Sollten Unternehmen separate Administrator-Accounts verwenden?

In manchen Unternehmen verwenden Admins ihre Accounts sowohl zum Verwalten der Systeme als auch für alltägliche Aufgaben. Dadurch entstehen Risiken.

Oftmals möchten Unternehmen Richtlinien anwenden, die separate Administratoren-Accounts für alle Angestellten mit erweiterten Zugriffsrechten vorschreiben. Das kann sich mit verschiedenen Betriebssystemen, Anwendungen und auch Geräten nahezu beliebig komplex gestalten. Meist stoßen Sicherheitsverantwortliche oder IT-Abteilung mit Plänen für separate Admin-Accounts in der Belegschaft aber auf wenig Gegenliebe. Gibt es bereits vergleichbare Richtlinien in größeren Unternehmen, die erfolgreich eingeführt wurden und sind separate Admin-Accounts wirklich eine gute Idee?

Das Erstellen einer Richtlinie für unterschiedliche Administrator-Accounts ist nichts Ungewöhnliches. Im Gegenteil, diese Vorgehensweise wird eher zum allgemein akzeptierten Standard. Das Erstellen von separaten Accounts für Administratoren, die ja normalerweise einen vollen Zugriff auf Systeme und Daten haben, erlaubt ein angemessenes Trennen ihrer Aufgaben und verbessert die Sicherheit im Unternehmen.

Das kann in größeren Organisationen allerdings zu Problemen führen. Nicht, weil es nicht durchgeführt werden kann, sondern weil die Einführung einiges an Vorarbeit erfordert. Ein großer Teil dieser Aufgabe ist es, die Denkweise von Administratoren und Managern zu ändern.

In großen Unternehmen existieren unterschiedliche Herangehensweisen hinsichtlich der administrativen Zugänge. Eine Möglichkeit ist es zum Beispiel, Accounts anzulegen, die auf bestimmte Systeme nur Lesezugriff erhalten, um ihre Konfiguration zu testen. So lässt sich verhindern, dass versehentlich Probleme entstehen, wenn nur kurz eine Anwendung überprüft werden soll. In anderen Fällen werden manchmal Accounts nur angelegt, damit der Administrator eine Änderung an einem System vornehmen kann oder wenn er aus anderen Gründen erweiterte Rechte benötigte.

Wie auch immer: Es ist auf jeden Fall empfehlenswert, zwei Accounts für Administratoren zu erstellen. Das gilt besonders für Systeme, die Zugriff auf sensible Daten haben oder die einen privilegierten Zugriff auf solche Systeme haben. Einer der Accounts dient dann dazu, Änderungen durchzuführen, während der zweite nur Lesezugriff hat. Es ist auch ratsam, Anwendern Administratorrechte zu entziehen, wenn sie diese nicht mehr benötigen, sie aber trotzdem weiter lesend auf bestimmte Systeme zugreifen sollen.

Risiko: Arbeiten mit Admin-Accounts

Und es gibt in der Praxis häufig Nutzer – meist Windows-Admins, aber auch andere Systeme sind betroffen –, die ihren Admin-Zugang auch im Tagesgeschäft als normalen Account verwenden. So sind dann etwa Administratoren für komplette Windows-Domänen nur einen Klick davon entfernt, auf Phishing, Cross-Site-Scripting oder andere Angriffe hereinzufallen.

Es gibt aber trotz dieser Gefahren immer wieder Beschwerden von Admins, die überzeugt sind, ihre täglich anfallenden Aufgaben nicht ohne erweiterte Rechte erledigen zu können. In den meisten Fällen stimmt das aber einfach nicht. Admins können Funktionen wie “Als Administrator ausführen” nutzen, wenn sie sich auf einer Windows-Workstation befinden, oder den Befehl sudo, wenn sie Linux nutzen. Auf diese Weise verhindern sie, permanent mit Admin-Rechten zu arbeiten.

Es gibt zudem viele Tools, mit denen sich erweiterte Zugriffsrechte verwalten lassen und die den Umgang mit diesem Problem erleichtern. Tatsächlich ist aber auch ein Umdenken erforderlich. Die Unternehmensführung muss die Gefahren erkennen, die entstehen, wenn mit Admin-Accounts im Internet gesurft wird.

Es empfiehlt sich beispielsweise, aus den verschiedenen Benutzergruppen jeweils ein paar Testnutzer auszusuchen, für die dann ein zweiter Account eingerichtet wird. Wenn dadurch die Details dieser Änderung besser ausgearbeitet werden können, wird es letztlich leichter fallen, alle anderen Anwender und das Management von den Vorteilen zu überzeugen, wenn in Zukunft separate Accounts genutzt werden.

Folgen Sie SearchSecurity.de auch auf Twitter, Google+, Xing und Facebook!

Nächste Schritte

Administrative Rechte mit Bedacht vergeben

Der richtige Umgang mit privilegierten Benutzerkonten

Privilegierte Benutzerkonten in der Cloud richtig sichern

Benutzerkonten und die schleichende Rechteausweitung

Erfahren Sie mehr über IT-Sicherheits-Management

ComputerWeekly.de
Close