Treecha - stock.adobe.com
Wasserschaden in der IT: Lecks im Identity Management
Bei der Verwaltung von Identitäten müssen Architektur, Funktionen und Schnittstellen von Anfang auf Sicherheit ausgerichtet werden. Identitäten sind ein zentraler Angriffspunkt.
„Und dann gucken, ob’s tropft“: So lautete die Anweisung des ebenso legendären wie imaginären Baumarktmitarbeiters Kaltenbecher. Demnach schraubt und flanscht man alles zusammen, was man zu einer Installation benötigt, und schaut dann, ob es Lecks gibt, die es mit Zusatzmaßnahmen abzudichten gilt. Entsprechend scheinen viele IT-Infrastrukturen entwickelt zu werden: Die Verantwortlichen kombinieren Server, Storage, Netzwerk, Apps etc. und schauen dann, „ob‘s tropft“, will heißen, wie sie eventuell entstandene Sicherheitslecks stopfen können. Dieser Ansatz kann zu nichts anderem als Flickwerk führen.
Gerade in Zeiten aktueller geopolitischer Unsicherheiten, dem rasant wachsenden Digitalisierungsgrad und immer neuen (KI-basierten) Angriffen müssen Unternehmen und Organisationen radikal umdenken.
Ein Identitäts- und Zugriffsmanagement (Identity and Access Management: IAM) ist der zentrale Dreh- und Angelpunkt aller Digitalen Aktivitäten. Daher verwundert es nicht, dass Identitäten der zentrale Angriffspunkt für Hacker sind und enormes Potential für Einsparungen bieten. Umso verwunderlicher, dass es den meisten Organisationen und Unternehmen an einer Strategie mangelt und man „wie bisher auch“ auf veraltete Systeme setzt anstelle neue Ansätze zu verfolgen. Security-Experten sind sich einig: Dazu gehört es auch IAM von Anfang an in den Entwicklungsprozess zu integrieren: „Security by Design“ statt „Security als Heftpflaster“.
Eingebaute Sicherheit
Im Fall von IAM-Lösungen bedeutet Security by Design, dass die Architektur, die Funktionen und die Schnittstellen der Systeme von Beginn an so gestaltet werden, dass sie den höchsten Sicherheitsanforderungen genügen. Ziel ist es, potenzielle Schwachstellen zu identifizieren und zu beheben, bevor sie ausgenutzt werden können.
Ein zentrales Element von Security by Design bei der Entwicklung und Implementierung von IAM-Lösungen ist die systematische Analyse möglicher Bedrohungsszenarien. Bereits in der Planungsphase wird geprüft, welche Risiken bestehen und wie diese durch technische und organisatorische Maßnahmen minimiert werden können. Dazu gehört beispielsweise, robuste Authentifizierungsmechanismen zu implementieren, sensible Daten zu verschlüsseln sicherzustellen, dass nur autorisierte Personen Zugriff auf bestimmte Ressourcen erhalten und dass eine digitale Resilienz des Systems gegeben ist. Als zentrales Element einer digitalen Resilienz ist natürlich die digitale Souveränität zu nennen, welche gerade in Zeiten geopolitischer Spannungen von besonderer Bedeutung ist.
Hier sei aber auf ein anderes Thema hingewiesen: Nicht nur die einmalige Implementierung und die Wartung von Lösungen ist essenziell, auch kontinuierliche Tests während dem Betrieb und regelmäßige Sicherheitsüberprüfungen nach der Bereitstellung gewährleisten, dass die Systeme auch langfristig widerstandsfähig gegenüber neuen Bedrohungen bleiben. Am besten natürlich, wenn die Lösung von Experten betrieben, gewartet und Sicherheitslücken direkt geschlossen werden. Denn eine Sicherheitslösung mit Sicherheitslücken kann den Stand der IT-Sicherheit sogar noch „verschlimmbessern“.
