Was ist Access Management?

Zugriffsmanagement und Identitätsmanagement bilden zusammen die beiden Säulen einer umfassenderen Cybersicherheitsdisziplin –Identity und Access Management (IAM). IAM befasst sich mit der Bereitstellung und dem Schutz digitaler Identitäten und Benutzerberechtigungen in einem IT-System.

Beim Identity Management geht es darum, Identitäten für alle Benutzer in einem System zu erstellen und zu verwalten, einschließlich menschlicher Benutzer (Mitarbeiter, Kunden oder Auftragnehmer) und nichtmenschlicher Benutzer (KI-Agenten, IoT und Endpunktgeräte oder automatisierte Workloads).

Bei der Zugriffsverwaltung geht es darum, diesen Benutzern den sicheren Zugriff auf die Daten, lokalen Ressourcen und cloudbasierten Apps und Assets eines Unternehmens zu ermöglichen. Zu den Kernfunktionen des Zugriffsmanagements gehören die Verwaltung von Benutzerzugriffsrichtlinien, die Authentifizierung von Benutzeridentitäten und die Autorisierung gültiger Benutzer zur Ausführung bestimmter Aktionen in einem System.

Mit dem Aufkommen von Cloud Computing, Software-as-a-Service (SaaS)-Lösungen, Remote-Arbeit und generativer KI ist die Zugriffsverwaltung zu einer Kernkomponente der Netzwerksicherheit geworden. Unternehmen müssen mehr unterschiedlichen Benutzerrollen den Zugriff auf mehr Arten von Ressourcen an mehr Standorten ermöglichen und gleichzeitig Datenschutzverletzungen verhindern und unbefugte Benutzer fernhalten. 

Laut dem National Institute of Standards and Technology (NIST) gehören zu den wichtigsten Funktionen des Access Management:

• Verwaltung von Richtlinien
• Authentifizierung
• Autorisierung

Differenzierte Zugriffsrichtlinien regeln die Zugriffsberechtigungen der Benutzer in den meisten Zugriffsmanagementsystemen. Unternehmen können verschiedene Ansätze zur Festlegung ihrer Zugriffsrichtlinien verfolgen.

Ein gängiges Framework für die Zugriffskontrolle ist die rollenbasierte Zugriffskontrolle (Role-Based Access Control, RBAC), bei der die Berechtigungen der Benutzer auf ihren Aufgabenbereichen basieren. Mit RBAC lässt sich der Prozess der Berechtigungsvergabe für Benutzer vereinfachen und das Risiko verringern, dass Benutzern höhere Privilegien als nötig eingeräumt werden.

Angenommen, Systemadministratoren legen Berechtigungen für eine Netzwerk-Firewall fest.

• Ein Vertriebsmitarbeiter hätte höchstwahrscheinlich überhaupt keinen Zugriff, da die Rolle des Nutzers dies nicht erfordert.
  
  
• Eine Sicherheitsanalystin der unteren Ebene kann möglicherweise Firewall-Konfigurationen anzeigen, aber nicht ändern.
  
  
• Der Chief Information Security Officer (CISO) hätte vollen administrativen Zugriff.
  
  
• Eine Programmierschnittstelle (API) für ein integriertes Sicherheitsinformations- und Ereignisverwaltungssystem (SIEM) kann möglicherweise die Aktivitätsprotokolle der Firewall lesen.

Unternehmen können andere Zugriffskontroll-Frameworks als Alternativen zu oder in Verbindung mit RBAC verwenden. Zu diesen Frameworks gehören:

• Mandatory Access Control (MAC) erzwingt zentral definierte Richtlinien für alle Benutzer, basierend auf Berechtigungsstufen oder Vertrauensbewertungen.
  
  
• Die Discretionary Access Control (DAC) ermöglicht es den Eigentümern von Ressourcen, ihre eigenen Zugriffskontrollregeln für diese Ressourcen festzulegen. 
  
  
• Die attributbasierte Zugriffskontrolle (ABAC) analysiert die Attribute von Benutzern, Objekten und Aktionen, um zu bestimmen, ob der Zugriff gewährt werden soll. Zu diesen Attributen gehören der Name des Benutzers, der Typ einer Ressource und die Uhrzeit.

Die Zugriffskontroll-Frameworks der meisten Unternehmen folgen dem Prinzip der geringsten Rechte. Das Prinzip der geringsten Rechte, das oft mit Zero-Trust-Sicherheitsstrategien in Verbindung gebracht wird, besagt, dass Benutzer nur die geringsten Berechtigungen haben sollten, die zur Erledigung einer Aufgabe erforderlich sind. Die Berechtigungen sollten entzogen werden, wenn die Aufgabe erledigt ist, um zukünftige Sicherheitsrisiken zu vermeiden.

Authentifizierung ist der Prozess, der überprüft, ob ein Benutzer der ist, für den er sich ausgibt.

