Zugriff & Identitäten

Privilegierte Zugriffe zurück unter Kontrolle bringen

Privilegierte Konten sind das erste Ziel jedes Angreifers: Sie öffnen die gesamte Infrastruktur. Trotzdem bleiben sie oft geteilt, schwach authentisiert und schlecht nachvollziehbar. So stellen wir die Kontrolle wieder her, ohne Ihre Teams auszubremsen.

Die Herausforderung

Die Schlüssel zum Königreich — oft ohne Schloss und ohne Protokoll

In den meisten Infrastrukturen öffnet eine Handvoll Konten alles: Domänenadministratoren, Dienstkonten, Zugriffe auf Hypervisoren, Backups und Netzwerkgeräte. Diese Zugriffe werden häufig von mehreren Personen geteilt, durch ein einziges, in einer Datei abgelegtes Passwort geschützt und selten entzogen, wenn ein Dienstleister sein Mandat beendet.

Das Problem ist nicht nur der Diebstahl dieser Zugangsdaten: Es ist auch die Unmöglichkeit, nachzuvollziehen, wer was getan hat. Ohne Nachvollziehbarkeit lässt sich eine Kompromittierung nur sehr schwer rekonstruieren, und die von Prüfern wie Versicherern erwartete Zurechenbarkeit ist nicht gegeben.

Unsere Aufgabe ist es, diese Zugriffe personenbezogen, stark authentisiert, zum richtigen Zeitpunkt gewährt und aufgezeichnet zu machen — und dabei den Administrationsweg flüssig zu halten, weil die Teams das Verfahren sonst umgehen.

Was auf dem Spiel steht

Geteilte, nicht personenbezogene Administratorkonten
Geheimnisse in Dateien oder Skripten abgelegt
Dienstleisterzugriffe lange nach Mandatsende noch aktiv
Keine Nachvollziehbarkeit privilegierter Handlungen
Sofortige Ausbreitung im Fall einer Kompromittierung (Ransomware)

Schema

Ein einziger Übergang für sensible Zugriffe

Kein direkter Zugriff mehr auf kritische Assets: Die Administration läuft über einen Bastion Host, der authentisiert, die Geheimnisse verteilt und die Sitzungen aufzeichnet.

Unser Vorgehen

Wie wir vorgehen

Zuerst erheben, was existiert, dann nach Kritikalität absichern — ohne dabei den Betrieb zu brechen.

Inventar der privilegierten Zugriffe

Erhebung der Administratorkonten, Dienstkonten, Dienstleisterzugriffe und Anwendungsgeheimnisse: wer hält was, auf welchen Assets, mit welcher Nachvollziehbarkeit. Das ist fast immer der aufschlussreichste Schritt.

Zielmodell und Zugriffsregeln

Festlegung des Modells: welche Rollen, welche Rechteerweiterungen, für welche Dauer, mit welchen Freigaben. Wir richten es an Ihren betrieblichen Bedingungen und den für Sie geltenden Prüfanforderungen aus.

Tresor und Bastion Host

Einführung eines Passwort-Tresors und eines Administrationsübergangs: starke Authentisierung, automatische Passwortrotation, Zugriff auf Anforderung und aufgezeichnete Sitzungen.

Schrittweise Migration

Umstellung der Zugriffe in Wellen, beginnend bei den kritischsten Assets (Verzeichnis, Backups, Hypervisoren). Direkte Zugriffe werden nach und nach geschlossen, sobald sich der neue Weg bewährt hat.

Kontrolle und Betrieb

Überprüfung der Rechte, Alarme bei auffälliger Nutzung, Anbindung der Protokolle an die Überwachung und Wissenstransfer, damit Ihre Teams eigenständig bleiben.

Eingesetzte Leistungen

Mehrere Disziplinen, eine Ansprechperson

PAM berührt Architektur, Governance und Detection: Wir decken alle drei ab und bestätigen das Ergebnis mit offensiven Tests.

Cybersecurity-Lösungen Penetrationstest Audit & Advisory GRC SOC

Ergebnisse

Inventar der privilegierten Konten und der Geheimnisse
Dokumentiertes Zugriffsmodell und Regeln zur Rechteerweiterung
Tresor und Bastion Host eingeführt und gehärtet
Nachvollziehbarkeit der Sitzungen und Überprüfung der Rechte
Betriebsdokumentation und Wissenstransfer

Häufige Fragen

Er ist ein guter Anfang, allein aber nicht genug. Der Tresor schützt die Geheimnisse; er hält nicht fest, was nach dem Öffnen der Sitzung geschieht. Der Bastion Host ergänzt die Zurechenbarkeit — wer sich verbunden hat, auf welchem Asset, und was dort geschah.

Schlecht entworfen: ja — und dann wird das Verfahren umgangen. Deshalb gestalten wir die Abläufe mit den betroffenen Teams: Zugriff auf Anforderung, einmalige Anmeldung und unauffällige Aufzeichnung. Richtig eingestellt ist der Weg über den Bastion Host einfacher als die Passwortverwaltung von Hand.

Das ist einer der unmittelbarsten Gewinne: personenbezogener Zugriff, zeitlich begrenzt, auf die betroffenen Assets beschränkt und aufgezeichnet. Das Mandatsende schliesst den Zugriff automatisch, wodurch verwaiste Konten entfallen.

Ja, sehr unmittelbar. Die meisten Ransomware-Angriffe kommen voran, indem sie Administrations-Zugangsdaten erbeuten und dann die Backups erreichen. Diese Zugriffe personenbezogen, befristet und nachvollziehbar zu machen, unterbricht diesen Verlauf und senkt die Auswirkungen deutlich.

Wer hält die Schlüssel zu Ihrer Infrastruktur?

Ein Inventar der privilegierten Zugriffe schafft rasch Klarheit — und meist einige Überraschungen. Sprechen wir darüber.

Kontakt aufnehmen