In Deutschland prangen viele tausend Passwörter auf gelben Klebezetteln an den Monitoren. Manche werden auch mit wasserfesten Stiften auf die Tastatur des Laptops geschrieben. Ein Alptraum für alle Chief Security Officers und Sicherheitsbeauftragte, die wertvolle Daten schützen müssen. Netzwerkzugänge müssen vor dem Hintergrund wachsender Gefahren durch mehrschichtige Sicherheitsmaßnahmen geschützt werden. Die Experten von ActivIdentity(TM) , einem Unternehmen von HID Global und weltweit führenden Anbieter im Bereich Identitätssicherung, haben sechs Gebote für einen sicheren Zugang zu Unternehmensnetzen zusammengestellt.
1. Keiner kommt rein ohne sich zu erkennen zu geben
Für Unternehmen aller Größen gilt: Der Gegenüber muss identifiziert werden. Das ist für einen Zulieferer in der Flugzeugindustrie mit 50 Mitarbeitern genauso überlebenswichtig wie für einen Großkonzern. Die Identifizierung bildet den ersten Schritt der Sicherheitskette. Die Kommunikationspartner müssen sich kennen, unabhängig davon, ob Mitarbeiter auf Unternehmensdaten zugreifen, Kunden über das Internet das Web-Angebot des Unternehmens aufrufen oder Online-Banking Dienste genutzt werden. Alle nachgelagerten Sicherheitsmassnahmen können nur sinnvoll greifen, wenn die Kommunikationspartner bekannt sind.
2. Keine Identifizierung ohne Authentifizierung
Wer eine Grenze überschreitet, braucht einen Reisepass. Ist derjenige, der auf ein Netzwerk, einen Dienst oder spezifische Daten zugreift, tatsächlich der, für den er sich ausgibt? Wer die Online-Schwelle übertritt, braucht Authentifizierungsmechanismen, die eine zweifelsfreie Überprüfung der Identifikation zulassen.
3. Beuge den leisen Verbrechen vor
Die meisten Bedrohungen, gegen die sich Unternehmen heute absichern, sind unangenehm, teilweise auch gefährlich. Sie haben aber, egal ob Virus, Trojaner, DoS oder andere, eine Gemeinsamkeit: Man "spürt" den Angriff, da z.B. Daten zerstört oder Zugriffe auf Dienste verhindert werden. Gelingt einem Angreifer der Diebstahl einer Identität, agiert dieser im Namen einer autorisierten Person. Dienste können missbräuchlich genutzt werden, Daten ausgelesen oder verändert werden, ohne dass vorhandene Sicherungsmaßnahmen dies erkennen oder verhindern können. Dies verhindert die starke Authentifizierung. Identitäten müssen so gestaltet werden, dass der Diebstahl auffällt oder nicht begangen werden kann.
4. Unterstütze den Anwender so gut es geht
Alle Sicherungsmaßnahmen müssen den Zugang für den Anwender einfacher machen als vorher, sie dürfen ihn nicht behindern. Der Anwender und seine Bedürfnisse stehen im Mittelpunkt, denn schließlich geschieht die Authentifizierung bei ihm. Identifizierungs- und Authentifizierungsmethoden sollten daher so ausgewählt werden, dass sie die Nutzer in ihren Anwendungen unterstützen und der Anmeldevorgang vereinfacht wird.
5. Wähle eine Lösung, die automatisiert Regeln durchsetzt
Die wenigsten Anwender haben ein Bewusstsein für IT-Sicherheitsproblematiken. Daher sollten Authentifizierungsregeln, sei es für die Nutzung bestimmter Authentifizierungsgeräte oder für die Verwendung von Passwörtern, mit technischen Mitteln durchgesetzt werden. Auf diese Weise kann man die Auswahl der Zugangsmethoden oder das Merken der Passwörter auslagern an ein technisches Hilfsmittel. Hier hilft Single-Sign-On, mit dem Anwender nach einer einmaligen Authentifizierung an einem Arbeitsplatz auf alle Dienste, für die sie lokal berechtigt sind, am selben Arbeitsplatz zugreifen können, ohne sich jedes Mal neu anmelden zu müssen.
