Das Secure Shell Protocol gilt als sicher – doch reicht das heute noch aus?
SSH (Secure Shell) gehört seit vielen Jahren zu den wichtigsten Werkzeugen für die sichere Administration von Linux- und Unix-Systemen sowie zahlreicher Netzwerkkomponenten. Administratoren nutzen SSH täglich, um Server zu konfigurieren, Updates einzuspielen oder Fehler zu beheben. Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt den Einsatz von SSH ausdrücklich, sofern aktuelle kryptographische Verfahren verwendet und die Systeme sicher konfiguriert werden.
Doch die Anforderungen an einen sicheren Fernzugriff haben sich verändert. Unternehmen müssen heute nicht nur die Verschlüsselung einer Verbindung betrachten, sondern den gesamten Administrationsprozess absichern. Fragen wie „Wer darf wann auf welchen Server zugreifen?“, „Wie werden externe Dienstleister kontrolliert?“ oder „Wie lassen sich Administratorzugriffe nachvollziehen?“ gewinnen zunehmend an Bedeutung.
Genau an dieser Stelle ergänzt Kyvion Secure Access die Empfehlungen des BSI und erweitert den sicheren SSH-Zugriff um Funktionen, die in modernen IT-Umgebungen heute unverzichtbar sind.
Das BSI empfiehlt den sicheren Einsatz von SSH
In seinen technischen Richtlinien und Grundschutz-Bausteinen beschreibt das BSI SSH als bewährtes und sicheres Protokoll für administrative Fernzugriffe. Dabei stehen vor allem aktuelle Verschlüsselungsverfahren, starke Authentifizierungsmechanismen sowie eine sichere Konfiguration der SSH-Server im Mittelpunkt.
Ebenso empfiehlt das BSI, veraltete Protokollversionen nicht mehr einzusetzen und ausschließlich moderne kryptographische Verfahren zu verwenden. Darüber hinaus sollen Administratoren klare Berechtigungskonzepte etablieren, Fernwartungszugriffe dokumentieren und organisatorische Maßnahmen schaffen, um Missbrauch zu verhindern.
Diese Empfehlungen bilden die Grundlage für eine sichere SSH-Infrastruktur. Gleichzeitig konzentrieren sie sich überwiegend auf das Protokoll selbst und weniger auf die gesamte Zugriffsarchitektur.
Sichere Verschlüsselung allein schützt noch keinen Administratorzugriff
Ein häufiges Missverständnis besteht darin, dass ein sicher verschlüsselter SSH-Tunnel automatisch einen sicheren Fernzugriff bedeutet. Tatsächlich schützt SSH die Kommunikation zwischen Client und Server hervorragend. Viele Risiken entstehen jedoch bereits vor oder nach dem eigentlichen Verbindungsaufbau.
In zahlreichen Unternehmen werden private SSH-Schlüssel auf Administrator-Notebooks gespeichert. Externe Dienstleister besitzen häufig dauerhafte Zugänge zu produktiven Systemen. Root-Passwörter werden zwischen mehreren Personen geteilt oder Administratoren greifen über VPN-Verbindungen auf interne Netze zu, in denen anschließend nahezu uneingeschränkter Netzwerkzugriff besteht.
Diese Szenarien widersprechen zwar nicht dem SSH-Protokoll selbst, erhöhen jedoch das organisatorische Sicherheitsrisiko erheblich. Genau hier setzt ein moderner Zero-Trust-Ansatz an.
Browserbasierter SSH-Zugriff ohne installierten SSH-Client
Mit Kyvion Secure Access erfolgt der Zugriff auf SSH-Systeme vollständig über einen Webbrowser. Administratoren benötigen weder PuTTY noch einen lokal installierten OpenSSH-Client oder individuell konfigurierte SSH-Schlüssel auf ihren Arbeitsplatzrechnern.
Nach erfolgreicher Authentifizierung – beispielsweise über Microsoft Entra ID, Active Directory oder eine Multi-Faktor-Authentifizierung – wird die SSH-Sitzung direkt im Browser bereitgestellt. Die eigentliche SSH-Verbindung zum Zielsystem bleibt dabei vollständig erhalten und nutzt weiterhin die vom BSI empfohlenen Sicherheitsmechanismen.
Für den Administrator entsteht ein deutlich einfacherer und gleichzeitig besser kontrollierbarer Zugriff, ohne auf die Sicherheit des SSH-Protokolls verzichten zu müssen.
Keine offenen SSH-Ports im Internet
Ein weiterer wesentlicher Unterschied betrifft die Netzwerkarchitektur.
