Privilegierte Zugriffe gehören zu den kritischsten Bereichen der IT-Sicherheit. Administratoren, IT-Dienstleister, Softwarebetreuer und externe Techniker benötigen regelmäßig Zugriff auf Server, Anwendungen und andere zentrale Systeme. Genau diese Zugänge besitzen jedoch häufig weitreichende Berechtigungen – und werden damit zu einem besonders attraktiven Angriffsziel.
Die klassische Antwort darauf lautet Privileged Access Management, kurz PAM. Große PAM-Plattformen können privilegierte Konten verwalten, Kennwörter schützen, Zugriffe kontrollieren und Sitzungen überwachen. Für große Unternehmen und komplexe Konzernstrukturen ist das sinnvoll. Im kleinen und mittleren Unternehmen sieht die Realität jedoch häufig anders aus.
Hier scheitert PAM nicht unbedingt an der technischen Notwendigkeit, sondern an Kosten, Komplexität und administrativem Aufwand.
Genau an dieser Stelle setzt Kyvion Secure Access an.
PAM muss kein Enterprise-Projekt sein
Die entscheidende Frage lautet nicht: „Brauchen wir ein PAM-System?“
Viel wichtiger ist die Frage: Welches konkrete Sicherheitsproblem wollen wir lösen?
In vielen mittelständischen Unternehmen ist die Situation erstaunlich ähnlich. Der interne Administrator benötigt RDP-Zugriff auf Windows-Server. Der externe IT-Dienstleister muss gelegentlich auf einen Server oder eine Verwaltungsoberfläche zugreifen. Ein Softwarehaus benötigt Zugriff auf einen Applikationsserver. Der Maschinenhersteller muss eine Steuerungs- oder Managementumgebung erreichen. Und für Linux-Systeme wird SSH benötigt.
Traditionell werden dafür VPN-Zugänge eingerichtet. Anschließend erhält der Benutzer Zugangsdaten für die jeweiligen Systeme.
Damit entsteht allerdings ein grundsätzliches Problem: Der Benutzer bekommt zunächst Zugang zum Netzwerk und anschließend häufig auch noch Kenntnis über privilegierte Zugangsdaten.
Aus einem eigentlich klar definierten Auftrag – beispielsweise „Wartung dieses Servers“ – wird damit ein wesentlich umfangreicherer Netzwerkzugriff.
Kyvion Secure Access dreht dieses Prinzip um.
Nicht das Netzwerk freigeben – sondern die benötigte Ressource
Mit Kyvion Secure Access kann einem Benutzer gezielt genau die Ressource zur Verfügung gestellt werden, die er für seine Aufgabe benötigt.
Der Zugriff erfolgt über den Browser. Je nach Zielsystem können beispielsweise RDP, SSH, VNC oder interne HTTP-/HTTPS-Anwendungen bereitgestellt werden.
Der Benutzer muss dafür nicht zwangsläufig direkten Netzwerkzugriff auf das Zielsystem erhalten.
Das ist ein wesentlicher Unterschied zu klassischen VPN-Konzepten.
Statt einem Dienstleister einen Zugang in ein Netzwerksegment einzurichten und anschließend mit Firewall-Regeln zu versuchen, dessen Bewegungsfreiheit wieder einzuschränken, wird von Anfang an nur die tatsächlich benötigte Anwendung oder Verbindung veröffentlicht.
Der Benutzer sieht nicht das Netzwerk. Er sieht seine freigegebene Ressource.
Damit wird aus einem Netzwerkzugang ein kontrollierter Anwendungszugang.
Privilegierte Kennwörter müssen nicht beim Benutzer liegen
Noch kritischer als der Netzwerkzugriff ist häufig der Umgang mit privilegierten Zugangsdaten.
In der Praxis kennen externe Dienstleister nicht selten lokale Administrator-Kennwörter, Service-Accounts oder andere privilegierte Credentials. Diese Zugangsdaten werden per E-Mail übermittelt, in Passwortmanagern gespeichert oder über Jahre hinweg nicht geändert, weil zahlreiche Personen und Dienstleister darauf angewiesen sind.
