Ihre Firewall schützt das Netzwerk. Doch wer kontrolliert, was nach der Anmeldung erreichbar ist? Diese Frage betrifft viele mittelständische Unternehmen. Sie investieren in Sicherheitslösungen, halten ihre Systeme aktuell und sichern den Fernzugriff ab. Trotzdem bleibt häufig unklar, welche Anwendungen, Server und Verwaltungsoberflächen ein angemeldeter Benutzer tatsächlich erreichen kann.
Im Arbeitsalltag fällt diese Lücke kaum auf. Mitarbeiter greifen auf ihre Anwendungen zu, das Systemhaus wartet die Server und der Softwareanbieter unterstützt bei Problemen mit der Warenwirtschaft. Solange alles funktioniert, gibt es wenig Anlass, die bestehenden Zugänge zu hinterfragen. Kritisch wird es, wenn Berechtigungen über den eigentlichen Bedarf hinausgehen, alte Zugänge bestehen bleiben oder ein Benutzerkonto in falsche Hände gerät.
Für Unternehmen lohnt sich deshalb ein genauerer Blick auf den Zugriff hinter der Firewall. Denn eine erlaubte Verbindung beantwortet noch nicht die Frage, ob der Benutzer ausschließlich die Systeme erreicht, die er für seine Aufgabe benötigt.
Eine sichere Verbindung braucht ein klar definiertes Ziel
Ein typischer Fall: Ein externer Dienstleister soll eine Fachanwendung auf einem bestimmten Server warten. Dafür erhält er einen Fernzugang zum Unternehmensnetzwerk. Die Verbindung ist verschlüsselt, die Anmeldung abgesichert und die Firewall erlaubt den Zugriff nach den eingerichteten Regeln.
Entscheidend ist nun, wie eng diese Regeln gefasst sind. Kann der Dienstleister ausschließlich den vorgesehenen Server erreichen? Oder stehen ihm weitere Systeme und Dienste offen, die mit seinem Auftrag nichts zu tun haben?
Ein sorgfältig konfigurierter VPN-Zugang kann solche Zugriffe begrenzen. Dazu müssen jedoch Benutzerberechtigungen, Firewall-Regeln, Netzwerksegmente und Zielsysteme zusammenpassen. Mit jeder zusätzlichen Ausnahme steigt der Pflegeaufwand. Gerade in gewachsenen Umgebungen bleibt eine einmal eingerichtete Freigabe deshalb oft länger und umfangreicher bestehen, als ursprünglich vorgesehen.
Wer lediglich eine bestimmte Anwendung nutzen oder einen einzelnen Server administrieren soll, braucht einen Zugang, dessen Umfang genau zu dieser Aufgabe passt. Das macht Berechtigungen verständlicher und erleichtert ihre spätere Überprüfung.
Im Mittelstand wachsen Zugänge mit dem Alltag
Die meisten Unternehmen planen ihre Zugriffsstruktur nicht auf einer leeren Fläche. Sie entwickeln sie über Jahre hinweg. Neue Anwendungen kommen hinzu, Mitarbeiter wechseln ihre Aufgaben und unterschiedliche Dienstleister übernehmen einzelne Bereiche der IT.
Unter Zeitdruck entstehen pragmatische Lösungen. Ein Supportfall muss schnell behoben werden, eine neue Niederlassung benötigt Zugriff oder ein Mitarbeiter soll kurzfristig von zu Hause arbeiten. Der Zugang funktioniert, die Aufgabe ist erledigt und die Berechtigung bleibt bestehen.
So können sich Freigaben ansammeln, deren ursprünglicher Zweck später kaum noch nachvollziehbar ist. Auch technisch saubere Einzelentscheidungen ergeben dabei nicht automatisch ein übersichtliches Gesamtkonzept. Eine Firewall-Regel kennt ihren damaligen geschäftlichen Anlass nicht. Und ein vorhandenes Benutzerkonto sagt wenig darüber aus, ob der betreffende Dienstleister heute noch Zugriff benötigt.
Die zentrale Frage lautet daher: Wer braucht für welche Aufgabe Zugang zu welchem System? Erst wenn diese Zuordnung klar ist, lassen sich technische Regeln sinnvoll daran ausrichten.
