Cybergefahren im Jahr 2023 – größer denn je!

Herausforderung Identitätsmanagement

von - 23.12.2022
Ein Baustein eines Zero-Trust-Konzepts ist ein ausgefeiltes Identitätsmanagement, auch als Identitäts- und Zugriffsmanagement (Identity and Access Management, IAM) bezeichnet. Dazu gehören etwa die Bereitstellung von Sicherheits-IDs und Passwörtern sowie die Überwachung des Zugriffs auf bestimmte Daten und Anwendungen.
„Das Identitätsmanagement umfasst alle Maßnahmen, die darauf abzielen, sicherzustellen, dass nur autorisierte Personen auf Unternehmensdaten und -anwendungen zugreifen können“, fassen die Experten von Hor­netsecurity zusammen.
Das Identitätsmanagement stellt sicher, dass autorisierte Mitarbeiter auf die zur Erfüllung ihrer Aufgaben erforderlichen Ressourcen zugreifen können – und dieser Zugriff auf diese Personen beschränkt bleibt. Zum Identity Management gehören alle Prozesse, die benötigt werden, um Identitäten zuzuweisen und zu deaktivieren, Rechte zu vergeben und zu entziehen sowie Geräte, Nutzer und Anwendungen zu authentifizieren und zu autorisieren.
„Wenn man das Thema Identitätsmanagement betrachtet, so sollte man im ersten Schritt einmal verinnerlichen, dass jegliche Person, jedes Gerät, jeder Prozess oder andere Kommunikation in einem heutigen System auch einer eigenständigen Identität entspricht“, erklärt Andreas Müller. Er ist President DACH bei Delinea, einem Experten für Privileged Access Management. Mit dieser sehr schnell wachsenden Anzahl gehe dann jeweils noch ein individuelles Berechtigungs-Set einher, das einem Least-Privilege-Strategieansatz unterliegen sollte, um ungewollte Gefährdungen durch zu weitreichende Privilegien zu vermeiden. „Identitätsmanagement sollte damit ein zentraler Bestandteil der Sicherheitsstrategie sein und nicht nur das Erstellen der Identität, sondern auch den Lifecycle bis zur Dekommissionierung und den dynamisch angepassten Berechtigungen umfassen.“
Hier spielen dann auch sogenannte digitale Identitäten eine Rolle. Sie sind laut Andreas Müller die zukünftige Grundlage aller möglichen Interaktionen. Damit würden  auch die Sicherheit und Absicherung der digitalen Identitäten gegen Verfälschung, Missbrauch und Diebstahl ebenso wie die richtige Berechtigungsebene immer wichtiger. Deswegen, so Müller, würden digitale Identitäten am Ende einen ähnlichen Stellenwert wie persönliche Identitätsmittel wie Pässe erlangen, „allerdings mit sehr viel größerer Bandbreite durch die Einbindung und Identitäten von Maschinen und Algorithmen“.
Doch auch die digitalen Identitäten haben die Angreifer im Visier: „Die größten Sicherheitsrisiken bei digitalen Identitäten sind Datenmanipulation und -diebstahl. Kriminelle können mit Social-Engineering- und Phishing-Angriffen versuchen, an Zugangsdaten zu gelangen. Zudem können Angreifer über unzureichend gesicherte oder nicht gewartete APIs, Datenbanken und Dokumente, die aus dem Internet erreichbar sind, an sensible Daten kommen“, so Hornetsecurity.
Technisch gesehen sind digitale Identitäten heutzutage aber recht gut absicherbar. So gibt es zum Beispiel Verschlüsselungsalgorithmen, die auch mit viel Technik nur sehr aufwendig zu knacken sind. Wenn die ausstellende Instanz auch noch möglichst hohe Authentifizie­rungs­anforderungen erfülle, sollten Identitäten rein theo­retisch sicher sein, ergänzt Andreas Müller von Delinea.
(Quelle: Cisco )
Warum liest man aber trotzdem immer wieder von Angriffen, die erfolgreich waren? „Nun, die eine Stelle, die sich nicht verändert hat und leider auch meistens mit die Ursache für den Erfolg eines Angriffs ist, ist der Mensch.“ Das höchste Risiko ist Andreas Müller zufolge immer noch die Gefahr eines Phishing-Angriffs. „Es heißt nicht umsonst: Einer klickt immer.“ Dagegen könne man sich aber wappnen, indem man „der breiten Masse“ keine höheren Rechte zuweist. Hier lauere dann aber die zweite große Gefahr: „Das Unternehmen beziehungsweise die IT-Abteilung versucht oft, die Aufwände eines korrekten Berechtigungsmanagements zu umgehen.“ So kommt es immer wieder vor, dass Mitarbeiter über mehr Rechte verfügen, als sie benötigen. Leider sei es hier wie überall, damit erreiche man nur eine zweitrangige Sicherheitsstufe, man akzeptiere Lücken und Risiken und werde damit leichter zum Opfer. „Wenn die Gefahren durch umsichtiges, verantwortungsvolles Handeln und die Einführung systemunterstützter Prozesse, auch wenn es erst mal mehr Arbeit macht, reduziert werden, dann haben Angreifer auch nur noch wenige Chancen und werden höchstwahrscheinlich nicht dauerhaft erfolgreich sein“, so sein Fazit.
Verwandte Themen