Damit verliert das Unternehmen zunehmend die Kontrolle darüber, wer ein privilegiertes Kennwort kennt und wo dieses gespeichert wurde.
Kyvion Secure Access ermöglicht eine klare Trennung zwischen dem Benutzer, der sich am Secure-Access-Portal anmeldet, und dem Konto, das tatsächlich für die Verbindung zum Zielsystem verwendet wird.
Das bedeutet: Der Dienstleister muss das administrative Kennwort des Zielsystems nicht kennen.
Er authentifiziert sich gegenüber Kyvion Secure Access und erhält die für ihn freigegebene Verbindung. Die Zugangsdaten für das Zielsystem können zentral hinterlegt und für den Verbindungsaufbau verwendet werden.
Damit wird eine der wichtigsten PAM-Ideen umgesetzt: privilegierte Zugangsdaten nicht unnötig an Personen weiterzugeben.
Besonders interessant für externe Dienstleister
Gerade beim Zugriff externer Dienstleister zeigt sich der Vorteil dieses Ansatzes.
Ein Unternehmen benötigt beispielsweise Unterstützung für eine ERP-Anwendung. Der Hersteller oder betreuende IT-Dienstleister soll deshalb auf den entsprechenden Windows-Server zugreifen können.
Klassisch würde dafür möglicherweise ein VPN-Account eingerichtet. Anschließend erhält der Dienstleister einen Windows-Account oder sogar administrative Zugangsdaten.
Damit entstehen gleich mehrere Fragen:
Wie weit reicht der VPN-Zugang? Welche anderen Systeme sind aus diesem Netzwerksegment erreichbar? Kennt der Dienstleister privilegierte Zugangsdaten? Können diese Zugangsdaten außerhalb des Unternehmens verwendet werden? Und lässt sich später nachvollziehen, was während einer Sitzung tatsächlich passiert ist?
Mit Kyvion Secure Access kann dieser Zugriff wesentlich gezielter organisiert werden.
Der externe Benutzer erhält Zugang zum Secure-Access-Portal und sieht dort ausschließlich die für ihn freigegebenen Ressourcen. Der Zugriff auf den Server erfolgt über den Browser. Die Credentials des Zielsystems müssen ihm nicht bekannt sein.
Das reduziert nicht nur die Angriffsfläche. Es macht die gesamte Berechtigungsstruktur wesentlich verständlicher.
Sitzungsaufzeichnung schafft Nachvollziehbarkeit
Privileged Access Management bedeutet nicht nur, einen Zugriff zu erlauben oder zu verhindern.
Bei besonders kritischen Systemen stellt sich zusätzlich die Frage:
Was ist während einer administrativen Sitzung passiert?
Kyvion Secure Access kann Sitzungen aufzeichnen. Damit entsteht eine zusätzliche Ebene der Nachvollziehbarkeit, die insbesondere bei externen Dienstleistern, Administratoren und besonders schützenswerten Systemen interessant ist.
Das ist nicht als permanentes Misstrauensinstrument gegenüber Administratoren zu verstehen. Vielmehr geht es darum, bei kritischen Zugriffen nachvollziehen zu können, wann eine Sitzung stattgefunden hat und welche Aktivitäten innerhalb der Sitzung durchgeführt wurden.
Gerade bei Support- und Wartungszugängen kann dies von erheblichem Wert sein.
Wenn nach einer Wartung beispielsweise eine Konfiguration verändert wurde oder ein System plötzlich ein ungewöhnliches Verhalten zeigt, kann eine Sitzungsaufzeichnung bei der Analyse helfen.
Aus einem anonymen „Da war gestern der Dienstleister drauf“ wird damit ein kontrollierbarer und nachvollziehbarer Prozess.
ReverseAgent: Kritische Systeme müssen nicht erreichbar gemacht werden
Eine weitere Herausforderung entsteht, wenn besonders geschützte Systeme überhaupt keinen direkten eingehenden Zugriff erhalten sollen.
Hier kommt der ReverseAgent von Kyvion Secure Access ins Spiel.
Der ReverseAgent kann innerhalb des geschützten Netzwerks betrieben werden und baut die benötigte Verbindung ausgehend zum Kyvion-Secure-Access-Gateway auf. Dadurch müssen für den Remote-Zugriff keine zusätzlichen eingehenden Verbindungen zum Zielnetzwerk geöffnet werden.
