Business | 4.12.2023 9 min zum lesen

Anleitung zu Identity and Access Management (IAM)

Identity and Access Management: Was ist das und warum ist es wichtig?

Das Befolgen von best Practices für Identity and Access Management (IAM) ist ein wichtiger Bestandteil des proaktiven Schutzes gegen Ransomware und andere Cyberbedrohungen. So können Sie schnell und effektiv kontrollieren und einschränken, wer in Ihrem Unternehmen auf Dateien und Daten zugreifen kann. Identity and Access Management konzentriert sich auf die Überprüfung von Benutzeridentitäten, Computern, des Internets der Dinge (IoTs) und anderer Geräte, die auf Daten, Informationen und Systeme zugreifen können wollen oder müssen. Sobald die Überprüfung abgeschlossen ist, gewährt IAM nur noch Zugriff auf die Ressourcen, die der Benutzer (oder das Gerät) zum Ausführen seiner Aufgaben benötigt, und nicht autorisierte oder unbekannte Anfragen werden abgelehnt. IAM ist auch nützlich für die Einhaltung gesetzlicher Vorschriften von Standards wie DSGVO und HIPPA und kann ein wesentlicher Bestandteil von Initiativen zur digitalen Transformation sein.

Mit der Zunahme von Remote-Arbeit, Multi-Cloud-Umgebungen, IoT-Geräten und Bring Your Own Device (BYOD) kann IAM dazu beitragen, den Zugriff auf alle diese Umgebungen zu zentralisieren und die Dinge sowohl sicher als auch einfach zu halten.

Die Grundlage für Identity and Access Management und die Sicherheitsposition eines Unternehmens ist Zero Trust, ein Konzept, das Menschen, Geräte, Apps und Daten schützt, wo immer sie sich befinden, sei es lokal, in der Cloud oder in hybriden Umgebungen – und zwar durch Ablehnung des traditionellen Konzepts des impliziten Vertrauens. Anstatt davon auszugehen, dass alles innerhalb und außerhalb Ihrer digitalen Landschaft sicher ist, arbeitet Zero Trust nach drei Grundprinzipien: „Niemals vertrauen, immer verifizieren“:

Annahme einer Sicherheitsverletzung. Dieses Prinzip geht von der Annahme aus, dass Ihr Netzwerk bereits kompromittiert wurde oder jederzeit kompromittiert werden könnte, was Unternehmen dazu ermutigt, zu proaktiven Sicherheitsmaßnahmen überzugehen.

Explizit verifizieren. Bevor Zugriff auf Ressourcen gewährt wird, müssen Benutzer und Geräte ihre Identität nachweisen, und zwar über die herkömmliche Kombination aus Benutzername und Passwort hinaus. Dazu gehören häufig Multifaktorauthentifizierung und andere erweiterte Maßnahmen.

Durchsetzung des Zugriffs mit geringstmöglichen Berechtigungen. Benutzern und Systemen sollte nur ein Mindestmaß an Zugriff gewährt werden, das sie wirklich benötigen, um ihre Aufgaben ausführen können, um den potenziellen Schaden im Fall einer Kompromittierung zu verringern.

Die Schlüsselkomponenten von IAM

Die vier Säulen des Identitäts- und Zugriffsmanagements sind: Authentifizierung, Autorisierung, Verwaltung und Auditing.

Authentifizierung: Benutzer müssen bei der Anmeldung eindeutige IDs und Anmeldedaten angeben, um sicherzustellen, dass die Benutzer wirklich diejenigen sind, die sie zu sein behaupten.

Autorisierung: Stellt sicher, dass die richtige Person zur richtigen Zeit auf die richtigen Ressourcen zugreifen kann

Verwaltung: Legt Verwaltungsrichtlinien fest und verwaltet Benutzergruppen, Rollen und Berechtigungen.

