MFA allein reicht nicht: Warum sicherer Fernzugriff erst nach der Anmeldung beginnt

Ist nur der betroffene Server zugänglich? Oder eröffnet die Verbindung zugleich einen Weg zu weiteren Systemen? Arbeitet der Techniker mit einem passend eingeschränkten Konto oder mit umfassenden Administratorrechten? Endet seine Berechtigung mit dem Wartungsauftrag oder bleibt sie für den nächsten Einsatz bestehen?

An solchen Fragen zeigt sich, wie belastbar ein Fernzugriffskonzept wirklich ist. Mehrfaktor-Authentifizierung ist ein wichtiger Sicherheitsbaustein. Sie legt jedoch weder den Umfang der erreichbaren Ressourcen noch die Berechtigungen innerhalb einer Anwendung fest.

Eine bestätigte Identität ist noch keine passende Berechtigung

Authentifizierung prüft, ob ein Benutzer seine behauptete Identität ausreichend nachweisen kann. Autorisierung legt fest, welche Ressourcen und Funktionen dieser Benutzer nutzen darf. Beide Aufgaben müssen zusammenpassen.

Diese Trennung gehört auch zu den Grundlagen des Zero-Trust-Modells. Das US-amerikanische National Institute of Standards and Technology beschreibt Authentifizierung und Autorisierung als eigenständige Funktionen. Die Zugehörigkeit zu einem internen Netzwerk begründet dabei allein kein Vertrauen. Entscheidend ist der Zugriff auf die jeweilige Ressource.

Für Unternehmen bedeutet das: Eine erfolgreich bestätigte Anmeldung darf nicht automatisch zu weitreichenden Zugriffsrechten führen. Ein Mitarbeiter, der seine Warenwirtschaft benötigt, braucht deshalb keinen Zugang zu Verwaltungsoberflächen der Infrastruktur. Ein Softwarepartner, der eine Anwendung wartet, benötigt nicht zwangsläufig Zugriff auf weitere Server im gleichen Netz.

Die praktische Herausforderung besteht darin, diese Grenzen technisch durchzusetzen. Eine interne Vorgabe, nach der ein Dienstleister nur einen bestimmten Server verwenden soll, schützt wenig, wenn seine Verbindung auch andere Systeme erreichbar macht.

Der Umfang der Verbindung bestimmt den möglichen Schaden

Ein VPN kann sicher und eng begrenzt konfiguriert werden. Kritisch wird es, wenn die eingerichtete Verbindung mehr Netzwerkzugriff ermöglicht, als für die konkrete Aufgabe erforderlich ist. Dann hängt die tatsächliche Begrenzung unter anderem von Firewall-Regeln, Segmentierung und den Berechtigungen auf den Zielsystemen ab.

Gerade in gewachsenen IT-Umgebungen können sich diese Ebenen auseinanderentwickeln. Ein Wartungszugang bleibt bestehen, obwohl der Auftrag abgeschlossen ist. Eine Firewall-Regel wird für einen kurzfristigen Einsatz erweitert und später nicht zurückgenommen. Ein Benutzerkonto erhält zusätzliche Rechte, weil eine Anwendung andernfalls nicht funktioniert.

Jede einzelne Entscheidung lässt sich im Tagesgeschäft erklären. Zusammengenommen kann daraus jedoch ein Fernzugriff entstehen, dessen Reichweite niemand mehr bewusst festgelegt hat. MFA ändert an dieser Reichweite nichts.

Ein sinnvoller Ausgangspunkt ist deshalb die konkrete Aufgabe: Welche Anwendung oder welches System wird benötigt? Welche Berechtigungen sind dort erforderlich? Wie lange soll der Zugang bestehen? Erst daraus sollte sich die technische Verbindung ergeben.

Gezielter Anwendungszugriff schafft klarere Grenzen

Für viele typische Fernzugriffsaufgaben lässt sich der Zugang unmittelbar auf ausgewählte Anwendungen oder Systeme ausrichten. Der Benutzer erhält beispielsweise eine freigegebene Remotedesktop-Sitzung, eine SSH-Verbindung oder Zugang zu einer internen Webanwendung.

Damit lässt sich vermeiden, dass für jede einzelne Aufgabe eine allgemeine Netzwerkverbindung auf dem Endgerät benötigt wird. Die Auswahl des freigegebenen Ziels und die Rechte innerhalb dieses Ziels müssen allerdings gemeinsam betrachtet werden. Auch eine einzelne Remotedesktop-Sitzung kann weitreichende Möglichkeiten eröffnen, wenn das verwendete Konto umfassende Rechte besitzt oder der Zielserver weitere Systeme erreichen kann.

Die Zugriffsebene und die interne Sicherheitsarchitektur gehören deshalb zusammen. Segmentierung, passende Systemkonten und gepflegte Zielsysteme bleiben erforderlich.

Kyvion Secure Access powered by SparkView unterstützt diesen Ansatz durch browserbasierten Zugriff auf freigegebene Ressourcen. Je nach Einsatz lassen sich unter anderem RDP-, SSH- und Webzugriffe bereitstellen. Der ReverseAgent ermöglicht dabei Verbindungen aus dem internen Netz zum Gateway, sodass für die angebundenen Zielsysteme keine direkte eingehende Veröffentlichung im Internet erforderlich ist.

