Startseite > Security > »Das lokale Admin-Konto wird als Risikoquelle unterschätzt«

CRN-Interview mit Stefan Volmari von Citrix

»Das lokale Admin-Konto wird als Risikoquelle unterschätzt«

12. April 2018, 11:10 Uhr | Daniel Dubsky

Fortsetzung des Artikels von Teil 1

»Viele Mitarbeiter fühlen sich bei Fragen der IT-Sicherheit nicht angesprochen«

CRN: Was kann man tun, um sich zu schützen?

Volmari: Eine Randomisierung von Passwörtern hilft insofern, als dass für jeden Domain-Computer automatisch Zufallspasswörter generiert werden. Dadurch ist es Hackern selbst nach Cracken eines lokalen Admin-Passworts nicht mehr möglich, automatisch auch auf andere Domain-Konten zuzugreifen. Local Administrator Password Solution, kurz LAPS, von Microsoft ist eine der allgemein verfügbare Lösung, welche die Group Policy Engine für die Generierung und Vergabe von zufallsgenerierten Passwörtern nutzt. Dank der Access Control Lists wird LAPS vor unautorisierten Zugriffen geschützt. Dabei wird jedes Passwort sowohl auf dem lokalen Rechner als auch zentral im Active Directory gespeichert. Jedes Passwort ist an genau zwei Orten gespeichert, dem lokalen Rechner und zentral im Active Directory. Die Komplexität und Gültigkeitsdauer der Passwörter wird in der Group Policy festgelegt. Die Zugriffs- und Leserechte können via Client-Anwendungen verwaltet werden. Beispielsweise können Domain-Admins in PowerShell cdmlet diese Rechte definieren.

CRN: Warum ist es darüber hinaus sinnvoll, auf eine dedizierte IAM- bzw. PAM-Lösung zu setzen?

Volmari: Die Mitarbeiter müssen immer mitgedacht werden. Viele fühlen sich bei Fragen der IT-Sicherheit nach wie vor nicht angesprochen. Ihr Verhalten passt sich daher auch nicht möglichen Sicherheitsrisiken an. Diese Risikoquelle kann zum Beispiel durch die zentrale Verwaltung und Einschränkung von Zugriffsrechten und Logins über Single Sign-on reduziert werden.

Dedizierte IAM- beziehungsweise PAM-Lösungen verbessern die allgemeine IT-Sicherheit dank identitätsbasierter Zugriffsmechanismen. Die Identitäten werden zentral verwaltet, was es Angreifern schwerer macht, sich Zugriff auf die Unternehmenssysteme zu verschaffen. Zudem können System-Administratoren den Identitäten basierend auf ihrer Rolle im Unternehmen unterschiedliche Zugriffsrechte zuweisen, wodurch die Gefahr, dass ein Angreifer Zugriff auf alle oder sensible Daten erhält, stark eingeschränkt wird.