Die Warenwirtschaft meldet einen Fehler. Ein Update auf dem Server steht an. Oder der Hersteller einer Fachanwendung soll eine Einstellung prüfen. Für viele mittelständische Unternehmen gehört die Zusammenarbeit mit externen IT-Dienstleistern zum Alltag. Ohne Systemhaus, Softwarepartner oder technischen Support ließen sich zahlreiche Aufgaben kaum bewältigen.
Damit diese Partner helfen können, benötigen sie Zugriff. Oft muss es schnell gehen, weil Mitarbeiter nicht weiterarbeiten können oder ein wichtiger Prozess stillsteht. Der Fernzugang soll funktionieren, der richtige Ansprechpartner muss auf das betroffene System gelangen und das Problem möglichst zügig beheben.
In dieser Situation rücken zwei Fragen leicht in den Hintergrund: Wie weit reicht der eingerichtete Zugang? Und wie lange bleibt er bestehen?
Genau diese Fragen entscheiden jedoch darüber, ob aus einer notwendigen Unterstützung eine dauerhaft zu großzügige Berechtigung wird. Ein Dienstleister, der heute einen Anwendungsserver warten soll, braucht deshalb nicht automatisch Zugang zu weiteren Systemen. Und ein einmaliger Supportauftrag rechtfertigt nicht ohne Weiteres einen dauerhaft verfügbaren Zugang.
Ein Wartungsauftrag sollte den Umfang des Zugriffs bestimmen
Externe IT-Partner übernehmen sehr unterschiedliche Aufgaben. Das betreuende Systemhaus benötigt möglicherweise regelmäßigen administrativen Zugriff auf mehrere Server. Der Anbieter einer Buchhaltungssoftware muss dagegen nur seine Anwendung und die zugehörige Umgebung erreichen. Ein weiterer Dienstleister unterstützt gelegentlich bei einer Datenbank oder einer technischen Anlage.
Diese Unterschiede sollten sich in den Zugriffsrechten widerspiegeln. Maßgeblich ist die konkrete Tätigkeit: Welches System muss die Person erreichen? Welche Rechte benötigt sie dort? Und für welchen Zeitraum ist der Zugriff erforderlich?
Ein klar abgegrenzter Zugang hilft beiden Seiten. Das Unternehmen behält die Kontrolle über seine Umgebung. Der Dienstleister erhält einen nachvollziehbaren Arbeitsbereich und muss sich nicht durch Systeme bewegen, die mit seinem Auftrag nichts zu tun haben.
Dabei bedeutet eine Begrenzung des Zugriffs keineswegs, dem Partner grundsätzlich zu misstrauen. Sie gehört zu einer professionellen Zusammenarbeit. Auch ein sorgfältig arbeitendes Systemhaus kann von gestohlenen Zugangsdaten oder einem kompromittierten Endgerät betroffen sein. Je genauer die Berechtigungen zum Auftrag passen, desto weniger zusätzliche Möglichkeiten eröffnet ein solcher Vorfall über den eingerichteten Zugang.
Aus einer schnellen Freigabe wird häufig ein dauerhafter Zugang
Viele Berechtigungen entstehen unter Zeitdruck. Der Softwareanbieter benötigt dringend Zugriff, also richtet die IT einen Zugang ein. Nach erfolgreicher Wartung läuft die Anwendung wieder und das Tagesgeschäft geht weiter. Der Zugang bleibt bestehen, weil ihn beim nächsten Problem vielleicht jemand erneut braucht.
Über die Jahre sammeln sich so Konten und Freigaben an. Manche gehören zu aktiven Partnern, andere zu früheren Ansprechpartnern oder längst abgeschlossenen Projekten. Nicht immer ist noch erkennbar, wer den Zugang verwendet und welchem Zweck er dient.
Besonders schwierig wird es, wenn mehrere Personen dasselbe Konto nutzen. Dann lässt sich eine Anmeldung zwar einem Dienstleister zuordnen, aber möglicherweise keiner konkreten Person. Wechselt dort ein Mitarbeiter, erfährt das beauftragende Unternehmen davon unter Umständen nichts. Die Zugangsdaten bleiben trotzdem gültig.
Personenbezogene Zugänge schaffen hier eine bessere Grundlage. Wenn sich jeder berechtigte Ansprechpartner mit einem eigenen Konto anmeldet, können Unternehmen Berechtigungen gezielter vergeben und wieder entziehen. Voraussetzung ist, dass auch organisatorisch geklärt bleibt, welche Personen beim jeweiligen Partner aktuell zuständig sind.
Der Zugang zur Ressource und die Rechte auf dem System gehören zusammen
Ein sicherer Wartungszugang besteht aus mehreren Ebenen. Zunächst muss feststehen, wer sich anmelden darf. Anschließend stellt sich die Frage, welche Ressource diese Person erreichen kann. Innerhalb des Zielsystems entscheiden schließlich die dort vergebenen Rechte darüber, welche Tätigkeiten möglich sind.
