Kunden-News

Oft lassen Unternehmen schwache Passwörter zum Schutz von Benutzer-Accounts zu, obwohl sie rechtlich zu effektiveren Maßnahmen verpflichtet wären. Das Bundesdatenschutzgesetz schreibt Betreibern von IT-Anlagen mit personenbezogenen Daten oder Datenkategorien vor, den unautorisierten Zugriff auf seine Daten zu unterbinden (1). Außerdem schreibt die EU-Richtlinie Basel II die Definition eines Regelwerks zum Umgang mit Passwörtern vor. Unternehmen, die an US-amerikanischen Börsen notiert sind, unterliegen zusätzlich dem Sarbanes-Oxley-Act und seinen Passwort-Vorschriften.

Um diesen Bestimmungen gerecht zu werden, sind Zugangsdaten und die mit ihnen verbundenen Kennwörter besonders zu schützen. Grundlegender Passwort-Schutz ist mit folgenden Richtlinien einfach herbeizuführen.

Sichere Passwort-Struktur

Passwörter müssen durch ihre Struktur schwer zu knacken und möglichst komplex aufgebaut sein. Ein zyklischer Wechsel des Passworts, beispielsweise jeden Monat, stellt eine weitere Hürde für den Missbrauch von Passwörtern dar. Noch besser ist die Verwendung eines Kennwortgenerators mit Einmalpasswörtern, die nur einige Minuten gültig sind.

Sparsame Vergabe von Passwörtern für privilegierte Accounts

Passwörter von privilegierten Accounts sollten nur an Personen ausgegeben werden, die sie für die Erfüllung ihrer Aufgaben tatsächlich benötigen. Zusätzlich lässt sich der Sicherheitsgrad durch die Vergabe von Einmal-Passwörtern im Single-Sign-On-Verfahren steigern. So kann sich ein Administrator anmelden, ohne das eigentliche Passwort zu kennen.

Vertraulichkeit des Passworts

Jeder Benutzer verfügt über seinen eigenen Account und ein eigenes, individuelles Passwort. Das sollte auch bei Funktions-Accounts wie dem Administrator oder dem Webmaster der Fall sein, da sich ein Gruppenpasswort für eine von vielen gleichzeitig verwendete Kennung nicht geheim halten lässt. Bei neu erstellten Accounts mit vordefinierten Passwörtern sollten die Anwender diese unverzüglich selbst ändern.

Reaktion auf erfolglose Anmeldeversuche

Fehlerhafte Anmeldeversuche sollten protokolliert werden. Zusätzlich ist es empfehlenswert, den Benutzer-Account bei einer gewissen Anzahl von Fehlversuchen zu sperren und die IP-Adresse, von der die Versuche ausgehen, zu speichern.

Einführung eines Systems zur Verwaltung privilegierter Accounts

Die Gefahr, die von nachlässigem Umgang mit Passwörtern entspringt, ist dann besonders hoch, wenn es sich um privilegierte Accounts wie die von Superusern und Systemadministratoren handelt. Dafür sollten Sicherheitsmaßnahmen getroffen werden wie beispielsweise die Einführung eines Systems zur Verwaltung privilegierter Accounts. Dafür eignet sich die Privileged Identity Management Suite von Cyber-Ark: Sie bietet die vollständige Zugriffskontrolle für privilegierte Accounts, die Überwachung und Aufzeichnung privilegierter Sitzungen sowie die Verwaltung von Anwendungs- und Dienstzugangsdaten. Damit wird eine sichere Verwaltung der privilegierten Identitäten, Accounts und Kennwörter möglich.

Laut dem Branchenverband BITKOM ändern 40 Prozent aller Deutschen ihre wichtigsten Zugangscodes nicht. Der Umgang mit Passwörtern im privaten Umfeld spiegelt sich durch gleiche Gewohnheiten im Unternehmensumfeld wider.

Jochen Koehler, Deutschland-Chef von Cyber-Ark in Heilbronn, erläutert: „Viele Risiken durch die nachlässige Verwaltung von privilegierten Accounts und ihrer Passwörter lassen sich mit der Privileged Identity Management Suite von vornherein eliminieren. Missbräuchlich genutzte Administrator-Kennungen sind eine der Haupteinfallstore in eine Unternehmens-IT.“

(1) In der Anlage zu § 9 Satz 1, Absatz 2 und 3 spricht der Gesetzgeber von der Verpflichtung zur Zugangs- und Zugriffskontrolle.

Über Cyber-Ark

Cyber-Ark ist ein weltweiter Anbieter von Informationssicherheits-Software und hat sich auf die Verwaltung und den Schutz von privilegierten Nutzerkennungen, Anwendungen und sensiblen Daten spezialisiert. Die Lösungen von Cyber-Ark helfen Unternehmen, gesetzliche Richtlinien einzuhalten sowie Insider-Bedrohungen und externen Angriffen vorzubeugen. Mit den „Privileged Identity Management“,„Sensitive Information Management“ und „Privileged Session Management“ Suites können Unternehmen den Zugriff und die Aktivitäten in ihren Rechenzentren effizienter verwalten und steuern. Der Hauptsitz des Unternehmens befindet sich in Newton (Massachusetts, USA). In Deutschland ist Cyber-Ark seit 2008 mit einer eigenen Niederlassung in Heilbronn vertreten.

Weitere Informationen:

Cyber-Ark Software Ltd.
Jochen Koehler
Director of Sales DACH
Tel. +49-7131-6441095
Fax +49-7131-6441096
jochen.koehler@cyber-ark.com
www.cyber-ark.com

PR-COM GmbH
Arlett Lutz
Account Manager
Tel. +49-89-59997-813
Fax +49-89-59997-999
arlett.lutz@pr-com.de
www.pr-com.de