6. Jeder Authentifizierungstopf braucht seinen Deckel
Eine einzige Authentifizierungsform passt selten für die unterschiedlichen Anwendungsfälle, die in einem Unternehmen auftreten können. Abhängig vom Sicherheitsbedarf, dem Angriffsrisiko, dem Verbindungstyp und anderen Parametern sollte eine angemessene Authentifizierungsmethode gewählt werden. Dabei sollten Unternehmen den Zugriff durch einen zentralen Authentifizierungsdienst steuern. Wer für unterschiedliche Authentifizierungsmethoden unterschiedliche Lösungen wählt, lädt der IT-Abteilung einen erheblichen Administrationsaufwand auf, der leicht vermeidbar ist.
1. Keiner kommt rein ohne sich zu erkennen zu geben
Für Unternehmen aller Größen gilt: Der Gegenüber muss identifiziert werden. Das ist für einen Zulieferer in der Flugzeugindustrie mit 50 Mitarbeitern genauso überlebenswichtig wie für einen Großkonzern. Die Identifizierung bildet den ersten Schritt der Sicherheitskette. Die Kommunikationspartner müssen sich kennen, unabhängig davon, ob Mitarbeiter auf Unternehmensdaten zugreifen, Kunden über das Internet das Web-Angebot des Unternehmens aufrufen oder Online-Banking Dienste genutzt werden. Alle nachgelagerten Sicherheitsmassnahmen können nur sinnvoll greifen, wenn die Kommunikationspartner bekannt sind.
2. Keine Identifizierung ohne Authentifizierung
Wer eine Grenze überschreitet, braucht einen Reisepass. Ist derjenige, der auf ein Netzwerk, einen Dienst oder spezifische Daten zugreift, tatsächlich der, für den er sich ausgibt? Wer die Online-Schwelle übertritt, braucht Authentifizierungsmechanismen, die eine zweifelsfreie Überprüfung der Identifikation zulassen.
3. Beuge den leisen Verbrechen vor
Die meisten Bedrohungen, gegen die sich Unternehmen heute absichern, sind unangenehm, teilweise auch gefährlich. Sie haben aber, egal ob Virus, Trojaner, DoS oder andere, eine Gemeinsamkeit: Man "spürt" den Angriff, da z.B. Daten zerstört oder Zugriffe auf Dienste verhindert werden. Gelingt einem Angreifer der Diebstahl einer Identität, agiert dieser im Namen einer autorisierten Person. Dienste können missbräuchlich genutzt werden, Daten ausgelesen oder verändert werden, ohne dass vorhandene Sicherungsmaßnahmen dies erkennen oder verhindern können. Dies verhindert die starke Authentifizierung. Identitäten müssen so gestaltet werden, dass der Diebstahl auffällt oder nicht begangen werden kann.
4. Unterstütze den Anwender so gut es geht
Alle Sicherungsmaßnahmen müssen den Zugang für den Anwender einfacher machen als vorher, sie dürfen ihn nicht behindern. Der Anwender und seine Bedürfnisse stehen im Mittelpunkt, denn schließlich geschieht die Authentifizierung bei ihm. Identifizierungs- und Authentifizierungsmethoden sollten daher so ausgewählt werden, dass sie die Nutzer in ihren Anwendungen unterstützen und der Anmeldevorgang vereinfacht wird.
5. Wähle eine Lösung, die automatisiert Regeln durchsetzt
Die wenigsten Anwender haben ein Bewusstsein für IT-Sicherheitsproblematiken. Daher sollten Authentifizierungsregeln, sei es für die Nutzung bestimmter Authentifizierungsgeräte oder für die Verwendung von Passwörtern, mit technischen Mitteln durchgesetzt werden. Auf diese Weise kann man die Auswahl der Zugangsmethoden oder das Merken der Passwörter auslagern an ein technisches Hilfsmittel. Hier hilft Single-Sign-On, mit dem Anwender nach einer einmaligen Authentifizierung an einem Arbeitsplatz auf alle Dienste, für die sie lokal berechtigt sind, am selben Arbeitsplatz zugreifen können, ohne sich jedes Mal neu anmelden zu müssen.
6. Jeder Authentifizierungstopf braucht seinen Deckel
Eine einzige Authentifizierungsform passt selten für die unterschiedlichen Anwendungsfälle, die in einem Unternehmen auftreten können. Abhängig vom Sicherheitsbedarf, dem Angriffsrisiko, dem Verbindungstyp und anderen Parametern sollte eine angemessene Authentifizierungsmethode gewählt werden. Dabei sollten Unternehmen den Zugriff durch einen zentralen Authentifizierungsdienst steuern. Wer für unterschiedliche Authentifizierungsmethoden unterschiedliche Lösungen wählt, lädt der IT-Abteilung einen erheblichen Administrationsaufwand auf, der leicht vermeidbar ist.