Klassische SSH-Zugriffe setzen häufig einen erreichbaren SSH-Port oder eine VPN-Verbindung voraus. Beide Varianten vergrößern die Angriffsfläche eines Unternehmens und erfordern zusätzliche Infrastruktur.
Kyvion Secure Access verfolgt einen anderen Ansatz. Über den Reverse Agent baut das Zielsystem ausschließlich eine ausgehende, verschlüsselte Verbindung zum Kyvion-Gateway auf. Eingehende Verbindungen auf Port 22 sind nicht erforderlich. Die SSH-Server bleiben dadurch vollständig verborgen und sind aus dem Internet nicht direkt erreichbar.
Gerade dieser Ansatz unterstützt die allgemeinen Sicherheitsprinzipien des BSI, Angriffsflächen konsequent zu reduzieren und Fernwartungszugänge möglichst restriktiv bereitzustellen.
Mehr Kontrolle über Administratoren und externe Dienstleister
Während SSH die Verbindung schützt, ermöglicht Kyvion Secure Access eine zentrale Steuerung der Zugriffe.
Unternehmen können exakt festlegen, welcher Benutzer welche Systeme erreichen darf. Rollen und Berechtigungen lassen sich zentral verwalten, Multi-Faktor-Authentifizierung kann verpflichtend eingesetzt werden und sämtliche Sitzungen werden revisionssicher protokolliert.
Besonders interessant ist dies für externe Dienstleister. Anstatt VPN-Zugänge oder SSH-Schlüssel dauerhaft bereitzustellen, erhalten sie ausschließlich Zugriff auf die freigegebenen Systeme und nur für den vorgesehenen Zeitraum. Nach Abschluss der Arbeiten kann die Berechtigung sofort wieder entzogen werden.
Dadurch sinkt das Risiko dauerhaft bestehender Administrationszugänge erheblich.
Nachvollziehbarkeit und Compliance
Das BSI empfiehlt, Fernwartungszugriffe nachvollziehbar zu dokumentieren und Verantwortlichkeiten eindeutig festzulegen.
Kyvion Secure Access unterstützt Unternehmen dabei durch umfassende Protokollierungsfunktionen. Administratoren können nachvollziehen, welcher Benutzer sich wann angemeldet hat, welche Systeme genutzt wurden und wie lange eine Sitzung dauerte. Optional lassen sich Administrationssitzungen sogar vollständig aufzeichnen.
Gerade im Hinblick auf Compliance-Anforderungen, ISO-27001-Projekte oder interne Sicherheitsrichtlinien entsteht dadurch ein erheblicher Mehrwert gegenüber einem klassischen SSH-Zugriff.
SSH bleibt – der Zugang wird moderner
SSH gehört auch künftig zu den wichtigsten Protokollen für die Administration von IT-Systemen. Die Empfehlungen des BSI zeigen deutlich, wie wichtig eine sichere Konfiguration und moderne Verschlüsselungsverfahren sind.
Ebenso deutlich wird jedoch, dass Unternehmen heute mehr benötigen als ein sicheres Protokoll. Moderne Fernzugriffe verlangen zentrale Authentifizierung, rollenbasierte Berechtigungen, revisionssichere Protokollierung und möglichst kleine Angriffsflächen.
Kyvion Secure Access ersetzt SSH deshalb nicht – vielmehr ergänzt die Lösung das bewährte Protokoll um einen modernen Zero-Trust-Zugriff. Administratoren arbeiten weiterhin mit SSH, Unternehmen gewinnen jedoch zusätzliche Kontrolle, höhere Transparenz und deutlich mehr Sicherheit. Für viele Organisationen ist genau diese Kombination der nächste logische Schritt zu einer zeitgemäßen und BSI-konformen Fernwartungsstrategie.
Fazit
Die Empfehlungen des BSI bilden eine ausgezeichnete Grundlage für den sicheren Einsatz von SSH. Wer jedoch den gesamten Administrationsprozess absichern möchte, sollte den Blick über das Protokoll hinaus richten. Browserbasierter Zugriff, zentrale Authentifizierung, Multi-Faktor-Authentifizierung, keine offenen SSH-Ports, revisionssichere Protokollierung und eine feingranulare Rechteverwaltung schaffen zusätzliche Sicherheit, ohne bestehende SSH-Infrastrukturen verändern zu müssen.
Kyvion Secure Access verbindet diese Anforderungen mit der bewährten Sicherheit von SSH und ermöglicht Unternehmen einen modernen, kontrollierten und komfortablen Fernzugriff – vollständig über den Browser und ohne klassische VPN-Infrastruktur.
