Mangelhafte Administration als Sicherheitsrisiko

Aktueller Jahresbericht des Bundesrechnungshofs offenbart große IT-Sicherheitsmängel bei der Bundeswehr

Kommentar von Stefan Rabben, Area Sales Director DACH and Eastern Europe bei WALLIX Group

[datensicherheit.de, 07.12.2018] Im aktuellen Jahresbericht des Bundesrechnungshofs treten große IT-Sicherheitsmängel bei der Bundeswehr zutage. So heißt es beispielsweise wörtlich: „Dienststellen ließen Teile ihrer IT nicht durch das hierfür ausgebildete IT-Fachpersonal, sondern von den Nutzerinnen und Nutzern selbst administrieren. Damit setzten sie sich dem Risiko aus, ihre IT aufgrund fehlerhafter Konfiguration, unkontrolliert installierter Software oder unzureichender Sicherheitsupdates mit Schadsoftware zu infizieren.“

Probleme dieser Art sind bei der Armee besonders kritisch, da diese in ihrer Funktion als Verteidigungsorgan Zugang zu geheimen Informationen und Wehrmitteln hat. Die angesprochenen Probleme sind allerdings nicht allein bei der Bundeswehr zu finden. Vielmehr ist es wahrscheinlich, dass grobe Fahrlässigkeit schon bei elementaren Schutzmechanismen in vielen Organisationen eher die Regel anstatt Ausnahme ist – nur werden sie durch die strengeren Prüfungsmechanismen bei der Armee deutlicher sichtbar.

Neben der Gefahr von Cyberattacken verursachen schlechte Verwaltung und mangelnde Einsicht zusätzliche Kosten und weitere Bedrohungen. Bei der Bundeswehr geht es beispielsweise um Sprengmittel. Hier sei überschüssiges Material nur teilweise ausgesondert und nicht verwertet, sondern nur eingelagert worden. Dies habe zu Wertverlust und unnötigen Kosten geführt. Der Fehler war auf eine unzureichende IT-Verwaltung zurückzuführen, sodass falsche Maßnahmen eingeleitet wurden.

Bild: WALLIX Group

Stefan Rabben, Area Sales Director DACH and Eastern Europe bei WALLIX Group

Assets werden durch Fehler in der IT nicht effizient genutzt

Natürlich muss es sich nicht immer um brisantes Waffenmaterial handeln, aber in den meisten Unternehmen finden sich sicher andere Beispiele, bei denen Assets durch Fehler in der IT nicht effizient genutzt oder gewartet werden. Das Paradigma der digitalen Integration verspricht bessere Skalierbarkeit, Effizienz und Erreichbarkeit von Ressourcen, aber in der Praxis werden bei der Umsetzung oftmals nicht alle nötigen Aspekte beachtet. Der Fall bei der Bundeswehr verdeutlicht einen wichtigen Nebeneffekt der Digitalisierung: Es gibt mehr Akteure und einen höheren Bedarf an Administration, der Faktor Mensch spielt eine wichtige Rolle beim Thema Cybersicherheit. Versäumnisse oder Innentäter sind in vernetzten Umgebungen ein unterschätzter Gefahrenherd. Nur 42 Prozent aller Unternehmen haben hier zum Beispiel Sicherheitsmechanismen implementiert.

Anzahl der Benutzerkonten und Compliance-Anforderung steigen ständig an

Die Anzahl der Benutzerkonten und Compliance-Anforderung steigen ständig an. Viele Accounts brauchen zudem spezielle Zugriffsrechte: Dienstleister und Superuser verwalten zwar Teilbereiche von Systemen oder einzelne Applikationen, trotzdem benötigen sie entsprechende Freigaben, um richtig arbeiten zu können. IT-Abteilungen haben jedoch nicht das nötige Personal, um sämtliche Akteure zu überwachen, insbesondere, wenn diese bei Dritten angestellt sind.

Ein Mikro-Management für jeden einzelnen Benutzer ist zeitraubend und ineffizient. Die Probleme finden sich natürlich nicht nur bei der Bundeswehr, sondern treffen auch auf die meisten Unternehmen zu. Angesichts der wachsenden Zahl von Geräten und der heterogenen Benutzergruppen brauchen die Administratoren Lösungen, um die Zugriffsrechte angemessen zu verwalten. Dabei muss eine Sicherheitsstrategie an das Zeitalter der Digitalisierung angepasst werden.

Privileged Access Management (PAM) setzt genau hier an und segmentiert Nutzerkonten nach Bedarf: Auditoren können Zugänge für einzelne Anwender oder bestimmte Nutzergruppen granular verwalten. Detaillierte Maßnahmen für Benutzerkonten gewährleisten eine Sicherheitsgrundlage für das On- und Offboarding von Accounts und Anwendungen.

Die Verwaltung von privilegierten Nutzerkonten durch ein zentrales Tool ist sinnvoll, wenn IT-Abteilungen Entlastung brauchen und Organisationen zudem Compliance-Vorgaben beachten müssen. Gerade bei (Hybrid-) Cloudumgebungen und dem Einsatz von IT-Dienstleistern ist PAM eine Schlüsseltechnologie und erhöht das Schutzniveau nachhaltig.

Weitere Informationen zum Thema:

datensicherheit.de, 11.08.2018
Kostenloses Discovery-Tool zum Aufspüren privilegierter Konten

datensicherheit.de, 29.08.2017
Privilegierte Benutzerkonten ins Visier von Hackern

datensicherheit.de, 08.12.2016
IT-Sicherheit: Gründliche Planung ist Voraussetzung