Die Firewall und die Zugriffslösung erfüllen unterschiedliche Aufgaben
Die Firewall bleibt ein wichtiger Bestandteil der Sicherheitsarchitektur. Sie kontrolliert den Datenverkehr zwischen Netzen und kann Verbindungen nach festgelegten Regeln erlauben oder blockieren. Je nach Ausstattung und Konfiguration übernimmt sie weitere Schutzfunktionen.
Eine Zugriffslösung setzt an der Nutzung einzelner Ressourcen an. Sie stellt einem Benutzer die Anwendungen oder Systeme bereit, für die er eine Berechtigung besitzt. Damit lässt sich der Fernzugriff stärker an der konkreten Tätigkeit ausrichten.
Für einen Mitarbeiter kann das der Zugriff auf seine Warenwirtschaft sein. Ein Softwarepartner benötigt möglicherweise eine Sitzung auf dem zugehörigen Anwendungsserver. Ein Administrator braucht Zugriff auf ausgewählte Verwaltungsziele. Diese Aufgaben unterscheiden sich erheblich und sollten sich auch in den Berechtigungen widerspiegeln.
Eine solche Zuordnung hilft sowohl bei der Einrichtung als auch im laufenden Betrieb. Verantwortliche können leichter erkennen, warum ein Zugang existiert und welchen Umfang er hat. Bei einem Aufgabenwechsel oder dem Ende einer Zusammenarbeit lässt sich gezielter prüfen, welche Berechtigungen angepasst werden müssen.
Mit Kyvion Secure Access ausgewählte Ressourcen bereitstellen
Kyvion Secure Access ermöglicht den browserbasierten Zugriff auf freigegebene Anwendungen und Systeme. Je nach Einsatzszenario können Benutzer beispielsweise eine Windows-Anwendung bedienen, eine RDP-Sitzung öffnen, über SSH administrieren oder auf eine interne Webanwendung zugreifen.
Der Benutzer meldet sich am zentralen Zugang an und erhält die ihm zugewiesenen Ressourcen. Für die bereitgestellten Anwendungen und Sitzungen benötigt er keinen VPN-Zugang auf seinem Endgerät. Dadurch können Unternehmen den Fernzugriff auf konkrete Ziele ausrichten und den Aufwand für die Einrichtung auf wechselnden Endgeräten reduzieren.
Das ist besonders für externe Dienstleister hilfreich. Der Zugang kann auf den vorgesehenen Wartungszweck zugeschnitten werden, statt zunächst eine allgemeine Verbindung zur Unternehmensumgebung herzustellen. Ebenso können Mitarbeiter ihre freigegebenen Anwendungen über den Browser nutzen, ohne dass dafür die Anwendung selbst auf jedem Endgerät installiert sein muss.
Wie eng der Zugriff tatsächlich begrenzt ist, hängt von der gesamten Konfiguration ab. Dazu gehören auch die Rechte innerhalb der bereitgestellten Sitzung. Wer auf einem Zielserver umfassende Administratorrechte besitzt, behält diese Möglichkeiten grundsätzlich auch dann, wenn die Sitzung über einen Browser startet. Deshalb müssen die Ressourcenzuweisung in KSA und die Berechtigungen auf dem Zielsystem gemeinsam betrachtet werden.
Interne Systeme müssen nicht direkt erreichbar sein
Für den Fernzugriff ist außerdem wichtig, welche Systeme Verbindungen aus dem Internet annehmen. Ein öffentlich erreichbarer RDP-Dienst oder eine direkt veröffentlichte Verwaltungsoberfläche schafft einen unmittelbaren Zugangspunkt zum jeweiligen System.
Mit dem Reverse Agent lässt sich eine Architektur aufbauen, bei der der Agent aus dem internen Netz eine ausgehende Verbindung zum Kyvion Secure Access-Gateway herstellt. Die darüber angebundenen Zielsysteme benötigen dann keine eigene eingehende Freigabe aus dem Internet. Der Zugriff erfolgt über das Gateway und die dort eingerichteten Berechtigungen.
Diese Architektur kann die direkte Angriffsfläche interner Dienste reduzieren. Das Gateway selbst bleibt dabei ein sicherheitsrelevantes System und muss entsprechend geschützt, aktuell gehalten und überwacht werden. Auch die angebundenen Anwendungen benötigen weiterhin Updates und passende Berechtigungen.
