Fernwartung mit gezielten Freigaben auf einzelne Systeme begrenzen

Wenn eine Fachanwendung ausfällt, zählt für das Unternehmen zuerst, dass die Arbeit weitergeht. Der betreuende IT-Dienstleister verbindet sich aus der Ferne, prüft den Server und behebt den Fehler. Welche Systeme er dabei grundsätzlich erreichen könnte und wie lange sein Zugang bestehen bleibt, gerät im Tagesgeschäft leicht aus dem Blick. Genau dort liegt eine Sicherheitsfrage, die sich mit wenigen Vorüberlegungen klären lässt, bevor eine Freigabe erteilt wird.

Vor jeder Freigabe steht die Aufgabe

Wer eine Anwendung wartet, benötigt nicht automatisch Zugang zum gesamten Unternehmensnetz. Wer einen Server administriert, muss nicht zugleich andere Server erreichen können. Je genauer ein Unternehmen diese Grenzen zieht, desto leichter kann es Zugriffe vergeben, überprüfen und bei Bedarf wieder entziehen. Vor jeder Freigabe sollte deshalb feststehen, welche Aufgabe erledigt werden soll. Daraus ergibt sich, welches Zielsystem benötigt wird, mit welchem Konto gearbeitet werden darf und ob der Zugriff dauerhaft oder nur für einen begrenzten Zeitraum erforderlich ist.

Diese Fragen klingen selbstverständlich, in gewachsenen IT-Umgebungen sind sie es selten. Dienstleister treffen dort häufig auf Zugänge, die vor Jahren für einen anderen Zweck eingerichtet wurden und seitdem bestehen geblieben sind. Ein solcher Zugang erleichtert vielleicht den nächsten Wartungstermin, erschwert aber die Trennung von Zuständigkeiten. Sobald mehrere Systemhäuser, Softwarehersteller und interne Administratoren beteiligt sind, muss nachvollziehbar bleiben, wer auf welches System zugreifen darf. Pauschale Freigaben, die einmal erteilt und danach nie wieder geprüft werden, machen genau das schwierig.

Warum alte Zugänge lange unauffällig bleiben

Ein Zugang, der vor Jahren eingerichtet wurde, fällt im Alltag kaum auf. Er funktioniert, er ist in der Wartungsroutine eingeplant, und niemand sieht Anlass, ihn zu überprüfen, solange die Zusammenarbeit läuft. Auffällig wird er erst in dem Moment, in dem eine Störung untersucht wird oder ein Dienstleisterwechsel ansteht. Dann muss jemand beantworten können, welche Berechtigungen wann vergeben wurden und ob sie noch dem ursprünglichen Zweck entsprechen. Fehlt diese Übersicht, bleibt nur die Wahl zwischen einem breiten Zugang für alle Beteiligten und aufwendiger Nacharbeit im Einzelfall.

Fernwartung gilt als eigener Sicherheitsbereich

Das BSI behandelt Fernwartung als eigenen Sicherheitsbereich und empfiehlt unter anderem dedizierte Konten für Fernwartungszugänge. Solche Konten lassen sich getrennt von anderen Zugängen verwalten, was den Überblick über die tatsächlich vergebenen Rechte erleichtert. Für Unternehmen bedeutet das, ihre Wartungszugänge nicht als Nebenprodukt des allgemeinen Administrationsbetriebs zu behandeln, sondern als eigenen Bereich mit eigenen Regeln. Wer regelmäßig mit mehreren Dienstleistern zusammenarbeitet, profitiert davon besonders, weil sich jeder Zugang einer konkreten Aufgabe und einem konkreten Ansprechpartner zuordnen lässt.

Zugriff auf das Ziel statt pauschalem Netzwerkzugang

Ein praxisnaher Ansatz besteht darin, dem Dienstleister die benötigte Sitzung direkt bereitzustellen. Der Einstieg erfolgt über ein Portal im Browser, die Freigabe führt zur vorgesehenen Anwendung oder zum konkreten System. So lässt sich die Berechtigung an der Wartungsaufgabe ausrichten. Eine Freigabe für den ERP-Server muss keinen Zugang zu Verwaltungsservern, Sicherungssystemen oder anderen Kundendaten eröffnen. Fällt der Wartungsfall weg, lässt sich die Freigabe wieder entziehen, ohne dass davon andere Systeme betroffen sind.

