Die mangelhafte Verwaltung von Zugriffsrechten stellt eines der größten IT-Sicherheitsrisiken dar. Häufig werden einmal vergebene Rechte nicht wieder entzogen, selbst wenn sich die Rolle des Mitarbeiters ändert oder er gar das Unternehmen verlassen hat. Das klassische Beispiel sind Auszubildende, die im Rahmen ihrer Ausbildung verschiedene Abteilungen durchlaufen und in jeder entsprechende Zugriffsrechte enthalten. Am Ende der Ausbildung haben diese Accounts oft mehr Rechte als ein Geschäftsführer.
In diesem heise-Whitepaper erläutere ich, wie sich solche Risiken minimieren lassen. Es zeigt auf, welche konkreten Gefahren durch ein nachlässiges Rechtemanagement entstehen können, erklärt verschiedene Konzepte (Policies, Rollen) für die Rechteverwaltung, stellt deren Vor- und Nachteile dar und gibt Hilfestellungen für den Aufbau eines auf Zero-Trust-Prinzipien basierenden Zugriffsmanagements.

Die Zeiten, in denen Informationstechnik (IT) und Betriebstechnik (Operational Technology, OT) strikt voneinander getrennt waren, sind längst vorbei. Fertigungsstraßen, Maschinen, Werkzeuge – alles ist vernetzt und wird über Computersysteme gesteuert. Konzepte wie Smart Factory oder Digital Twin sind überhaupt nur realisierbar, wenn IT- und OT-Systeme miteinander kommunizieren und Daten austauschen können.
Diese Offenheit birgt jedoch auch neue Risiken. Die Protokolle und Schnittstellen der OT-Welt sind für geschlossene Betriebsumgebungen konzipiert, nicht für das offene Internet. Ohne zusätzliche Schutzmaßnahmen haben Angreifer daher leichtes Spiel.
Mein Whitepaper, das ich im Auftrag von heise erstellt habe, zeigt, welche Folgen ein unzureichender Schutz von OT-Systemen haben kann und welche Sicherheitsvorkehrungen Unternehmen treffen müssen, um OT-Umgebungen vor Cyberangriffen zu schützen. Es stellt außerdem ein mehrstufiges Konzept vor, mit dem sich Betriebsumgebungen effizient absichern lassen.