Das Gateway wird dadurch zu einer zentralen Sicherheitskomponente. Seine Absicherung, Aktualisierung und Konfiguration sind entsprechend sorgfältig zu behandeln.

Auch innerhalb der Sitzung braucht es Grenzen

Mit der Auswahl des Zielsystems ist die Gestaltung des Zugriffs noch nicht abgeschlossen. Innerhalb einer Sitzung können Funktionen wie Zwischenablage, Laufwerksumleitung oder Dateiübertragung darüber entscheiden, wie Informationen zwischen dem Unternehmenssystem und dem entfernten Endgerät bewegt werden.

Was für einen Mitarbeiter im Alltag sinnvoll ist, kann für einen zeitlich begrenzten Wartungsauftrag unnötig sein. Deshalb sollten Unternehmen solche Funktionen anhand des jeweiligen Einsatzes freigeben. Der Maßstab ist der tatsächliche Arbeitsbedarf.

Browserbasierter Zugriff kann den Installationsaufwand auf dem Endgerät reduzieren. Er macht das Endgerät jedoch nicht automatisch vertrauenswürdig. Schadsoftware auf einem entfernten Rechner kann weiterhin Eingaben oder sichtbare Inhalte erfassen. Ebenso bleiben die Berechtigungen auf dem Zielsystem maßgeblich dafür, welche Handlungen innerhalb der Sitzung möglich sind.

Ein tragfähiges Konzept verbindet daher die sichere Anmeldung mit begrenzten Zugriffszielen, geeigneten Systemrechten und bewusst gewählten Übertragungsfunktionen.

Bei privilegierten Zugriffen wird die Trennung besonders wichtig

Besondere Aufmerksamkeit verdienen Sitzungen mit administrativen Rechten. Hier kann bereits ein einzelner Zugang Änderungen an geschäftskritischen Systemen ermöglichen.

Für externe Wartung ist es sinnvoll, die persönliche Identität des Technikers vom verwendeten Systemkonto zu trennen. Der Dienstleister meldet sich mit seiner eigenen Identität an; für die Verbindung zum Zielsystem wird ein dafür vorgesehenes Konto verwendet. Bei entsprechender Einrichtung muss dessen Kennwort dem Dienstleister nicht offengelegt werden.

Diese Trennung erleichtert es, den persönlichen Zugang unabhängig vom technischen Konto zu verwalten. Sie ersetzt allerdings weder eine passende Rechtevergabe noch die Pflege und gegebenenfalls Rotation der Systemkennwörter.

Kyvion Secure Access bietet hierfür Bausteine für privilegierte Fernzugriffe. Dazu gehören die Trennung von Benutzer- und Systemkonten sowie die grafische Aufzeichnung unterstützter Sitzungen. Eine solche Aufzeichnung kann bei der nachträglichen Prüfung sichtbarer Vorgänge helfen. Sie ist jedoch kein vollständiges Protokoll aller Änderungen auf dem Zielsystem. Für eine belastbare Untersuchung bleiben ergänzende System- und Anwendungsprotokolle erforderlich.

Ein überschaubarer Wartungsfall ist ein guter Anfang

Für kleine und mittlere Unternehmen muss die Verbesserung des Fernzugriffs kein Großprojekt sein. Ein konkreter Wartungszugang bietet häufig einen geeigneten Einstieg.

An diesem Beispiel lässt sich prüfen, ob die erreichbaren Systeme zum Auftrag passen, ob das verwendete Konto angemessene Rechte besitzt und ob die Berechtigung nach Abschluss weiterhin benötigt wird. Ebenso lässt sich feststellen, welche Übertragungsfunktionen tatsächlich erforderlich sind und welche Informationen für eine spätere Prüfung vorliegen.

Aus einer solchen Betrachtung entsteht ein nachvollziehbares Muster für weitere Zugänge. Das erleichtert die Verwaltung und schafft eine gemeinsame Grundlage für Unternehmen und IT-Dienstleister.

Die entscheidende Prüfung beginnt nach dem Login

Unternehmen sollten ihre Fernzugriffe deshalb auch aus der Perspektive eines bereits angemeldeten Benutzers betrachten. Welche Systeme sind erreichbar? Welche Daten lassen sich übertragen? Welche Änderungen sind möglich? Und welche Zugänge bestehen weiter, obwohl ihr ursprünglicher Zweck entfallen ist?

Die Antworten zeigen, ob die technische Umsetzung den tatsächlichen Bedarf abbildet. MFA schützt einen wichtigen Teil des Zugangs. Begrenzte Ressourcen, passende Rechte und kontrollierte Sitzungen bestimmen, wie sicher anschließend gearbeitet werden kann.

Kyvion unterstützt Unternehmen dabei, bestehende Fernzugriffe anhand konkreter Anwendungs- und Wartungsszenarien zu prüfen und mit Kyvion Secure Access gezielt bereitzustellen. Ein klar abgegrenzter Anwendungsfall kann dabei zeigen, wie sich sicherer Zugriff und praktikable Abläufe miteinander verbinden lassen.