Grundlagen von IAM und Zero Trust
Trau, schau, wem
Die Zahl digitaler Identitäten in Unternehmen – also Personen oder Geräte, die teils sensible Daten verarbeiten – kennt seit Jahren nur eine Richtung: nach oben. Immer mehr sensible Daten liegen dabei außerhalb des Perimeters der internen IT. Hinzu kommen Entwicklungen im Industrial IoT und in der Industrie 4.0: Industrieunternehmen verwenden Tausende von Maschinen mit eigenen digitalen Identitäten. All dies birgt potenzielle Schwachstellen, die als Konsequenz neue Security-Konzepte erfordern.
Durch die Vernetzung im Industrial IoT benötigen Personen und Geräte Zugangsrechte auf IoT-Plattformen oder Analyseanwendungen in der Cloud. Zudem haben wir Millionen externer IoT-Geräte, vom Stromzähler über Smart-Home-Sensoren bis hin zu Tracking-Devices. Dieser langfristige Trend hat in Kombination mit der Zunahme von Remote-Arbeit und dem Einsatz privater Mobilgeräte für berufliche Zwecke (Bring Your Own Device, BYOD) die Bedrohungslandschaft dramatisch verändert. Laut einer Verizon-Studie zielen 61 Prozent aller Cyberangriffe auf Anmeldedaten. Das Phänomen betrifft alle Branchen, von der Industrie bis zum Telekommunikationsanbieter. Diese sind dazu übergegangen, ihre proprietären Systeme durch Standardhardware und Cloud-Technik abzulösen. Dies vergrößert die Angriffsfläche und erfordert deshalb ein modernes Identitäts-Management.
Interne Informationen aller Art sind für Cyberkriminelle sehr interessant – beispielsweise für Erpressungen, Wirtschaftsspionage oder sogar politische Ziele. Mit hoher krimineller Energie sind sie sehr geschickt darin, technische und menschliche Schwachstellen auszunutzen. So gelang es Angreifern laut dem BSI-Lagebericht, in die internen Systeme der europäischen Arzneimittelagentur (EMA) einzudringen und Daten über Covid19-Impfstoffe zu erbeuten. Sie nutzten dafür nicht den direkten Weg, sondern eine Schwachstelle bei einem Dienstleistungspartner der Agentur. Damit konnten sie die Zugangsdaten für ein EMA-Nutzerkonto entwenden und sich mit dem Dokumenten-Management-System der Behörde verbinden.
Hin und wieder sind auch große Geldsummen im Spiel. So bot ein Hacker einem Tesla-Mitarbeiter eine Million Dollar dafür, Ransomware auf den Netzwerken des Autokonzerns in Nevada zu installieren. Diese Insider-Bedrohungen sind eine besonders gefährliche und subtile Form der Cyberkriminalität. Sie ist oft nur schwer zu entdecken, vor allem wenn Kriminelle umsichtig und geduldig vorgehen. Da sie durch die Nutzerkonten gewisse Rechte innerhalb des internen Netzwerks erlangen, können sie geschäftskritische Daten erbeuten und verkaufen.
Mehr Schutz durch Zero Trust
Unternehmen müssen also ihre digitalen Identitäten besonders schützen. Traditionelle Sicherheitskonzepte gingen davon aus, dass sich die IT-Infrastruktur durch eine Firewall nach außen abschottet und im Inneren keine weiteren Sicherheitsmaßnahmen notwendig sind. Es stellt sich natürlich die Frage, ob dieses Konzept jemals ausreichend war – unter den aktuellen Bedingungen multipler Nutzeridentitäten ist es gänzlich fragwürdig. Deshalb setzen immer mehr Unternehmen auf ein anderes Konzept, das unter dem Stichwort „Zero Trust“ bekannt geworden ist und dem Forrester-Marktforscher John Kindervag zugerechnet wird.
Bei Zero Trust handelt es sich nicht um ein technisches Verfahren oder eine Software, sondern um eine Sicherheitsphilosophie: Sie konzentriert sich auf den Schutz von Ressourcen wie Diensten oder Daten. Das Konzept geht von der Prämisse aus, dass eine Organisation Vertrauen niemals stillschweigend gewährt, sondern explizit bei Bedarf erteilt und ständig überprüft. Das grundlegende Ziel: unbefugten Zugriff auf Ressourcen erkennen und verhindern.
Dabei geht man in der IT davon aus, dass sich Benutzer*innen, Anwendungen und Daten nicht in einer gemeinsamen vertrauenswürdigen Sicherheitszone befinden. Deshalb nutzt Zero Trust auf allen Ebenen das Prinzip der geringsten Rechte (Least Privilege): Ohne explizite Vergabe hat eine Identität selbst nach erfolgreicher Authentifizierung keine Berechtigungen. Eine Zero-Trust-Architektur bewertet bei Zugriffen auf Ressourcen die Gesamtsituation und den Kontext jeder Identität, des Geräts, der angeforderten Ressourcen und der allgemeinen Sicherheitsrisiken.
In der Folge erweitert oder begrenzt die IT die Möglichkeiten der Nutzenden. Dadurch haben diese nur sehr eingeschränkte Möglichkeiten für „Seitwärtsbewegungen“ (Lateral Movement), also den Zugriff auf Systeme, die nicht zu ihrem Arbeitsgebiet gehören. Erforderlich ist dabei grundsätzlich die kontinuierliche Überwachung und Bewertung aller Zugriffsanfragen auf Ressourcen. So verringert sich die potenzielle Angriffsfläche für Sicherheitsverletzungen und tatsächliche Cyberangriffe lassen sich schneller aufdecken. Einfach ausgedrückt lautet die Philosophie hinter Zero Trust: „Vertraue nie, überprüfe immer.“
- Trau, schau, wem
- Identitäten authentifizieren
Lesen Sie mehr zum Thema
Das könnte Sie auch interessieren
