Das Problem
Die Zugriffe, die mit den Verträgen kommen
Jede Organisation ab einer gewissen Größe hat Externe in ihren Systemen: Berater in Projekten, Betriebsdienstleister mit Fernzugriff, Supportverträge, bei denen der Dienstleister sich anmelden und Fehler suchen kann. Die Zugriffe werden angelegt, wenn der Vertrag geschlossen wird – schnell und pragmatisch, weil die Arbeit beginnen soll.
Doch während Ihre eigenen Mitarbeitenden eine Führungskraft, ein Arbeitsverhältnis und einen Austrittsprozess haben, der die Zugriffe schließt, richtet sich der Zugriff des Lieferanten in der Theorie nach der Vertragslaufzeit und in der Praxis nach nichts. Berater wechseln beim Lieferanten, ohne dass Sie informiert werden. Das Projekt endet, aber das VPN-Profil bleibt bestehen. Und einer der bekanntesten Datendiebstähle der Geschichte begann genau bei einem Lieferanten: Die Angreifer kamen bei der amerikanischen Einzelhandelskette Target über den Zugang der Kühlanlagenfirma hinein.
Das Risiko
Die typischen Lücken
- Geteilte Konten: der Lieferant hat ein Konto, das eine unbekannte Zahl seiner Mitarbeitenden nutzt – Sie wissen nicht wer, und der Lieferant oft auch nicht.
- Zu breiter Zugriff: die VPN-Verbindung öffnet das gesamte Netzwerk, obwohl die Aufgabe nur ein System erfordert.
- Kein Ablaufdatum: der Zugriff wird ohne Enddatum angelegt und überlebt das Projekt, den Vertrag und manchmal den Lieferanten selbst.
- Kein Verantwortlicher bei Ihnen: keine interne Person ist dafür zuständig, zu bestätigen, dass der Zugriff noch notwendig ist.
- Keine Nachvollziehbarkeit: wenn etwas schiefgeht, kann niemand dokumentieren, wer angemeldet war und was getan wurde.
Dieselben Regeln wie für eigene Mitarbeitende – und etwas mehr
Die Grundregeln sind bekannt: Jede externe Person hat ihr eigenes Konto, jeder Zugriff hat einen internen Verantwortlichen und ein Ablaufdatum, und der Zugriff umfasst nur die Systeme, die die Aufgabe erfordert. Rezertifizierung in festen Abständen stellt sicher, dass der Verantwortliche den Bedarf aktiv bestätigt – und dass Zugriffe ohne Verantwortlichen oder Aktivität geschlossen werden.
Für die privilegierten Lieferantenzugriffe, typischerweise Betrieb und Support, sollte Just-in-Time der Standard sein: Der Lieferant beantragt Zugriff für die konkrete Aufgabe, erhält ihn für einen begrenzten Zeitraum, und die Sitzung wird protokolliert oder aufgezeichnet. Das schützt Sie, und es gibt dem Lieferanten einen Nachweis darüber, was er tatsächlich getan hat.
Die Anforderungen kommen auch von außen: Sowohl NIS2 als auch DORA stellen explizite Anforderungen an die Steuerung von Lieferantenzugriffen, und Ihre Kunden stellen Ihnen zunehmend dieselben Fragen, die Sie Ihren Lieferanten stellen sollten.
Wo sollten Sie anfangen?
Mit einer Liste Ihrer externen Partner und ihrer Zugriffe – die existiert selten von vornherein. Gehen Sie VPN-Profile, Fernzugriffslösungen und Konten durch, die nicht eigenen Mitarbeitenden gehören, und fragen Sie bei jedem einzelnen Zugriff: Wer ist verantwortlich, wann wurde es zuletzt genutzt, und warum existiert es?
Schließen Sie die toten Zugriffe sofort, versehen Sie den Rest mit Ablaufdatum und Verantwortlichem, und führen Sie individuelle Konten ein, wo heute Konten geteilt werden. Es ist einer der Bereiche, in denen wenige Wochen Arbeit das meiste Risiko beseitigen.
Wissen Sie, wer von außen Zugriff auf Ihre Systeme hat?
Ein IAM Maturity Assessment bewertet Ihr Zugriffsmanagement umfassend – einschließlich Lieferanten- und Drittzugriffen – und liefert Ihnen einen priorisierten Plan. Ergebnisse auf Englisch, Dialog auf Deutsch.