Single-Sign On und Multifaktor-Authentifizierung
Ein Paradebeispiel für die praktische Anwendung von Security by Design in IAM-Lösungen ist die Implementierung von Single Sign-On (SSO). Dieses Feature ermöglicht es Nutzern, sich einmalig zu authentifizieren und anschließend auf mehrere Anwendungen und Dienste zuzugreifen, ohne sich erneut anmelden zu müssen. Für die IT-Sicherheit bietet SSO den Vorteil, dass weniger Angriffsvektoren entstehen, weil Nutzer nicht mehr gezwungen sind, zahllose Passwörter zu erstellen und zu verwalten. Gleichzeitig verbessert SSO die Benutzerfreundlichkeit erheblich, weil zeitaufwendige und störende Mehrfachanmeldungen entfallen.
Um die Sicherheit von SSO weiter zu erhöhen, setzen moderne Lösungen auf Multifaktor-Authentifizierung (MFA). Dabei wird der Login-Prozess durch zusätzliche Sicherheitsfaktoren abgesichert, wie etwa Einmalpasswörter, biometrische Merkmale, Hardware-Sicherheitsschlüssel, Social-Logins und Passkeys. Security by Design stellt sicher, dass diese Mechanismen nahtlos in die bestehende Systemumgebung integriert werden und flexibel an unterschiedliche Sicherheitsanforderungen angepasst werden können. So können beispielsweise besonders sensible Anwendungen mit stärkeren Authentifizierungsverfahren geschützt werden, während für weniger kritische Bereiche einfachere Methoden verwendet werden.
Transparente Verwaltung und Schutz vor Missbrauch
Ein weiterer Aspekt von Security by Design im Identitätsmanagement ist die zentrale und transparente Verwaltung von Zugriffsrechten. Moderne IAM-Lösungen ermöglichen es Administratoren, detaillierte Richtlinien dafür festzulegen, wer auf welche Ressourcen zugreifen darf. Diese granularen Kontrollmöglichkeiten sorgen dafür, dass unbefugte Zugriffe effektiv verhindert werden. Gleichzeitig bieten sie eine klare Übersicht über alle Zugriffsaktivitäten, was nicht nur die Sicherheit erhöht, sondern auch die Einhaltung regulatorischer Vorgaben erleichtert.
Durch die Integration von Sicherheitsfeatures wie Audit-Logs und Echtzeit-Monitoring, sowie die Integration in die bestehende Sicherheitslandschaft (zum Beispiel SIEM) wird zudem sichergestellt, dass potenzielle Sicherheitsvorfälle schnell erkannt und behoben werden können. Security by Design garantiert, dass diese Funktionen nicht als nachträgliche Ergänzungen implementiert werden, sondern von Anfang an Teil der Systemarchitektur sind. Dadurch wird verhindert, dass Sicherheitslücken entstehen, die später nur mit großem Aufwand geschlossen werden könnten.
Integrierte Benutzerfreundlichkeit
Ein häufiges Missverständnis besteht darin, dass Sicherheit zwangsläufig zu Benutzerfreundlichkeit im Widerspruch steht. Tatsächlich zeigt sich, dass eine schlechte Usability oft dazu führt, dass Sicherheitsmaßnahmen umgangen werden. Im Kontext von IAM-Lösungen könnte dies bedeuten, dass Nutzer unsichere Passwörter wählen, Passwörter mehrfach verwenden oder sogar teilen, um komplizierte Anmeldeprozesse zu vermeiden. Solche Verhaltensweisen stellen erhebliche Sicherheitsrisiken dar.
Security by Design berücksichtigt daher nicht nur technische Sicherheitsaspekte, sondern auch die Bedürfnisse der Endnutzer. Durch intuitive Benutzeroberflächen, klare Fehlermeldungen und konsistente Nutzerführungen wird sichergestellt, dass Sicherheitsfunktionen leicht verständlich und einfach zu bedienen sind. Dies erhöht die Akzeptanz der Nutzer und reduziert die Wahrscheinlichkeit, dass Sicherheitsvorgaben missachtet werden. Ein Beispiel hierfür ist die Möglichkeit, MFA-Verfahren flexibel auszuwählen, sodass Nutzer je nach persönlichen Vorlieben verschiedene Optionen wie biometrischen Methoden oder Einmalpasswörter wählen können.