Das ist insbesondere für sensible Administrationsnetze, getrennte Servernetze oder andere besonders geschützte Bereiche interessant.
Das Prinzip ist einfach:
Nicht das Internet verbindet sich mit dem geschützten System – das geschützte Netzwerk initiiert die benötigte Verbindung nach außen.
In Kombination mit browserbasiertem Zugriff entsteht damit eine Architektur, bei der weder ein klassischer VPN-Zugang noch eine direkte Veröffentlichung des Zielsystems erforderlich sein muss.
RDP und SSH im Browser statt VPN
Viele privilegierte Zugriffe laufen letztlich über wenige Protokolle.
Windows-Administratoren verwenden RDP. Linux- und Netzwerkadministratoren arbeiten häufig mit SSH. Hinzu kommen VNC und webbasierte Administrationsoberflächen.
Genau hier kann Kyvion Secure Access seine Stärke ausspielen.
Diese Zugriffe können zentral über einen Webbrowser bereitgestellt werden. Auf dem Endgerät des Benutzers muss dadurch nicht zwangsläufig ein vollständiger Netzwerkzugang eingerichtet werden.
Das verändert auch die Sicherheitsarchitektur.
Der Browser wird zum kontrollierten Zugangspunkt für administrative Ressourcen.
Der Benutzer meldet sich an Kyvion Secure Access an, erhält seine freigegebenen Ressourcen und startet die benötigte Sitzung.
Browser auf. Anmelden. Freigegebene Ressource auswählen. Arbeiten.
Für viele mittelständische Unternehmen ist genau diese Einfachheit entscheidend.
Weniger Angriffsfläche statt immer mehr Sicherheitssoftware
IT-Sicherheit wird häufig dadurch umgesetzt, dass zusätzliche Produkte eingeführt werden.
Ein VPN für den Fernzugriff. Ein MFA-System zur Absicherung des VPN. Ein Passwortmanager für Administratoren. Eine PAM-Lösung für privilegierte Konten. Eine weitere Plattform für externe Dienstleister. Zusätzlich Logging, Monitoring und verschiedene Agents auf den Endgeräten.
Jede einzelne Lösung kann ihre Berechtigung haben.
Doch mit jeder zusätzlichen Komponente steigen auch Aufwand, Abhängigkeiten und Kosten.
Kyvion Secure Access verfolgt deshalb einen pragmatischeren Ansatz: Den Zugriff selbst stärker kontrollieren und die Angriffsfläche reduzieren.
Wenn ein externer Benutzer keinen vollständigen Netzwerkzugang benötigt, sollte er ihn auch nicht erhalten.
Wenn er ein privilegiertes Kennwort nicht kennen muss, sollte es ihm nicht mitgeteilt werden.
Wenn er lediglich einen bestimmten Server administrieren soll, sollte genau dieser Server bereitgestellt werden.
Und wenn der Zugriff sicherheitskritisch ist, sollte die Sitzung nachvollziehbar sein.
Das klingt selbstverständlich. In vielen IT-Umgebungen ist es das jedoch bis heute nicht.
So viel PAM wie nötig – ohne Enterprise-Komplexität
Kyvion Secure Access will keine hochkomplexe Enterprise-PAM-Plattform kopieren.
Große PAM-Suiten bieten Funktionen, die in internationalen Konzernen, großen Rechenzentren oder hochkomplexen DevOps-Umgebungen notwendig sein können. Dazu gehören beispielsweise umfangreiches Secrets Management, komplexe Genehmigungsworkflows, automatisierte Credential-Rotation über zahlreiche Plattformen oder tiefgreifende Identity-Governance-Prozesse.
Wer genau diese Funktionen benötigt, sollte eine entsprechende Enterprise-PAM-Lösung einsetzen.
Aber das ist nicht die Situation jedes Unternehmens.