Wenn sich ein Benutzer bei einem System anmeldet oder Zugriff auf eine Ressource anfordert, übermittelt er Anmeldedaten – sogenannte „Authentifizierungsfaktoren“ –, um seine Identität zu bestätigen. Beispielsweise könnte ein menschlicher Benutzer ein Passwort oder einen biometrischen Fingerabdruckscan verwenden, während ein nichtmenschlicher Benutzer ein digitales Zertifikat teilen könnte.

Zugriffsverwaltungstools gleichen die übermittelten Faktoren mit den Zugangsdaten ab, die sie für den Benutzer gespeichert haben. Wenn sie übereinstimmen, wird dem Benutzer der Zugriff gewährt.

Ein Passwort ist zwar die grundlegendste Form der Authentifizierung, aber auch eine der schwächsten. Die meisten Access Management Tools verwenden heutzutage fortschrittlichere Authentifizierungsmethoden. Zu diesen Methoden gehören:

• Zwei-Faktor-Authentifizierung (2FA) und Multi-Faktor-Authentifizierung (MFA), bei der Benutzer mindestens zwei Nachweise erbringen müssen, um ihre Identität zu belegen.
  
  
• Authentifizierung ohne Kennwort, bei der andere Anmeldedaten als ein Kennwort verwendet werden, z. B. ein biometrischer Faktor oder ein FIDO-Passkey.
  
  
• Single Sign-on (SSO), wodurch Benutzer mit einem einzigen Satz von Anmeldeinformationen auf mehrere Apps und Dienste zugreifen können. SSO-Systeme verwenden häufig offene Protokolle wie Security Assertion Markup Language (SAML) und OpenID Connect (OIDC), um Authentifizierungsdaten zwischen Diensten auszutauschen.
  
  
• Adaptive Authentifizierung, die KI und ML einsetzt, um das Risikoniveau eines Benutzers anhand von Faktoren wie Verhalten, Sicherheitsstatus und Zeitpunkt zu analysieren. Die Authentifizierungsanforderungen ändern sich in Echtzeit entsprechend dem Risikograd, wobei risikoreichere Anmeldungen eine strengere Authentifizierung erfordern.

Autorisierung ist der Prozess, bei dem verifizierten Benutzern die entsprechenden Zugriffsrechte für eine Ressource gewährt werden.

Authentifizierung und Autorisierung sind eng miteinander verbunden, wobei die Authentifizierung in der Regel eine Voraussetzung für die Autorisierung ist. Nachdem die Identität des Benutzers nachgewiesen wurde, überprüft das Zugriffsverwaltungssystem die Berechtigungen des Benutzers anhand vordefinierter Zugriffsrichtlinien, die in einer zentralen Datenbank oder Richtlinien-Engine aufgezeichnet sind. Das System autorisiert den Benutzer dann, während seiner Sitzung über diese spezifischen Privilegien zu verfügen.

Indem sie die Benutzerberechtigungen auf der Grundlage von Zugriffsrichtlinien einschränken, können Zugriffsverwaltungstools dazu beitragen, sowohl Insider-Bedrohungen zu verhindern, die ihre Rechte böswillig missbrauchen, als auch wohlmeinende Benutzer, die versehentlich ihre Rechte missbrauchen.

Wenn die Identitätsprüfung eines Benutzers fehlschlägt, autorisiert das Zugriffsverwaltungssystem ihn nicht und blockiert ihn daran, die mit seinem Konto verknüpften Berechtigungen zu verwenden. Dies verhindert, dass externe Angreifer die Berechtigungen legitimer Benutzer entführen und missbrauchen.

Zugriffsmanagementlösungen können größenteils in zwei Kategorien eingeteilt werden: Tools, die den Zugriff für interne Benutzer wie Mitarbeiter steuern, und Tools, die den Zugriff für externe Benutzer wie Kunden steuern. 

Die internen Benutzer eines Unternehmens – Mitarbeiter, Manager, Administratoren – benötigen oft Zugriff auf mehrere Systeme, darunter Apps, Messaging-Apps, Unternehmensdatenbanken, HR-Systeme und mehr.

Fast alle internen Ressourcen eines Unternehmens gelten als sensibel und müssen vor böswilligen Hackern geschützt werden. Aber nicht jeder interne Benutzer benötigt so viel Zugriff auf jede interne Ressource. Unternehmen benötigen ausgefeilte Tools für die Zugriffsverwaltung, mit denen sie die Zugriffsberechtigungen der Benutzer auf einer detaillierten Ebene steuern können.

Zu den gängigen Tools für die interne Zugriffsverwaltung gehören:

IAM-Plattformen sind umfassende Lösungen, die wichtigsten Funktionen des Identity und Access Management (IAM) in einem einzigen System integrieren. Zu den allgemeinen Funktionen von IAM-Plattformen gehören Benutzerverzeichnisse, Authentifizierungstools, Verwaltung von Zugriffsrichtlinien und Funktionen zur Erkennung und Reaktion auf Identitätsbedrohungen (ITDR).