Der Unterschied ist praktisch greifbar. Ein Zugang, der weit in ein Netzwerk hineinreicht, öffnet mehr Möglichkeiten, als die Wartungsaufgabe verlangt. Er lässt sich zudem schwerer auf einen einzelnen Wartungsvertrag zuschneiden, weil dieselbe Verbindung für unterschiedliche Tätigkeiten genutzt werden kann. Wird stattdessen für jeden Fall eine eigene Sitzung bereitgestellt, bleiben der Umfang der Tätigkeit und der Kreis der Beteiligten erkennbar. Das erleichtert die laufende Betreuung ebenso wie die Übergabe an einen anderen Dienstleister.

Was Kyvion Secure Access nach Anbieterangaben leistet

An dieser Stelle setzt Kyvion Secure Access an. Nach Angaben des Anbieters stellt die Lösung interne Anwendungen und Systeme über den Browser bereit, ohne RDP-, SSH- oder Anwendungsports direkt im Internet freizugeben. Sitzungen können je nach Einrichtung protokolliert und aufgezeichnet werden. Der Hersteller weist selbst darauf hin, dass die Rechte eines Dienstleisters weiterhin von der Konfiguration der Zielsysteme und den vergebenen Konten abhängen. Das Werkzeug verändert damit vor allem den Weg zum Zielsystem, nicht die Berechtigungsplanung dahinter. Angaben zu Preisen, Lizenzmodellen oder Verfügbarkeit enthält das vorliegende Material nicht.

Auch kleinere Unternehmen müssen nichts neu erfinden

Für kleinere Unternehmen ist der Ansatz ebenfalls relevant. Sie müssen für kontrollierte Fernwartung keine völlig neue Arbeitsweise einführen. Entscheidend ist, vorhandene Wartungsfälle einzeln anzusehen: Welche Software wird betreut, wer benötigt Zugriff, und erfolgt die Arbeit interaktiv auf einem Server oder genügt eine einzelne Anwendung? Aus den Antworten ergibt sich, wie weit eine Freigabe reichen muss und wo sie enden kann. Genügt die Arbeit an einer einzelnen Anwendung, spricht viel dafür, die Freigabe auf diese Anwendung zu begrenzen.

Wer diese Fragen für jeden Fall beantwortet, kann anschließend festlegen, wie lange ein Zugang gelten soll und wann er endet. Das muss nicht bei jedem Wartungsfall neu verhandelt werden. Sinnvoll ist, die wiederkehrenden Aufgaben einmal durchzugehen und daraus feste Regeln abzuleiten, an denen sich einzelne Freigaben dann orientieren.

Nachvollziehbarkeit gehört zur Freigabe dazu

Ein sicher gestalteter Fernzugang endet nicht bei der Anmeldung. Wenn später eine Störung untersucht wird oder ein Dienstleisterwechsel ansteht, muss erkennbar sein, welche Berechtigungen vergeben wurden und welche Sitzungen stattgefunden haben. Für besonders sensible administrative Tätigkeiten kann eine Sitzungsaufzeichnung sinnvoll sein. Sie ersetzt allerdings weder eine eindeutige Benutzerzuordnung noch passende Berechtigungen auf dem Zielsystem.

Michael Hochgesang, Geschäftsführer der Kyvion GmbH, formuliert den Ausgangspunkt so: Die entscheidende Frage laute nicht, wie ein Dienstleister möglichst schnell ins Netzwerk komme, sondern welches System er für seine konkrete Aufgabe erreichen müsse. „Wenn Unternehmen Fernwartung von dieser Aufgabe aus planen, werden Zugänge übersichtlicher und besser kontrollierbar“, sagt Hochgesang.

Bestehende Zugänge erfassen und eingrenzen

Für IT-Verantwortliche und Systemhäuser ergibt sich daraus ein überschaubarer Ausgangspunkt: bestehende Fernwartungszugänge erfassen, ihren Zweck prüfen und weitreichende Freigaben dort eingrenzen, wo nur einzelne Systeme benötigt werden. Aus einem historisch gewachsenen Zugang wird so ein bewusst geregelter Arbeitsweg. Weitere Informationen zum beschriebenen Ansatz bietet der Anbieter auf der Seite „Sicherer Fernzugriff ohne VPN“.