In einer Zeit, in der Cyberbedrohungen allgegenwärtig sind und die Anforderungen an Datenschutz und Compliance stetig steigen, ist Security by Design kein Luxus, sondern eine Notwendigkeit.
Flexibilität und Skalierbarkeit
Moderne IAM-Lösungen, die nach dem Prinzip von Security by Design entwickelt wurden, zeichnen sich durch ihre hohe Flexibilität und Skalierbarkeit aus. Sie können nahtlos in bestehende IT-Infrastrukturen integriert und an spezifische Anforderungen angepasst werden. Dies ist besonders wichtig in dynamischen Umgebungen wie dem Gesundheitswesen oder der Finanzbranche, wo ständig neue Anwendungen und Geräte hinzukommen.
Ein weiterer Vorteil ist die Möglichkeit, solche Lösungen sowohl On-Premises als auch in der Cloud oder in hybriden Szenarien zu betreiben. Security by Design stellt sicher, dass die Sicherheit unabhängig vom Betriebsmodell gewährleistet bleibt. Anbieter von Managed Open Source helfen Unternehmen zudem durch den Einsatz offener Standards und interoperabler Technologien, ein Vendor Lock-In zu vermeiden. Das garantiert Unternehmen langfristig mehr Unabhängigkeit und Investitionssicherheit.
„Security by Design ist weit mehr als ein technisches Konzept – es ist eine Philosophie, die Sicherheit als grundlegenden Bestandteil moderner Softwareentwicklung versteht. Im Kontext von IAM-Lösungen zeigt sich, wie dieser Ansatz dazu beiträgt, Systeme widerstandsfähiger gegen Bedrohungen zu machen.“
Elmar Eperiesi-Beck, Bare.ID
Compliance und Datenschutz
Die Einhaltung gesetzlicher und regulatorischer Vorgaben ist ein zentraler Aspekt moderner IAM-Lösungen. Security by Design sorgt dafür, dass Datenschutzanforderungen wie die DSGVO bereits in der Planungsphase berücksichtigt werden. Dazu gehören unter anderem die Minimierung der Datenspeicherung, die Verschlüsselung sensibler Informationen und die Möglichkeit, personenbezogene Daten auf Anfrage und bei längerer Nichtnutzung zu löschen. Solche Automatismen sind essenziell, damit europäische Unternehmen ihren rechtlichen Anforderungen gerecht werden können.
Security by Design als Schlüssel zu sicheren IAM-Lösungen
Security by Design ist weit mehr als ein technisches Konzept – es ist eine Philosophie, die Sicherheit als grundlegenden Bestandteil moderner Softwareentwicklung versteht. Im Kontext von IAM-Lösungen zeigt sich, wie dieser Ansatz dazu beiträgt, Systeme widerstandsfähiger gegen Bedrohungen zu machen, ohne ihre Benutzerfreundlichkeit zu beeinträchtigen. Durch die frühzeitige Integration von Sicherheitsmaßnahmen und die Berücksichtigung von Usability-Aspekten entstehen Lösungen, die sowohl sicher als auch intuitiv bedienbar sind.
Funktionen wie Single-Sign On, Multifaktor-Authentifizierung und eine zentrale Verwaltung von Zugriffsrechten sind Beispiele dafür, wie Security by Design in der Praxis umgesetzt werden kann. Darüber hinaus sorgen flexible Betriebsmodelle und die Einhaltung strenger Datenschutzanforderungen dafür, dass diese Lösungen den vielfältigen Anforderungen moderner Unternehmen gerecht werden.
In einer Zeit, in der Cyberbedrohungen allgegenwärtig sind und die Anforderungen an Datenschutz und Compliance stetig steigen, ist Security by Design kein Luxus, sondern eine Notwendigkeit. Unternehmen, die sich diesen Ansatz zunutze machen, verwenden nicht nur sichere und benutzerfreundliche Produkte, sondern positionieren sich auch als vertrauenswürdige Partner in einer digitalisierten Welt.
Über den Autor:
Elmar Eperiesi-Beck, Management bei Bare.ID.
Die Autoren sind für den Inhalt und die Richtigkeit ihrer Beiträge selbst verantwortlich. Die dargelegten Meinungen geben die Ansichten der Autoren wieder.