Die Platzierung von Gateway, Agent und Zielsystemen sollte deshalb zur vorhandenen Netzwerkstruktur passen. Besonders sensible Verwaltungsbereiche erfordern eine sorgfältige Trennung und gezielte Freigaben.
Privilegierte Zugriffe verdienen besondere Aufmerksamkeit
Bei administrativen Zugängen reicht die Frage nach dem erreichbaren Server allein nicht aus. Ein Administrator oder Wartungspartner kann Einstellungen verändern, Software installieren und auf sensible Daten zugreifen. Entsprechend wichtig ist es, diese Zugriffe bewusst zu vergeben und bei Bedarf nachvollziehen zu können.
Kyvion Secure Access unterstützt dabei durch die gezielte Bereitstellung von Ressourcen, zeitlich begrenzbare Berechtigungen und die Möglichkeit, unterstützte Sitzungen grafisch aufzuzeichnen. Eine solche Aufzeichnung kann helfen, Abläufe innerhalb einer Sitzung nachzuvollziehen. Sie ersetzt allerdings kein vollständiges Protokoll aller technischen Ereignisse auf dem Zielsystem. Beim Einsatz sind außerdem die geltenden Datenschutz- und Mitbestimmungsanforderungen zu berücksichtigen.
Für viele mittelständische Unternehmen liegt hier ein sinnvoller Einstieg in den kontrollierten Umgang mit privilegierten Zugriffen. Zunächst sollte klar sein, welche Personen administrative Zugänge benötigen, welche Ziele sie erreichen dürfen und wie lange diese Berechtigungen erforderlich sind. Darauf können weitere Maßnahmen aufbauen.
Ein kompromittiertes Konto sollte möglichst wenig erreichen
Auch eine sorgfältig abgesicherte Anmeldung kann keinen vollständigen Schutz garantieren. Zugangsdaten können gestohlen werden, Endgeräte können kompromittiert sein und Benutzer können Fehler machen. Deshalb zählt neben der Absicherung des Zugangs auch dessen Reichweite.
Wenn ein Konto ausschließlich eine bestimmte Anwendung oder einen ausgewählten Server erreichen darf, reduziert das die über diesen Zugang verfügbaren Möglichkeiten. Der tatsächliche Schaden hängt zusätzlich von den Rechten auf dem Zielsystem, dessen Sicherheitszustand und möglichen weiteren Verbindungen ab.
Genau deshalb ist die Begrenzung von Zugriffsrechten so wichtig. Unternehmen schaffen damit eine zusätzliche Schutzebene für den Fall, dass eine andere Maßnahme versagt. Eine starke Anmeldung, gezielte Ressourcenzuweisungen, passende Systemrechte und eine durchdachte Netzwerkstruktur ergänzen sich.
Zugriffsrechte gehören regelmäßig auf den Prüfstand
Der erste Schritt muss kein umfassender Umbau sein. Häufig beginnt die Verbesserung damit, bestehende Fernzugänge auf ihren tatsächlichen Zweck zu prüfen. Dabei zeigt sich, welche Benutzer bestimmte Anwendungen benötigen, welche Dienstleister nur gelegentlich auf einzelne Server zugreifen und welche Berechtigungen ihren ursprünglichen Anlass verloren haben.
Kyvion Secure Access kann Unternehmen dabei unterstützen, solche Zugriffe zentral bereitzustellen und auf ausgewählte Ressourcen auszurichten. Die vorhandene Firewall bleibt Teil des Schutzkonzepts. KSA ergänzt sie um einen Zugang, der sich an den Aufgaben der Benutzer orientiert.
Damit wird aus der allgemeinen Frage nach einem sicheren Fernzugang eine konkrete Entscheidung: Welche Person darf welches System für welchen Zweck nutzen? Wer diese Frage zuverlässig beantworten kann, gewinnt Übersicht und schafft eine belastbare Grundlage für den sicheren Betrieb.
Sie möchten prüfen, ob Ihre bestehenden Fernzugänge zum tatsächlichen Bedarf passen? Kyvion unterstützt Sie dabei, Zugriffe für Mitarbeiter und externe Dienstleister gezielt auf die benötigten Anwendungen und Systeme auszurichten.