Privileged Access Management (PAM) ist eine Untergruppe des Access Managements, die hochprivilegierte Benutzerkonten (z. B. Administratorkonten) und privilegierte Aktivitäten (z. B. Arbeit mit sensiblen Daten) regelt und schützt.

In vielen IT-Systemen werden Konten mit besonderen Berechtigungen speziell geschützt, da es sich um hochwertige Ziele handelt, mit denen böswillige Akteure schweren Schaden anrichten können.

PAM-Tools isolieren privilegierte Identitäten, indem sie Vaults für Zugangsdaten und Just-in-Time-Zugriffsprotokolle (JIT) verwenden. JIT gewährt autorisierten Benutzern auf Anfrage für eine begrenzte Zeit privilegierten Zugriff auf eine bestimmte Ressource, anstatt Benutzern ständig höhere Berechtigungen zu erteilen.

Tools zur Identitätsverwaltung und -verwaltung (IGA) tragen dazu bei, dass die Zugriffsrichtlinien und Zugriffskontrollen eines Unternehmens den Sicherheitsanforderungen und behördlichen Auflagen entsprechen.

IGA-Lösungen bieten Tools zum Definieren und Implementieren konformer Zugriffsrichtlinien während des gesamten Lebenszyklus jedes Benutzers. Einige IGA-Tools können auch bei der Automatisierung wichtiger Compliance-Workflows helfen, beispielsweise bei der Benutzereinführung und -bereitstellung, Zugriffsreviews, neuen Zugriffsanforderungen und der Aufhebung der Bereitstellung für ausgeschiedene Benutzer. Diese Funktionen bieten Unternehmen mehr Kontrolle über Benutzerberechtigungen und -aktivitäten, wodurch der Missbrauch von Berechtigungen leichter erkannt und unterbunden werden kann.

ZTNA-Lösungen sind Remote-Zugriffstools, die dem Zero-Trust-Prinzip „Nie einfach vertrauen, immer verifizieren“ folgen.

Herkömmliche Tools für den Remote-Zugriff, wie virtuelle private Netzwerke (VPNs), verbinden Remote-Benutzer mit dem gesamten Unternehmensnetzwerk. Im Gegensatz dazu verbindet ZTNA die Benutzer nur mit den spezifischen Apps und Ressourcen, für die sie eine Zugriffsberechtigung haben.

Außerdem wird den Benutzern im ZTNA-Modell nie implizit vertraut. Jede Zugriffsanfrage für jede Ressource muss unabhängig von der Identität oder dem Standort des Benutzers bestätigt und validiert werden. 

Unternehmen müssen häufig externen Benutzern den sicheren Zugriff auf Ressourcen ermöglichen. Kunden benötigen möglicherweise Zugriff auf ihre Konten auf E-Commerce-Plattformen. Kreditoren benötigen möglicherweise Zugriff auf Rechnungssysteme. Geschäftspartner benötigen möglicherweise Zugriff auf gemeinsam genutzte Daten. Tools für die externe Zugriffsverwaltung sind speziell auf diese externen Benutzer ausgerichtet.

Einige Unternehmen verwenden dieselben Tools für die interne und externe Zugriffsverwaltung, aber diese Strategie ist nicht immer realisierbar. Die Bedürfnisse von internen und externen Anwendern können unterschiedlich sein. Beispielsweise priorisieren externe Benutzer oft den Komfort vor der Sicherheit, während interne Benutzer über höhere Privilegien verfügen, die einen stärkeren Schutz erfordern.

Customer Identity und Access Management (CIAM)-Tools regeln digitale Identitäten und die Zugriffssicherheit für Kunden und andere Benutzer, die sich außerhalb einer Organisation befinden.

Wie andere Zugriffsverwaltungstools helfen CIAM-Systeme bei der Authentifizierung von Benutzern und beim sicheren Zugriff auf digitale Dienste. Der Hauptunterschied besteht darin, dass CIAM-Tools die Benutzererfahrung durch ein progressives Profiling (das es Benutzern ermöglicht, ihre Profile im Laufe der Zeit zu vervollständigen), Social-Media-Logins und andere benutzerfreundliche Funktionen in den Vordergrund stellen. 

Zugriffsmanagement-Tools helfen Unternehmen dabei, autorisierten Benutzern den sicheren Zugriff auf sensible Ressourcen zu ermöglichen, unabhängig davon, wo sie sich befinden.

Das Ergebnis ist ein sichereres und effizienteres Netzwerk. Die Benutzer haben den ununterbrochenen Zugriff, den sie für ihre Arbeit benötigen, während Bedrohungsakteure und nicht autorisierte Benutzer ferngehalten werden.