Identitäts- und Zugriffsmanagement im öffentlichen Sektor Wie PAM hilft, die Anforderungen des BSI zu erfüllen

Anbieter zum Thema

cit GmbH

Liferay GmbH

Zum Schutz digitaler Identitäten und privilegierter Zugriffe auf Systeme und Daten hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) Mindestanforderungen an die Sicherheitsmaßnahmen formuliert. Diese stellen staatliche sowie kommunale Einrichtungen jedoch immer wieder vor Herausforderungen. Privileged Access Management-Tools (PAM) können Abhilfe schaffen.

Als Folge der Corona-Pandemie sahen sich staatliche und kommunale Einrichtungen in den letzten zweieinhalb Jahren zunehmend dazu gezwungen, ad-hoc zu digitalisieren. So wurden für Mitarbeitende immer häufiger Remote-Zugriffe eingerichtet und Leistungen von Behörden, sofern möglich, auch digital zur Verfügung gestellt. Und auch das neue Onlinezugangsgesetz (OZG), das Bund, Länder und Kommunen bis Ende dieses Jahres verpflichtet, bestimmte Verwaltungsleistungen über Online-Portale anzubieten, war ein Booster für die digitale Transformation im Government-Sektor.

Die Vorteile dieser – zum Teil überfälligen – Digitalisierung liegen auf der Hand: Die Verwaltung wird effizienter und produktiver und bietet den Bürgern zudem eine deutlich bessere Nutzererfahrung. Mit Blick auf die IT-Sicherheit ergeben sich allerdings auch erhebliche Risiken. Denn Cyberkriminelle nutzen immer häufiger Angriffsvektoren wie Ransomware, Phishing oder eine Code-Ausführung aus der Ferne (RCE) für eine gezielte Kompromittierung privilegierter Identitäten. Diese ermöglicht es ihnen, sich im Netzwerk auszubreiten, kritische Daten zu verschlüsseln oder zu stehlen und Abläufe zu manipulieren. Dass sie dabei immer häufiger erfolgreich sind, liegt unter anderem daran, dass die IT-Ausstattung in öffentlichen Einrichtungen in Deutschland deutlich hinter anderen Ländern zurückliegt. Aber auch der IT-Fachkräftemangel, der in staatlichen oder kommunalen Einrichtungen noch ausgeprägter ist als in der Privatwirtschaft und die Umsetzung eines adäquaten Privileged Access Managements (PAM) in den Ämtern und Behörden erschwert, spielt hier eine entscheidende Rolle.

Identitäts- und Berechtigungsmanagement gemäß des IT-Grundschutz-Profils

Die Absicherung digitaler Identitäten und privilegierter Zugriffe auf Systeme und Daten hat für staatliche und kommunale Einrichtungen oberste Priorität – insbesondere seitdem die Digitalisierung an Fahrt aufgenommen hat. Das hat auch das Bundesamt für Sicherheit in der Informationstechnik erkannt und zum Schutz der Kommunalverwaltungen bereits im Jahr 2019 verpflichtende Mindestsicherheitsmaßnahmen auf Basis des BSI-Standard 200-2 „IT-Grundschutz-Methodik” definiert. Dafür wurden die Sicherheitsanforderungen in prozess- und systemorientierte Bausteine aufgeteilt und nach zusammengehörigen Themen in ein ganzheitliches Schichtenmodell einsortiert.

Im Prozess-Baustein ORP.4 legt das BSI dabei auch 23 spezielle Anforderungen fest, mit denen Institutionen ein sicheres Identitäts- und Berechtigungsmanagement aufbauen sollen. Die Grundlage hiervon bilden so genannte Basis-Anforderungen. Ihre Umsetzung stellt die IT- und Security-Verantwortlichen bisweilen vor Herausforderungen, kann durch den Einsatz moderner PAM-Tools jedoch nachhaltig unterstützt werden.

Die wichtigsten Basis-Anforderungen und wie PAM ihre Umsetzung unterstützt

• 1. Regelung für die Einrichtung und Löschung von Benutzern und Benutzergruppen:
  Kommunale Einrichtungen müssen stringent regeln, wie Nutzerkennungen und -gruppen einzurichten und zu löschen sind. Dazu gehört, dass sich Kennungen eindeutig einzelnen Benutzern zuordnen lassen und Nutzer (inklusive Gast- und Standard-Administratorkonten), die längere Zeit inaktiv sind, automatisch deaktiviert werden.
  Unterstützung durch PAM:
  Eine moderne PAM-Lösung unterstützt die Umsetzung dieser Anforderungen wirkungsvoll: Sie ermöglicht sowohl die Einrichtung von Benutzerkennungen als auch die regelmäßige Identifizierung inaktiver Nutzer, spürt (auch versteckte) Administrator-Rechte auf und schützt und auditiert sämtliche Berechtigungen.

• 2. Erstellen, Ändern und Entziehen von Berechtigungen:
  Privilegierte Berechtigungen dürfen nur nach dem Need-to-Know- bzw. Least-Privilege-Prinzip, das heißt nach dem tatsächlichen Bedarf und zur Erfüllung konkreter Aufgaben vergeben werden. Scheidet ein Mitarbeiter aus oder wechselt die Abteilung, müssen nicht mehr benötigte Berechtigungen daher unmittelbar entfernt werden. Rechte-Erweiterungen, die über die Standardrechte hinausgehen, sollten zudem stets bei den entsprechenden Teams beantragt und begründet werden müssen. Zugriffsrechte auf Systemverzeichnisse und Systemdaten sollten dabei besonders restriktiv eingeschränkt werden.
  Unterstützung durch PAM:
  Über eine PAM-Lösung lassen sich Berechtigungen bequem erteilen, verwalten und nach Erledigung der entsprechenden Aufgabe auch wieder entziehen – und das in Echtzeit über einen zentralen Administrationspunkt.

