Wer darf auf den Server? Warum Fernwartung im Mittelstand klare Grenzen braucht

Dabei liegt genau hier eine wichtige Sicherheitsentscheidung. Wer eine Anwendung wartet, benötigt nicht automatisch Zugang zum gesamten Unternehmensnetz. Wer einen Server administriert, muss nicht zugleich andere Server erreichen können. Je genauer ein Unternehmen diese Grenzen zieht, desto leichter kann es Zugriffe vergeben, überprüfen und bei Bedarf wieder entziehen.

Fernwartung beginnt mit einer einfachen Frage

Vor jeder Freigabe sollte feststehen, welche Aufgabe erledigt werden soll. Daraus ergibt sich, welches Zielsystem benötigt wird, mit welchem Konto gearbeitet werden darf und ob der Zugriff dauerhaft oder nur für einen begrenzten Zeitraum erforderlich ist. Diese Fragen klingen selbstverständlich. In gewachsenen IT-Umgebungen treffen Dienstleister jedoch häufig auf Zugänge, die vor Jahren für einen anderen Zweck eingerichtet wurden und seitdem bestehen geblieben sind.

Ein solcher Zugang erleichtert vielleicht den nächsten Wartungstermin. Zugleich wird es schwieriger, Zuständigkeiten sauber zu trennen. Besonders bei mehreren Systemhäusern, Softwareherstellern und internen Administratoren muss nachvollziehbar bleiben, wer auf welches System zugreifen darf. Das BSI behandelt Fernwartung deshalb als eigenen Sicherheitsbereich und empfiehlt unter anderem dedizierte Konten für Fernwartungszugänge.
Quelle: bsi.bund.de

Zugriff auf das Ziel statt pauschaler Netzwerkzugang

Ein praxisnaher Ansatz besteht darin, dem Dienstleister die benötigte Sitzung direkt bereitzustellen. Der Einstieg erfolgt über ein Portal im Browser; die Freigabe führt zur vorgesehenen Anwendung oder zum konkreten System. So lässt sich die Berechtigung an der Wartungsaufgabe ausrichten. Eine Freigabe für den ERP-Server muss keinen Zugang zu Verwaltungsservern, Sicherungssystemen oder anderen Kundendaten eröffnen.

Kyvion Secure Access setzt an dieser Stelle an. Die Lösung stellt interne Anwendungen und Systeme über den Browser bereit, ohne RDP-, SSH- oder Anwendungsports direkt im Internet freizugeben. Sitzungen können je nach Einrichtung protokolliert und aufgezeichnet werden. Welche Rechte ein Dienstleister tatsächlich erhält, hängt weiterhin von der Konfiguration der Zielsysteme und der vergebenen Konten ab.

Das ist auch für kleinere Unternehmen relevant. Sie müssen für kontrollierte Fernwartung keine völlig neue Arbeitsweise erfinden. Entscheidend ist, vorhandene Wartungsfälle einzeln anzusehen: Welche Software wird betreut? Wer benötigt Zugriff? Erfolgt die Arbeit interaktiv auf einem Server oder genügt eine einzelne Anwendung? Erst daraus entsteht eine sinnvolle Freigabe.

Nachvollziehbarkeit gehört zur Freigabe dazu

Ein sicher gestalteter Fernzugang endet nicht bei der Anmeldung. Wenn später eine Störung untersucht wird oder ein Dienstleisterwechsel ansteht, muss erkennbar sein, welche Berechtigungen vergeben wurden und welche Sitzungen stattgefunden haben. Für besonders sensible administrative Tätigkeiten kann eine Sitzungsaufzeichnung sinnvoll sein. Sie ersetzt allerdings weder eindeutige Benutzerzuordnung noch passende Berechtigungen auf dem Zielsystem.

„Die entscheidende Frage lautet nicht, wie ein Dienstleister möglichst schnell ins Netzwerk kommt. Sie lautet, welches System er für seine konkrete Aufgabe erreichen muss“, sagt Michael Hochgesang, Geschäftsführer der Kyvion GmbH. „Wenn Unternehmen Fernwartung von dieser Aufgabe aus planen, werden Zugänge übersichtlicher und besser kontrollierbar.“

Für IT-Verantwortliche und Systemhäuser ist das ein überschaubarer Ausgangspunkt: bestehende Fernwartungszugänge erfassen, ihren Zweck prüfen und weitreichende Freigaben dort eingrenzen, wo nur einzelne Systeme benötigt werden. So wird aus einem historisch gewachsenen Zugang ein bewusst geregelter Arbeitsweg.

Weitere Informationen zum Ansatz bietet Kyvion auf der Seite Sicherer Fernzugriff ohne VPN