Diese Ebenen müssen zusammenpassen. Ein auf einen einzelnen Server begrenzter Zugang kann sinnvoll sein. Besitzt der Benutzer auf diesem Server jedoch umfassende Administratorrechte, eröffnet die Sitzung weiterhin weitreichende Möglichkeiten. Dazu können auch Verbindungen gehören, die vom Zielserver aus zu anderen Systemen möglich sind.
Deshalb genügt es nicht, lediglich das sichtbare Ziel im Zugangsportal festzulegen. Auch die Benutzerrechte, die Netzwerkanbindung des Zielsystems und dessen Sicherheitszustand gehören zur Betrachtung. Ein Wartungspartner sollte die Rechte erhalten, die seine Aufgabe erfordert. Wo administrative Befugnisse notwendig sind, sollten sie bewusst vergeben und entsprechend behandelt werden.
Gerade im Mittelstand schafft diese Betrachtung mehr Klarheit. Statt pauschal über einen „externen Zugang“ zu sprechen, lässt sich präzise beschreiben, welche Tätigkeit auf welchem System erlaubt sein soll.
Mit Kyvion Secure Access ausgewählte Wartungsziele bereitstellen
Kyvion Secure Access ermöglicht es, externen Partnern ausgewählte Anwendungen und Systeme über den Browser bereitzustellen. Je nach Aufgabe kann das beispielsweise eine RDP-Sitzung auf einem Windows-Server, ein SSH-Zugang oder eine interne Webanwendung sein.
Der Dienstleister meldet sich am zentralen Zugang an und erhält die ihm zugewiesenen Ressourcen. Für diese bereitgestellten Sitzungen benötigt er keinen VPN-Zugang auf seinem Endgerät. Damit lässt sich die Zusammenarbeit stärker auf konkrete Wartungsziele ausrichten.
Für einen Softwarepartner kann beispielsweise ausschließlich der zugehörige Anwendungsserver bereitgestellt werden. Das betreuende Systemhaus erhält dagegen die Verwaltungsziele, die es für seine laufenden Aufgaben benötigt. Unterschiedliche Partner müssen dadurch nicht denselben Zugangsumfang besitzen.
Der Browserzugriff vereinfacht außerdem die Nutzung auf wechselnden Arbeitsplätzen. Entscheidend bleibt dabei die Absicherung der Anmeldung. Personenbezogene Konten und eine passend eingerichtete Mehrfaktor-Authentifizierung tragen dazu bei, den Zugang abzusichern. Sie ergänzen die gezielte Ressourcenzuweisung und die Berechtigungen auf den Zielsystemen.
Ein Zugang braucht auch ein Ende
Neben dem Umfang verdient die Dauer einer Berechtigung besondere Aufmerksamkeit. Ein Projekt hat einen Abschluss, ein Wartungsvertrag kann auslaufen und ein bestimmter Supportauftrag ist irgendwann erledigt. Der zugehörige Zugang sollte diesen Veränderungen folgen.
Zeitlich begrenzte Berechtigungen helfen dabei, den vorgesehenen Nutzungszeitraum abzubilden. Kyvion Secure Access bietet die Möglichkeit, Berechtigungen zeitlich zu begrenzen. Das ist insbesondere dann sinnvoll, wenn ein Partner nur während eines Projekts oder für einen abgegrenzten Zeitraum Zugriff benötigt.
Bei einer dauerhaften Betreuung kann ein länger bestehender Zugang erforderlich sein. Auch dann sollten Unternehmen regelmäßig prüfen, ob die berechtigten Personen, die erreichbaren Systeme und die vergebenen Rechte noch zum aktuellen Auftrag passen.
Wichtig ist außerdem die Unterscheidung zwischen einer befristeten Berechtigung und einer bereits laufenden Sitzung. Welche Wirkung eine zeitliche Grenze auf aktive Verbindungen hat, muss für die konkrete Konfiguration geprüft werden. Unternehmen sollten daher genau festlegen, welches Verhalten sie benötigen und wie dieses technisch umgesetzt wird.
Eine zeitliche Begrenzung entfaltet ihren Nutzen vor allem dann, wenn sie Teil eines klaren Ablaufs ist. Wer einen Zugang beauftragt, sollte auch dessen Zweck und vorgesehenen Zeitraum benennen. So wird das Ende der Berechtigung bereits bei der Einrichtung berücksichtigt.
Nachvollziehbarkeit hilft bei Support und Verantwortung
Bei administrativen Arbeiten können kleine Änderungen große Auswirkungen haben. Nach einer Wartung startet ein Dienst nicht mehr, eine Anwendung verhält sich anders oder eine Einstellung lässt sich nicht unmittelbar erklären. Dann ist es hilfreich, den Ablauf der Sitzung nachvollziehen zu können.