Auditing: Überwacht das Benutzerverhalten und protokolliert die Benutzeraktivitäten, einschließlich der Verwendung der Zugriffsrechte und der Daten, Dateien und Systeme, auf die zugegriffen wird. Auf diese Weise können Administratoren Benutzerrollen und -richtlinien festlegen, die Einhaltung gesetzlicher Vorschriften unterstützen und Sicherheitswarnungen erstellen, wenn nicht autorisierte Aktivitäten erkannt werden.

IAM Best Practices

Angesichts des rasanten Wachstums in der digitalen Landschaft ist es für Unternehmen nicht nur wichtig, die Mitarbeiterproduktivität jederzeit und überall zu steigern. Sie müssen vielmehr auch Risiken minimieren und kontinuierlich nach Wegen suchen, um auch beim Ausbau ihres Unternehmens für ausreichend Sicherheit und Schutz zu sorgen. Mehr denn je ist es notwendig geworden, effektivere Ansätze für IAM zu entwickeln. Es reicht nicht mehr aus, lange und komplexe Passwörter zu verlangen und diese häufig zu ändern. Eine zuverlässige IAM-Richtlinie ist ein wichtige Komponente für die Stärkung der Sicherheitsposition eines Unternehmens und zum Schutz vor Cybersicherheitsvorfällen oder -angriffen.

Best Practices für Identitäten

Im Folgenden finden Sie einige Best Practices für Identitäten, die einen deutlich höheren Schutz gegen Angriffe bieten und dazu beitragen können, Ihr Konzept für die Identitäts- und Zugriffsverwaltung zu verbessern:

Passwortlos: Verwendung anderer Authentifizierungsmethoden, darunter Wissen, Eigentümerschaft und inhärente Faktoren. Bei auf Wissen basierender Authentifizierung wird die Identität durch benutzerspezifische Fragen nachgewiesen, während physische Geräte wie Schlüsselanhänger oder Smartcards Benutzer durch ihre Eigentümerschaft authentifizieren können; erfassbare biologische Merkmale wie Augen oder Fingerabdrücke können als inhärente Faktoren verwendet werden.

Passkey: Als Art der passwortlosen Authentifizierung dient ein Passkey als digitaler Berechtigungsnachweis, der als Authentifizierungsmethode für eine Website oder Anwendung verwendet wird. Diese werden normalerweise auf Ihren Geräten gespeichert und funktionieren mit Ihrer Biometrie oder Bildschirmsperren.

MFA: Für die Multifaktorauthentifizierung (MFA) sind mindestens zwei Anmeldedaten erforderlich. In seiner einfachsten Form erfordert dieser Vorgang zusätzlich zum Passwort ein Einmalpasswort oder einen Passkey.

SSO und: Single Sign-On (SSO) ist ein Dienst eines Drittanbieters, der es Benutzern ermöglicht, mit nur einem Satz von Anmeldeinformationen auf mehrere Anwendungen zuzugreifen. Die Anmeldeinformationen werden von einer vertrauenswürdigen dritten Partei gesichert, die als Identitätsverbund bezeichnet wird. Dies vereinfacht den Authentifizierungs- und Anmeldeprozess.

SSPR: Die Self-Service-Passwortzurücksetzung (Self-Service Password Reset, SSPR) ermöglicht Benutzern, die ihr Passwort vergessen haben, es selbst zurückzusetzen, ohne sich an ein Helpdesk wenden zu müssen. SSPR ist sicherer, da es in der Regel eine andere Form der Authentifizierung verwendet, um ein Zurücksetzen des Kennworts zu ermöglichen (d. h. Hardware-Token, biometrische Proben, Benachrichtigungs-E-Mails usw.).