Ein Handwerksunternehmen mit 80 Mitarbeitern, ein mittelständischer Maschinenbauer, eine Arztpraxis, ein Steuerberater, eine Kommune oder ein Unternehmen mit wenigen hundert Mitarbeitern hat häufig eine wesentlich konkretere Aufgabenstellung:
Wie verhindere ich, dass Administratoren und externe Dienstleister unnötig weitreichenden Zugriff auf mein Netzwerk und meine privilegierten Zugangsdaten erhalten?
Genau dafür braucht es nicht zwangsläufig ein PAM-Großprojekt.
PAM für den Mittelstand muss bezahlbar und beherrschbar bleiben
Eine Sicherheitslösung, die aufgrund ihrer Kosten oder Komplexität nicht eingeführt wird, erhöht die Sicherheit nicht.
Das ist eines der grundlegenden Probleme vieler Enterprise-Security-Konzepte im Mittelstand.
Die theoretisch perfekte Lösung hilft wenig, wenn ihre Einführung monatelange Projekte, umfangreiche Zertifizierungen, zusätzliche Spezialisten und erhebliche Lizenzbudgets erfordert.
Kyvion Secure Access verfolgt deshalb einen anderen Ansatz.
Die Plattform konzentriert sich auf den kontrollierten Zugriff auf interne Ressourcen und verbindet dabei mehrere zentrale Sicherheitsmechanismen: browserbasierten Remote Access, granulare Berechtigungen, die Trennung zwischen Benutzer und Zielsystemkonto, die Möglichkeit zur Sitzungsaufzeichnung und – über den ReverseAgent – den Zugriff auf geschützte Netzwerke ohne zusätzliche eingehende Verbindungen.
Damit lassen sich wesentliche Anforderungen rund um privilegierte Zugriffe umsetzen, ohne daraus zwangsläufig ein Enterprise-Projekt zu machen.
Nicht jeder braucht CyberArk, BeyondTrust oder Delinea
Die bekannten PAM-Plattformen haben ihre Berechtigung. Sie adressieren große und komplexe IT-Umgebungen und bieten entsprechend umfangreiche Funktionen.
Doch die entscheidende Frage für ein mittelständisches Unternehmen lautet nicht, welches PAM-System die längste Feature-Liste besitzt.
Die Frage lautet:
Welche Funktionen benötigen wir tatsächlich, um unsere privilegierten Zugriffe deutlich sicherer zu machen?
Wenn die Antwort lautet, dass Administratoren und Dienstleister kontrolliert auf RDP-, SSH-, VNC- oder Web-Ressourcen zugreifen sollen, dass Zielsystem-Passwörter nicht weitergegeben werden sollen und dass kritische Sitzungen nachvollziehbar sein müssen, dann lohnt sich ein Blick auf einen schlankeren Ansatz.
Denn PAM muss nicht mit einem sechsstelligen Projekt beginnen.
Es kann mit einer viel einfacheren Entscheidung beginnen:
Wir geben nicht mehr jedem Benutzer Netzwerkzugriff und privilegierte Kennwörter, nur weil er einen Server administrieren muss.
Kyvion Secure Access: Privilegierter Zugriff auf das Wesentliche reduziert
Der wichtigste Sicherheitsgewinn entsteht häufig nicht durch immer mehr Funktionen, sondern durch konsequente Reduktion.
Weniger erreichbare Systeme. Weniger offene Zugangswege. Weniger bekannte Administrator-Kennwörter. Weniger unnötige Netzwerkberechtigungen. Mehr Kontrolle darüber, wer auf welche Ressource zugreifen darf.
Genau hier positioniert sich Kyvion Secure Access.
Nicht als überdimensionierte PAM-Suite für internationale Großkonzerne, sondern als pragmatische Plattform für Unternehmen, die privilegierte Zugriffe endlich kontrollieren möchten, ohne daraus ein eigenes Großprojekt zu machen.
PAM muss nicht teuer sein. PAM muss vor allem dafür sorgen, dass der richtige Benutzer zur richtigen Zeit auf die richtige Ressource zugreifen kann – und nicht weiter.
Für viele kleine und mittelständische Unternehmen kann genau das der entscheidende Schritt sein, um aus historisch gewachsenen VPN-, Passwort- und Administratorzugängen eine moderne und kontrollierbare Zugriffsarchitektur zu machen.