Kyvion Secure Access kann unterstützte Sitzungen grafisch aufzeichnen. Eine solche Aufzeichnung kann zeigen, welche sichtbaren Schritte während der Sitzung erfolgt sind. Das unterstützt die Fehlersuche und kann helfen, Rückfragen zwischen Unternehmen und Dienstleister zu klären.
Eine grafische Sitzungsaufzeichnung ersetzt jedoch kein vollständiges technisches Ereignisprotokoll. Hintergrundprozesse, automatisierte Abläufe oder sämtliche Veränderungen innerhalb des Systems lassen sich daraus nicht zwangsläufig ableiten. Für eine umfassendere Betrachtung können deshalb zusätzlich die Protokolle der Zielsysteme erforderlich sein.
Auch der Umgang mit Aufzeichnungen muss geregelt sein. Beteiligte sollten wissen, ob eine Sitzung aufgezeichnet wird, welchem Zweck dies dient und wer die Aufzeichnung einsehen darf. Aufbewahrung und Nutzung müssen die geltenden Datenschutz- und gegebenenfalls Mitbestimmungsanforderungen berücksichtigen.
Wenn diese Rahmenbedingungen geklärt sind, kann Nachvollziehbarkeit die Zusammenarbeit erleichtern. Sie schafft eine gemeinsame Grundlage, um technische Abläufe zu verstehen und Probleme sachlich aufzuklären.
Interne Wartungsdienste müssen nicht direkt im Internet stehen
Bei der Einrichtung externer Zugänge stellt sich außerdem die Frage, welche Dienste von außen erreichbar sein müssen. Einen RDP-Dienst oder eine Verwaltungsoberfläche direkt ins Internet zu veröffentlichen, schafft einen unmittelbaren Zugangspunkt zum betreffenden System.
Mit dem Reverse Agent lässt sich eine Architektur umsetzen, bei der eine ausgehende Verbindung aus dem internen Netz zum KSA-Gateway aufgebaut wird. Die darüber angebundenen Zielsysteme benötigen keine eigene eingehende Freigabe aus dem Internet. Der Dienstleister nutzt den zentralen Zugang, über den die vorgesehenen Ressourcen bereitgestellt werden.
Damit kann die direkte Erreichbarkeit interner Wartungsdienste reduziert werden. Das Gateway selbst muss entsprechend geschützt, gepflegt und überwacht werden. Ebenso benötigen die internen Systeme weiterhin aktuelle Software und passende Sicherheitsmaßnahmen.
Für Unternehmen mit mehreren externen Partnern bietet ein zentraler Zugang zudem eine gemeinsame Stelle zur Verwaltung der bereitgestellten Ressourcen. Das erleichtert den Überblick, sofern die Zuständigkeiten und Berechtigungen konsequent gepflegt werden.
Kontrollierter Dienstleisterzugriff muss im Alltag funktionieren
Ein Zugriffskonzept hilft nur, wenn es auch unter Zeitdruck praktikabel bleibt. Sind die Abläufe zu umständlich, entstehen schnell zusätzliche Freigaben und improvisierte Zugänge. Deshalb sollte ein Unternehmen die regelmäßig benötigten Wartungsfälle frühzeitig mit seinen Partnern abstimmen.
Wenn bereits feststeht, welche Personen welche Systeme betreuen, lässt sich ein Supportfall schneller bearbeiten. Der Dienstleister kennt seinen Zugangsweg und die zuständige Person im Unternehmen weiß, welchen Umfang sie bereitstellt. Bei Bedarf können Berechtigungen angepasst werden, ohne dass jedes Mal eine neue Grundsatzentscheidung nötig ist.
Kyvion Secure Access unterstützt diesen Ansatz durch browserbasierte Zugänge zu ausgewählten Ressourcen. Zeitlich begrenzbare Berechtigungen und grafische Aufzeichnungen unterstützter Sitzungen können das Konzept ergänzen. Die Grundlage bleibt eine klare Zuordnung von Person, Aufgabe, Zielsystem und erforderlichen Rechten.
Externe IT-Dienstleister leisten einen wichtigen Beitrag zum sicheren und zuverlässigen Betrieb. Ein gut organisierter Zugang ermöglicht ihnen, ihre Arbeit wirksam zu erledigen, und gibt dem Unternehmen zugleich Kontrolle über die eigene Infrastruktur.
Sie möchten die Zugänge Ihrer externen IT-Partner übersichtlicher gestalten? Kyvion unterstützt Sie dabei, Wartungszugriffe auf die benötigten Systeme auszurichten und passende Berechtigungen für Ihre Zusammenarbeit einzurichten.
Hier unverbindlich anfragen!