Best Practices für die Zugriffsverwaltung

Nachfolgend werden Techniken beschrieben, die verwendet werden, um Benutzerzugriffsrechte in Unternehmens- und cloudbasierten Computersystemen festzulegen. Die Zugriffsverwaltung ist eine separate Funktion, die auf die Identitätsprüfung folgt. Zu diesen Best Practices gehören:

Bedingter Zugriff: Verwaltet den Zugriff auf Datentypen und Informationen wie Benutzer und Gruppen, Netzwerkstandorte, Apps und Geräte, sobald der Zugriff durch Methoden wie Zugriffsperre, erforderliche MFA, Gerätekonformität oder erzwungene Passwortänderung authentifiziert wurde. Dieser Prozess bringt verschiedene identitätsgesteuerte Signale zusammen, um Entscheidungen zu treffen und Unternehmensrichtlinien durchzusetzen. Wenn ein Mitarbeiter beispielsweise auf Microsoft 365 und Informationen im SharePoint des Unternehmens zugreifen möchte, muss er sich über VPN und mit MFA authentifizieren, um Zugriff auf die Apps und Informationen zu erhalten.

RBAC: Die rollenbasierte Zugriffssteuerung (RBAC) nutzt die Rolle einer Person innerhalb der Organisation, um ihre Zugriffsebene auf Unternehmenssysteme und -informationen zu bestimmen. Dies schränkt den Zugriff auf das Informationsniveau ein, das die Mitarbeiter für ihre Arbeit benötigen. Die rollenbasierte Zugriffssteuerung legt auch fest, ob ein Benutzer über Berechtigungen zum Lesen, Schreiben oder Ändern von Daten für Unternehmensressourcen und -daten verfügt.

Zugriff mit minimalen Rechten: Das Konzept der geringsten Rechte schränkt den Zugriff eines Benutzers auf die Daten, Informationen und Systeme ein, die für seine Arbeit erforderlich sind. Dieser Prozess unterteilt die Arbeit, und die Benutzergrenzen können vertikal oder horizontal sein.

Verwaltung von Berechtigungen: Dies erfolgt, wenn ein Drittanbieter-Service Berechtigungen und Transparenz plattform- und cloudübergreifend erweitert. Die Berechtigungsverwaltung ermöglicht es Ihnen, Anomalien zu identifizieren, Zugriffsrichtlinien durchzusetzen und Berechtigungsänderungen im Laufe der Zeit zu identifizieren.

Eine zuverlässige IAM-Strategie

Eine zuverlässige IAM-Strategie ist von entscheidender Bedeutung, um Ihr Unternehmen sowohl vor externen als auch internen böswilligen Bedrohungen zu schützen. Dieser Schutz ergibt sich aus der klaren Definition von Mitarbeiter- und Geräterollen und der Festlegung von Beschränkungen, wer auf was zugreifen kann. Dadurch wird sichergestellt, dass die richtige Person oder das richtige Gerät zur richtigen Zeit den richtigen Zugriff auf die richtigen Informationen hat.

Wahl der besten IAM-Strategie

Wenn Sie sich IAM ansehen, haben Sie wahrscheinlich bereits einige Anwendungen in der Cloud. Ein wichtiger Schritt besteht in der Definition Ihrer Anforderungen hinsichtlich Sicherheit und Compliance für Ihre Cloud oder Hybrid Cloud. Auf diese Weise können Sie die besten Authentifizierungs- und Identifikationsmanagementsysteme für Ihre spezifische Umgebung ermitteln. Ein weiterer Faktor, den es zu berücksichtigen gilt, ist die Skalierbarkeit und die Frage, ob IAM mit Ihrem Unternehmen mitwachsen und für Ihre Umgebung funktionieren wird, wenn diese sich weiterentwickelt – in welcher Form auch immer. Sie sollten auch überlegen, ob Sie Ihre IAM-Strategie effektiv in Ihre bestehenden Systeme integrieren können.

Vorteile von IAM

Zu den Vorteilen einer zuverlässigen IAM-Strategie gehören:

Verbesserte Datensicherheit: Ihre Daten sind besser vor böswilligen Angriffen wie Ransomware und unbefugter Manipulation geschützt. Die Segmentierung von Benutzerrollen bedeutet, dass Benutzer nur eingeschränkten Zugriff auf Unternehmensdaten haben, was es für Cyberkriminelle schwieriger macht, Informationen zu stehlen.