• 3. Dokumentation von Nutzerkennungen und Rechteprofilen:
  Einrichtungen müssen dokumentieren, welche Nutzerkennungen, Benutzergruppen und Rechteprofile zugelassen und angelegt sind und diese Dokumente zudem regelmäßig überprüfen. Die Dokumentation muss vor unberechtigtem Zugriff geschützt werden und sollte Teil des Datensicherungsverfahrens sein.
  Unterstützung durch PAM:
  Eine PAM-Lösung stellt öffentlichen Einrichtungen alle erforderlichen Werkzeuge für eine umfassende und granulare Dokumentation zur Verfügung – etwa mit Blick auf die Nutzer, deren Zugriffe auf kritische Assets und deren Aktivitäten. Dies ermöglicht die Einhaltung aller relevanten Compliance-Anforderungen und kann im Bedarfsfall auch zur Aufklärung von Sicherheitsvorfällen beitragen.

• 4. Identifikation und Authentifizierung:
  Der Zugriff auf die IT-Systeme und Dienste einer Behörde oder eines Amtes muss durch eine angemessene Identifikation und Authentifizierung der Benutzer sowie externer Dienste und IT-Systeme abgesichert sein. Wird ein vorkonfiguriertes Authentisierungsmittel genutzt, etwa ein Standard-Passwort, muss dieses vor dem Einsatz aktualisiert und angepasst werden.
  Unterstützung durch PAM:
  Zeitgemäße PAM-Lösungen sind in der Lage, vordefinierte Authentisierungsmittel automatisch zu identifizieren und zentral zu verwalten. Auf diese Weise lassen sich die Zugriffsrechte von Personen und Systemen überwachen und im Zuge turnusmäßiger Passwortrotationen entziehen.

• 5. Regeln zur Passwortqualität:
  Je nach Einsatzzweck und Kritikalität müssen entsprechend adäquate Passwörter generiert werden. Dabei gilt es, das richtige Gleichgewicht zwischen Komplexität und Benutzerfreundlichkeit zu finden: Das Passwort muss komplex genug sein, um nicht leicht erraten oder mittels Brute-Force-Attacke schnell geknackt zu werden, aber dennoch so einfach, dass der Nutzer in der Lage ist, es mit zumutbarem Aufwand regelmäßig anzuwenden.
  Unterstützung durch PAM:
  Fast alle PAM-Lösungen bieten ein effektives Passwortmanagement, das die automatische Verwaltung und Rotation von Passwörtern unterstützt und so die Sicherheit erhöht, ohne die Produktivität zu stören. Optional kann es mit zusätzlichen Authentifizierungsmethoden – etwa Multi-Faktor-Authentifizierung (MFA) – kombiniert werden, um ein noch höheres Schutzniveau zu erreichen, das durch Künstliche Intelligenz (KI) und adaptive Verfahren bis hin zur Zero-Trust-Architektur erweitert werden kann. Dies ist vor allem bei Zugriffen auf sensible Daten und Systeme sowie bei Benutzern mit besonders weitreichenden Berechtigungen unerlässlich.

• 6. Regelung für Passwort-verarbeitende Anwendungen und IT-Systeme:
  IT-Systeme oder Anwendungen dürfen stets nur mit gutem Grund – und nicht einfach turnusmäßig – zum Passwortwechsel auffordern. Daher gilt es, geeignete Maßnahmen zu ergreifen, um die Kompromittierung von Passwörtern frühzeitig zu erkennen. Ist dies nicht möglich, muss abgewogen werden, ob man die Nachteile einer zeitgesteuerten Passwortänderung in Kauf nehmen will. Default-Passwörter müssen jedoch grundsätzlich durch ausreichend starke Passwörter ersetzt und vordefinierte Kennungen geändert werden. Bei den Accounts technischer User, Service Accounts und Schnittstellen muss der Passwortwechsel dabei besonders sorgfältig geplant und mit den Anwendungsverantwortlichen abgestimmt werden. Bei der Authentisierung in vernetzten Systemen gilt es, Passwörter niemals unverschlüsselt über unsichere Netze zu übertragen.
  Unterstützung durch PAM:
  Moderne PAM-Software ist in der Lage, Passwörter unternehmensweit aufzuspüren, zu verwalten und abzusichern. Das Augenmerk liegt dabei insbesondere auf privilegierten Konten, Dienstkonten und fest codierten Zugriffsrechten von Personen und Systemen, deren Schutz für viele Behörden eine große Herausforderung darstellt – die mit der Integration einer PAM-Lösung aber sicher verwaltet werden können.

Fazit

Die Ausfallsicherheit der Systeme und die Aufrechterhaltung der Services von staatlichen und kommunalen Einrichtungen steht und fällt mit der Absicherung ihrer IT-Infrastruktur. Mit dem IT-Grundschutz-Profil hat das BSI den betroffenen Stellen und Behörden eine nützliche Vorgabe für die Planung von Maßnahmen für unterschiedliche Bedrohungsszenarien an die Hand gegeben. Und auch wenn Privileged Access Management in diesem Leitfaden nicht explizit genannt wird, sind viele der dort beschriebenen Anforderungen sowie die drei Basisprinzipien Zero-Trust, Least-Privilege und Need-to-Know nur mit einer modernen PAM-Lösung wirksam und benutzerfreundlich umsetzbar.

(ID:48965841)