Cyber-Ark hat nach eigenen Angaben auf der „it-sa 2011“ unter den Ausstellern und Besuchern eine Umfrage zur Datensicherheit und zum Passwort-Management durchgeführt. Dabei seien IT-Experten aus 286 Unternehmen interviewt worden. Eine zentrale Frage der Untersuchung habe gelautet: „Wie oft werden bei Ihnen im Unternehmen die Passwörter von Administratoren geändert?“
38 Prozent der Interviewten hätten geantwortet, dass sie ihre Passwörter nur in unregelmäßigen Abständen änderten. Bei neuen Prozent der Befragten würden diese Passwörter überhaupt nicht geändert. Dieses Ergebnis sei erschreckend – ein zyklischer Wechsel von Administratoren-Passwörtern, beispielsweise jeden Monat, sollte heute eigentlich Standard sein, betont Jochen Koehler, Deutschland-Chef von Cyber-Ark in Heilbronn. Schließlich könne man mit diesen Passwörtern auf alle vertraulichen Datenbestände ungehindert zugreifen. Wenn Unternehmen dazu keine adäquaten Security-Maßnahmen träfen, sei das in ihren Augen eindeutig fahrlässig.

Abbildung: Cyber-Ark Software Ltd., Heilbronn

Umfrage auf der „it-sa 2011“ zur Änderung der Passwörter: Erschreckendes Ergebnis…

Die Problematik, die sich durch ein fehlendes oder unzureichendes Management von Administratoren-Accounts für Unternehmen ergebe, zeige die Cyber-Ark-Untersuchung – so hätten 30 Prozent der Befragten angeführt, dass sie unter Umgehung der dort implementierten Sicherheitsmaßnahmen unbemerkt auf vertrauliche Daten zugreifen könnten. Dass dies nicht nur ein hypothetisches, sondern auch ein reales Sicherheitsrisiko sei, zeige eine weitere Zahl: Zwölf Prozent der befragten Unternehmen hätten bestätigt, dass sie bereits einmal Opfer von Insiderspionage beziehungsweise -sabotage geworden seien.
Es sei heute jedem klar, dass Gefahren für die IT-Sicherheit von Unternehmen nicht nur von außen, sondern auch von innen drohten, so Koehler. Dabei sollte man nicht zuletzt auch den Bereich der administrativen Benutzerkonten im Auge haben. Denn diese ermöglichten gerade einem Personenkreis uneingeschränkten Zugriff, der mit den Daten an sich nichts zu tun habe, sondern ausschließlich deren Verfügbarkeit gewährleisten müsse. Die Passwörter zu solchen privilegierten Accounts gehörten deshalb sicher verwaltet und ihre Nutzung protokolliert.
Nach wie vor machen sich laut Cyber-Ark viele Unternehmen die Verwaltung von Admin-Passwörtern unnötig schwer. So gebe es oftmals noch eine manuelle Änderung von Passwörtern. Bei der normalerweise großen Anzahl an Servern, Netzwerkgeräten und Applikationen sei dies allerdings extrem zeitaufwändig und fehlerbehaftet. Auch proprietäre Lösungsansätze zur Passwort-Verwaltung fänden sich. Ihr Nachteil sei, dass sie kaum die erforderliche Anzahl an unterschiedlichen Plattformen unterstützen könnten und sie erforderten zudem einen hohen Entwicklungs- und Wartungsaufwand. Darüber hinaus kämen auch Tools zum Einsatz, die zwar eine Speicherung der Passwörter, aber keine automatische Änderung ermöglichten. Bestätigt werde diese Cyber-Ark-Einschätzung auch durch das Umfrageergebnis auf der „it-sa“ – auf die Frage „Gibt es bei Ihnen im Unternehmen eine Lösung zur automatischen (nicht manuellen) Verwaltung von Administrator-Passwörtern?“ hätten 54 Prozent mit „nein“ geantwortet.
Gerade im Hinblick auf eine Erhöhung der Sicherheit und einen reduzierten Administrationsaufwand sollte laut Koehler jedes Unternehmen über die Implementierung zuverlässiger und vor allem einfach zu pflegender Passwort-Management-Applikationen nachdenken – entsprechende kostengünstige Lösungen für die automatische Verwaltung von privilegierten Administratoren-Accounts einschließlich vollständiger Zugriffskontrolle und Protokollierung der Nutzung seien heute auf dem Markt verfügbar.