Verbesserte Compliance: Mit zuverlässigen IAM-Richtlinien können Sie Anforderungen an Compliance und Datensicherheit leichter erfüllen.

Optimierte Benutzerverwaltung: IAM-Systeme rationalisieren und reduzieren Workloads und vereinfachen die Zugriffsverwaltung.

Kostenreduzierung und Effizienz: Lösungen wie Self-Service-Features zum Zurücksetzen von Passwörtern reduzieren die Workloads im Callcenter, und SSO-Richtlinien verbessern dazu die Effizienz der Mitarbeiter.

Herausforderungen und Fallstricke, die es zu vermeiden gilt

Wenn Sie sich dieser Herausforderungen und potenziellen Probleme vorab bewusst sind, können Sie sich viel Zeitaufwand und Kopfzerbrechen ersparen:

Zu komplexe Richtlinien: Vermeiden Sie übermäßig komplexe IAM-Strategien, etwa mit zu vielen Benutzerrollen oder widersprüchlichen Richtlinien.

Balance zwischen Sicherheit und Benutzerfreundlichkeit: Es ist wichtig, dass Sie Ihre Sicherheitsanforderungen gegen unnötig einschränkende Benutzerrollen abwägen. Sie möchten auch keine Ineffizienz und Frustration in Ihrer Belegschaft verursachen.

Unzureichende Anwenderschulung: Eine IAM-Richtlinie kann eine große Abweichung von früheren Praktiken darstellen, daher ist es wichtig, Benutzer und Administratoren gründlich zu den neuen Prozessen und Systemen zu schulen.

Vernachlässigung regelmäßiger Updates: Überprüfen und aktualisieren Sie Richtlinien regelmäßig, um Änderungen in Ihrem System und Ihrer Organisation widerzuspiegeln.

Umgang mit vergessenen Passwörtern: Verlorene Anmeldedaten führen zu Ineffizienz und Frustrationen bei den Benutzern. Sie sollten halbautomatisierte Lösungen implementieren, die es Benutzern ermöglichen, ihre verlorenen oder vergessenen Anmeldedaten selbst zu verwalten.

Verwaltung des privilegierten Zugriffs: Eine schlechte Verwaltung des privilegierten Benutzerzugriffs kann zu Schlupflöchern führen, die Cyberkriminelle ausnutzen können. Verringern Sie dieses Risiko, indem Sie die Aktivitäten privilegierter Konten kontinuierlich überwachen.

Abwicklung von Mitarbeiterabgängen: Wenn Sie nicht über ein System verfügen, mit dem Sie den Zugriff auf Ihre Systeme durch ausgeschiedene Mitarbeiter umgehend entfernen können, laufen Sie Gefahr, dass diese Mitarbeiter Daten stehlen und böswillige Akteure die Möglichkeit haben, Anmeldedaten zu stehlen.

IAM und Schutz vor Ransomware

IAM ist ein zentraler Faktor für die Verhinderung von Sicherheitsverletzungen, die zu Malware-Angriffen führen, wie z. B. Ransomware. Der Thales Data Threat Report 2023 stellte fest, dass für 55 % der Ransomware-Angriffe, denen die Befragten ausgesetzt waren, menschliches Versagen der entscheidende Faktor war. Ein deutlicher Prozentsatz der Befragten gab an, dass eine effektive IAM-Ebene die beste Verteidigung gegen solche Cyberangriffe ist.

Eine starke IAM-Richtlinie, die zuverlässige Techniken für das Identitätsmanagement verwendet, macht es Cyberkriminellen deutlich schwerer, die Anmeldedaten Ihres Unternehmens zu stehlen und auszunutzen. Verwenden Sie als weitere Schutzmaßnahme temporäre Anmeldedaten, die nur für eine begrenzte Zeit gültig sind. Das bedeutet, dass selbst wenn ein Hacker die Anmeldedaten einer Person stiehlt, er nicht viel Zeit hat, sie auszunutzen.

