DatensicherheitPrivilegierte Benutzerkonten verwalten und sichern

Vor der Sicherung, Verwaltung und Überwachung privilegierter Benutzerkonten sollten Unternehmen zunächst wissen, welche Konten überhaupt existieren. Es geht um eine zuverlässige Identifikation – und das betrifft alle Kontenarten mit erweiterten Rechten. Vielen setzen privilegierte Konten aber immer noch mit IT-Administrator- oder Superuser-Accounts gleich, was jedoch zu kurz greift. Zu den privilegierten Benutzerkonten gehören beispielsweise auch Application- und Service-Accounts. Sie stellen ebenfalls eine Schwachstelle dar, wenn sie nicht gesichert und überwacht werden. Die wichtigsten Arten privilegierter Konten sind:

Sie sind die in Unternehmensnetzwerken am häufigsten vorkommenden Typen von privilegierten Konten. Über sie erfolgt die Verwaltung und Steuerung der gesamten IT-Infrastruktur – von Servern über Datenbanken bis hin zu Netzwerkgeräten. Besonders problematisch sind dabei die so genannten Shared-Accounts, bei denen dasselbe Passwort durch mehrere Administratoren genutzt wird. Dadurch kann nicht kontrolliert werden, welche Person ein solches Passwort wann und wozu verwendet hat. Eine revisionssichere Überprüfung der Verwendung eines generischen Accounts bis auf die Personenebene ist somit nicht möglich.

Sie ermöglichen einen administrativen Zugriff beispielsweise auf Windows-Arbeitsplatzrechner. Oft wird dabei ein identisches Passwort für alle Geräte der jeweiligen Plattform verwendet. Ein derart weit verbreitetes Passwort bietet ein einfaches Ziel für fortschrittliche Angriffe.

Sie ermöglichen einen privilegierten administrativen Zugriff auf sämtliche Arbeitsplatzrechner und Server einer Domäne. In der Regel gibt es zwar nur eine begrenzte Anzahl dieser Konten, aber auch sie eröffnen weitreichende Zugriffsmöglichkeiten im Netzwerk und stellen deshalb ein hohes Sicherheitsrisiko dar.

Über sie erhalten Anwender ohne besondere Berechtigungen bei Bedarf einen administrativen Zugriff auf Unternehmenssysteme. Die Nutzung solcher Konten erfordert aus Sicherheitsgründen meistens die Genehmigung eines Vorgesetzten. Es handelt sich dabei um ein wenig effizientes manuelles Verfahren, das zudem nicht auditierbar ist.

Sie werden von Anwendungen für die Ausführung von Batch-Jobs und Scripts oder den Zugriff auf Datenbanken und andere Anwendungen verwendet. Über diese privilegierten Benutzerkonten ist in der Regel ein umfassender Zugriff auf Unternehmensdaten und -anwendungen sowie Datenbanken möglich. Da die Passwörter häufig in Applikationen, Scripts, Windows-Services oder Batch-Jobs unverschlüsselt in Klartext eingebettet sind, bilden diese Accounts ebenfalls eine gravierende Lücke der Unternehmens-IT.

Auch Konten für Systemdienste, die als privilegierte lokale oder Domain-Accounts vorhanden sein können, sollten berücksichtigt werden. Normalerweise werden bei ihnen die Zugangsdaten nur selten geändert, da Passwort-Änderungen bei Active-Directory- oder Domain-Service-Accounts zusätzlich eine systemübergreifende Koordination erfordern. Damit steigt aber auch das Sicherheitsrisiko für Unternehmen.

Dass viele Unternehmen oft nicht genau wissen, welche Arten von privilegierten Benutzerkonten es überhaupt gibt, ist aber nur eine Seite der Medaille. Ebenso problematisch ist, dass sie vielfach auch die Anzahl dieser Benutzerkonten deutlich unterschätzen. So sind in Unternehmen oft drei Mal mehr privilegierte Konten als Mitarbeiter vorhanden. Dessen sind sich immer noch die wenigsten IT-Verantwortlichen bewusst.

Die fehlende Sicherung privilegierter Benutzerkonten in Unternehmensnetzen ist aber genau die Schwachstelle, die bei fortschrittlichen Cyber-Attacken oder Insider-Angriffen bevorzugt ausgenutzt wird. Deshalb ist eine Einführung von Sicherheitsmaßnahmen für solche Accounts unverzichtbar. Privilegierte Benutzerkonten lassen sich durch verschiedene Maßnahmen verwalten und überwachen. Als Einstiegslösung bieten sich folgende Maßnahmen an:

Ein erster Schritt zur Verwaltung, Sicherung und Überwachung der privilegierten Accounts ist ihre Lokalisierung im Unternehmensnetz. Nach der Bestandsaufnahme und Ermittlung der exakten Anzahl sollten die privilegierten Benutzerkonten im Hinblick auf ihre Bedeutung und Funktion überprüft werden, wobei überflüssige Konten zur Verringerung des Verwaltungsaufwandes gelöscht werden sollten.

Durch eine Trennung von Konten für allgemeine und administrative Zwecke wird auch eine Erkennung des Missbrauchs privilegierter Benutzerkonten erleichtert. Zudem ist die Vergabe minimaler Zugriffsrechte ein wichtiges Element bei der Verbesserung der Netzwerksicherheit.

Bevor Mitarbeiter administrative Zugriffsrechte erhalten, sollten sie über die damit verbundenen Verpflichtungen informiert und zu den Unternehmensrichtlinien geschult werden. Regelmäßig sollte überprüft werden, ob Mitarbeiter diese privilegierten Zugriffsrechte benötigen.

Beendet ein Mitarbeiter seine Tätigkeit im Unternehmen, sollten seine sämtlichen privilegierten Benutzerkonten deaktiviert werden. Außerdem sollten die Passwörter für generische Accounts geändert werden, auf die der Mitarbeiter Zugriff hatte.

Passwörter sollten regelmäßig geändert werden, um die mit Passwort-Entschlüsselungstools oder der Weitergabe von Passwörtern an andere Mitarbeiter verbundenen Gefahren zu verringern.

Zur Speicherung privilegierter Passwörter bietet sich ein sicheres System mit Verschlüsselung an. Privilegierte Zugangsdaten sollten nicht in Briefumschlägen, Excel-Tabellen oder Textdateien abgelegt werden.

Alle Maßnahmen im Zusammenhang mit gemeinsam genutzten administrativen Accounts sollten einer bestimmten Person zugeordnet werden können. Nicht zu empfehlen ist die gemeinsame Nutzung von Zugangsdaten durch mehrere Personen.