Interview: Wie sicher sind wir wirklich?

„Wir sehen, dass der Fokus auf Sicherheit bei Kund:innen zunehmend größer wird. Gerade die Vorkommnisse der letzten Monate haben dazu geführt, dass Sicherheit eine noch größere Rolle spielt. Auch im mobilen Bereich und im UEM-Umfeld wollen mehr und mehr Unternehmen die Möglichkeiten nutzen, die es dort in dieser Hinsicht gibt.

So wird zum Beispiel die kontextbasierte Absicherung von Zugriffen immer wichtiger, die sich über Conditional Access abbilden lässt und für ein der Situation entsprechendes Sicherheitsniveau sorgt. Immer mehr Kund:innen haben diese Anforderung und nutzen Conditional Access-Lösungen. Darüber können sie steuern, was notwendig ist, um auf einen bestimmten Service zuzugreifen. Es werden zum Beispiel Zertifikate abgefragt oder es sind bestimmte Applikationen wie der UEM-Client oder definierte Netzbereiche erforderlich, die nur über ein bestimmtes VPN-Gateway erreichbar sind. Das heißt: Nur wenn Nutzer:innen auch registriert sind und die Geräte gemanagt werden, bekommen sie Zugang zum Service oder Content. UEM-Systeme bieten die Möglichkeit, die hierfür notwendigen Bedingungen vereinfacht zu realisieren.

Und diese bieten noch einen weiteren großen Vorteil in Sachen Sicherheit: Da sich mittlerweile alle Betriebssysteme gleichermaßen über viele UEM-Lösungen verwalten lassen, weitet sich die Einfachheit des Managements, die wir speziell von Smartphones kennen, nun auch aus Desktop-Geräte aus. Das heißt, dass auch die Steuerung von Compliance und Security sehr einfach ist und entsprechende Richtlinien und Aktionen für alle Geräte definiert werden können.

Aber auch in anderer Hinsicht steht Sicherheit im Fokus: Denn Beispiele wie die Sicherheitslücke log4j im Dezember machen deutlich, dass wir nicht so sicher sind, wie wir häufig denken. Dabei ging es um eine Schwachstelle, die in einem von vielen Systemen genutzten Framework gefunden wurde. Das war zwar ein systembasierter Vorfall – aber dieser hat zusammen mit vielen anderen Indikatoren die generelle Diskussion rund um Security intensiviert und gezeigt, dass es vor allem wichtig ist, schnell zu reagieren. Genau das ist aber nicht immer möglich – auch weil relevante Informationen fehlen. Denn auch wenn man sich regelmäßig informiert, ist es schwierig, in einem solchen Moment an aktuelle Informationen zu kommen. Schließlich sind ja gleichzeitig auch ganz viele andere Themen zu bewältigen. Und wie der Zufall es will, ist es meist ein ganz besonders stressiger Tag an dem dann so ein Vorfall passiert und man reagieren muss. Deswegen ist es wichtig, eine gut aufgestellte interne IT zu haben oder mit einem externen Dienstleister zusammenzuarbeiten, der flexibel und schnell auf solche Probleme reagieren kann. Und auch Präventionsmaßnahmen helfen, um das Risiko zu verringern.“

„Ein Thema was noch sehr wichtig ist, ist die Multifaktor-Authentifizierung. Hier geht es in erster Linie darum, einen zusätzlichen Faktor zur normalen Authentifizierung hinzuzufügen. Das kann ganz unterschiedlich aussehen: Das kann ein Zertifikat sein oder eine IP-Adresse, von der der Zugriff erfolgen muss. Häufig reden wir hier von einer Applikation oder der Möglichkeit, eine SMS an eine verifizierte Nummer zuschicken, die einen Code enthält, der zum Zugriff verwendet werden muss.

Für Admin-Accounts hat die zusätzliche Absicherung den Vorteil, dass man diesen administrativen Account nicht mehr für Missbrauchszwecke verwenden kann. Und auch bei Accounts von User:innen haben Unbefugte nicht mehr die Möglichkeit, auf den Content bzw. die Daten der User:innen zuzugreifen, wenn ein zweiter Faktor für mehr Sicherheit sorgt.

Ein Thema, was es schon lange gibt, aber im Kontext Sicherheit noch mal ein anderes Gewicht bekommen hat, ist das Thema Single-Sign-On. Hier geht es darum, die Authentifizierung mit abgesicherten Protokollen zu bündeln, damit sich User:innen nicht mehrfach anmelden müssen. Nutzer:innen melden sich einmalig an – z.B. mittels Token oder anderer Mechanismen – und werden hiermit für mehrere Dienste gleichzeitig autorisiert. Das mindert die Menge der Kennwörter die Nutzer:inenn brauchen, und auch die Anzahl der Eingaben, die sie durchführen müssen. Und das wiederum verhindert, dass User:innen zu einfachen Kennwörtern neigen.

Auf diesem Wege kann auch ermöglicht werden, dass Nutzer:inenn fast kennwortlos arbeiten können. Das bedeutet, dass einmalig zur Einrichtung eines Gerätes ein Kennwort verwendet wird, darüber hinaus aber nicht mehr. Dadurch gerät der Faktor Kennwort in den Hintergrund. Und das ist letztlich nicht nur ein Thema der Sicherheit, sondern auch ein klares Thema des Komforts, da Nutzer:innen ihre Passwörter nicht so häufig eingeben müssen.“

Vielen Dank, Roman, für die wertvollen Einblicke!