Es ist auch sehr wichtig, einen kohärenten und umfassenden Notfallplan zu haben, der IAM-Richtlinien nutzt, um Verstöße zu erkennen und umgehend darauf zu reagieren. Laut dem Report 2022 Trends in Digital Identities der Identity Defined Security Alliance haben 84 % der 500 befragten Unternehmen im Laufe des Jahres mindestens eine identitätsbezogene Sicherheitsverletzung erlebt. Mit einem effektiven Plan und einer zuverlässigen Backup- und Wiederherstellungslösung wie Veeam Backup & Replication lassen sich Ransomware-Angriffe noch einfacher erkennen und überstehen.

Compliance und regulatorische Aspekte

IAM ist auch ein Schlüsselfaktor für die Einhaltung von Daten-Compliance- und regulatorischen Anforderungen. Es gibt viele Gesetze in Bezug auf Speicherorte sowie den Zugriff auf und die Aufbewahrung von Daten, die Sie beachten müssen, wenn Sie beispielsweise in oder mit den USA, Kanada und der Europäischen Union arbeiten. Hierzu zählen:

DSGVO: Umfassende Datensicherungsrechte für die EU

Sarbanes-Oxley-Gesetz (SOX): Für börsennotierte Unternehmen in den USA

HIPAA: Für Gesundheitsinformationen in den USA

FERPA: Zum Schutz von Studierendendaten in den USA

CCPA: Für kalifornische Anforderungen wie die EU-DSGVO

PIPEDA: Kanadische Datensicherungsanforderungen

Diese Vorschriften legen die Rechts- und Compliance-Standards für den Umgang mit vertraulichen Informationen fest, und IAM spielt eine zentrale Rolle dabei, sicherzustellen, dass Unternehmen diese Vorschriften einhalten.

Compliance- und regulatorische Erwägungen sind ebenfalls wichtig, weil sie allen Menschen die Macht über ihre eigenen Daten und persönlichen Informationen geben. Menschen möchten wissen, dass ihre Daten sicher sind, und wenn Sie sicherstellen, dass Ihr Unternehmen diese Richtlinien gewissenhaft befolgt, stärken Sie das Vertrauen Ihrer Anwender zu Ihrem Unternehmen. IAM ist eine Möglichkeit, die Einhaltung gesetzlicher Vorschriften zu verbessern, da Sie damit strenger kontrollieren können, wer auf Unternehmens-, Kunden- oder Patientendaten zugreifen kann. Das bedeutet, dass weniger Datenlecks und -verletzungen auftreten, was sich positiv auf den Ruf Ihres Unternehmens auswirkt und sicherstellt, dass Ihr Unternehmen alle Gesetze und Vorschriften einhält.

In jedem Fall tragen zuverlässige IAM-Lösungen, die Autorisierung und Auditierung regeln, erheblich zur Einhaltung gesetzlicher Vorschriften bei. Strenge IAM-Richtlinien unterstützen Unternehmen in unterschiedlichen Rechtsordnungen und Ländern bei der Durchsetzung vielfältiger Datenschutz- und Datenzugriffsanforderungen, darunter zu Datensicherheit, Backups und Richtlinien für die langfristige Aufbewahrung von Daten.

Aktuelle und zukünftige Trends im IAM

Aktuell

Aktuelle Trends konzentrieren sich auf mehrere Taktiken, die die Unternehmenssicherheit erhöhen sollen. Zu diesen Trends gehören:

Keine Passwörter: Hacker können Passwörter leicht entschlüsseln – selbst lange Passwörter mit Kombinationen aus Buchstaben, Ziffern und Sonderzeichen. Dazu kommt, dass Benutzer in der Realität oft auf realen Wörtern basierende Passwörter verwenden, die einfacher zu entschlüsseln sind.

MFA aktivieren: MFA fügt zusätzliche Sicherheitsebenen hinzu, die viel schwieriger zu täuschen, zu stehlen oder zu hacken sind.

Implementierung einer Zero-Trust-Strategie: Das Zero-Trust-Konzept geht davon aus, dass der gesamte Netzwerk-Traffic kompromittiert ist (oder werden kann). Um dieses Problem zu lösen, erfordert Zero Trust eine Authentifizierung sowohl für den Benutzer als auch für seine Geräte und beschränkt den Zugriff auf die Ressourcen, die für die Aufgabe erforderlich sind. Neben der Annahme, dass es zu einer Sicherheitsverletzung kommen wird, umfasst Zero Trust auch die explizite Überprüfung, wer bei jeder Anmeldung auf welche Daten zugreift, sowie die routinemäßige Bewertung der Zugriffsebenen und die Durchsetzung des Zugriffs mit minimalen Rechten.

Zukunft

Die Datensicherheit ist ein sich ständig veränderndes Ziel. Während Cyberexperten ständig nach neuen und besseren Methoden suchen, um mit Cybersicherheitsbedrohungen umzugehen, werden Hacker immer wieder neue Wege finden, um Ihre Abwehrmaßnahmen zu durchbrechen. Die Zahl der Cyberangriffe wird weiter zunehmen, wie eine Erkenntnis aus dem Ransomware Trends Report 2023 von Veeam nahelegt. Tatsächlich hat dieser Report festgestellt, dass die Ransomware-Angriffe 2022 um mehr als 12 % zugenommen haben. 76 % der Unternehmen berichteten von mindestens einem Angriff. Dabei sind Datenschutzverletzungen, die auf menschliches Versagen oder andere Arten von Malware zurückzuführen sind, noch nicht einmal berücksichtigt.

Dies bedeutet, dass IAM-Strategien weiter verbessert werden müssen. Die Bedrohungslandschaft entwickelt sich genauso schnell, wenn nicht sogar schneller als wir, daher ist es wichtig, immer nach vorne zu schauen und ständig nach Verbesserungsmöglichkeiten zu suchen.

Eine Lösung, die sich immer mehr durchsetzt, ist der Einsatz von maschinellem Lernen und künstlicher Intelligenz zur Verbesserung der Bedrohungserkennung und Bereitstellung von Echtzeit-Einblicken. Durch die Umstellung auf KI und maschinelles Lernen werden Ermittlungen immer schneller möglich, und IT-Mitarbeiter haben mehr Zeit für andere Aufgaben. Weitere Möglichkeiten, Ihr Unternehmen auf dem neuesten Stand der Cybersicherheit zu halten, sind die Implementierung eines Zero-Trust-Sicherheitsmodells und Fortschritte auf dem Gebiet der biometrischen Authentifizierung.

Ein weiterer Zukunftstrend ist die Einbeziehung von Benutzerrisikoprofilen in den Authentifizierungsprozess sowie der Einsatz von Blockchain-Verfahren zum Schutz dezentraler Identitätsmanagementsysteme. IAM kann auch verwendet werden, um den Benutzerzugriff auf IoT-Ressourcen des Unternehmens zu steuern.

Schlussfolgerung

Ein starkes IAM ist der erste Schritt zu einer wirklich integrierten Datensicherheitslösung. Ob es uns gefällt oder nicht: Sicherheitsverletzungen werden immer häufiger auftreten und Sie müssen darauf vorbereitet sein – nach einem Angriff ist es zu spät, um über das Thema Cybersicherheit nachzudenken. IAM-Richtlinien und die Umsetzung der Zero-Trust-Prinzipien sind die Grundlage für eine Stärkung Ihrer Sicherheitsposition, verbessern den Schutz vor den gängigsten Formen von Cyberangriffen und gewährleisten, dass Ihre sensibelsten Daten getrennt aufbewahrt werden, privilegierten Zugriff erfordern und gegen Ransomware geschützt sind. In Kombination mit einer sicheren Backup-Plattform mit unveränderlichen Backups und einem proaktiven Monitoring sind Sie bestens vorbereitet, um Datenschutzverletzungen zu begegnen und auch nach einem Angriff unbeeinträchtigt weiterzuarbeiten.