Conditional Access: Sicherheit durch Zugriffsbeschränkungen

In der heutigen Zeit schwebt über vielen Unternehmen die ständige Bedrohung, Ziel eines Angriffs auf ihre digitale Infrastruktur zu werden – ähnlich einem Damoklesschwert. Es gibt verschiedene Maßnahmen, um sich gegen solche Angriffe zu schützen. Eine besonders effektive Methode ist der „Bedingte Zugriff“, auch als „Conditional Access“ bekannt. Dieser Ansatz soll in diesem Beitrag genauer erläutert werden, um zu verdeutlichen, warum nicht jeder und zu jeder Zeit Zugang zu Unternehmensnetzwerken haben sollte.

Jeder Mitarbeiter hat immer und von überall Zugang

Oftmals sieht die Ausgangslage so aus, dass Mitarbeiter sich von überall und zu jeder Zeit in das Unternehmensnetzwerk einloggen können. Ob es der Mitarbeiter im Urlaub ist, der über sein privates Smartphone auf sein Firmen-E-Mail-Konto zugreift, oder der IT-Dienstleister, der spät in der Nacht eine dringende Aktualisierung aus der Ferne vornimmt – solche Situationen sind nicht ungewöhnlich. 

Solche Zugriffsszenarien stammen oft aus einer Zeit, in der weniger strenge Sicherheitsvorkehrungen erforderlich schienen. In einer zunehmend mobilen Arbeitswelt, die durch die Corona-Pandemie noch beschleunigt wurde, treten diese Situationen immer häufiger auf.

Leider sind viele Remotezugänge standardmäßig oft schlecht konfiguriert, sodass beliebige Benutzerkonten oder Geräte Zugriff auf interne Ressourcen erhalten können – oft auch mit erhöhten Rechten, zu jeder beliebigen Uhrzeit und von jedem Punkt im Internet.

Uneingeschränkter Zugang: Bequem, aber riskant

Die Vorstellung, von überall und jederzeit auf alles zugreifen zu können, ist für viele Menschen in ihrem täglichen Leben praktisch. Im beruflichen Umfeld kann diese Bequemlichkeit jedoch auch Gefahren mit sich bringen. 

Muss wirklich jeder Mitarbeiter von seinem privaten Gerät aus Mails lesen, wenn er im Urlaub ist? Die Nutzung privater Geräte im Unternehmenskontext birgt erhebliche Risiken. Ein Beispiel dafür ist die versehentliche Versendung einer E-Mail an die falsche Person aufgrund der Vermischung von Kontaktlisten.

Der notwendige Wandel in Zeiten von Cloud und Cyberkriminalität

Mit der zunehmenden Bedeutung von Cloud-Technologien und der steigenden Zahl von Cyberangriffen wird es immer wichtiger, Unternehmensnetzwerke vor unerwünschten Zugriffen zu schützen. 

Insbesondere Webdienste, die einem breiten Nutzerkreis zur Verfügung stehen oder öffentlich bekannt sind, wie Unternehmenswebsites, (Cloud-)Anwendungen und VPN-Zugänge, werden häufig Ziel von Angriffen, da sie leicht zu finden sind.

Das Konzept des „Bedingten Zugriffs“

Das Prinzip des „Bedingten Zugriffs“, das eng mit dem „Zero Trust“-Ansatz verknüpft ist, könnte man mit den Worten des Komikers Kaya Yanar beschreiben: „Du kommst hier nicht einfach so rein.“ Zugriffe auf das Unternehmensnetzwerk werden nicht mehr unkontrolliert gewährt. 

Stattdessen werden bestimmte Hürden eingerichtet, die überwunden werden müssen, um Zugang zu erhalten. Dieser Prozess lässt sich grob in drei Schritte unterteilen, die im Folgenden anhand von Beispielen erläutert werden:

• Voraussetzungen für den Zugriff
• Entscheidung über den Zugriff
• Erweiterung des Zugangs durch zusätzliche Anforderungen

Voraussetzungen für den Zugriff

Der Zugriff auf eine Ressource beginnt immer mit einer Anfrage, bei der Informationen über den Benutzer und das verwendete Gerät mitgeschickt werden. Diese sogenannten Metadaten enthalten in der Regel Informationen über das Betriebssystem, die Anwendung oder den Browser, der die Anfrage stellt. 

Darüber hinaus werden auch serverseitig Metadaten wie die IP-Adresse des Clients, der Name der angeforderten Ressource und der Zeitpunkt der Anfrage gespeichert.

Die häufigsten Kriterien, die für die Bewertung eines Zugriffs herangezogen werden, sind:

• Standort: Der Standort des Zugriffs kann als bekannt und vertrauenswürdig, bekannt aber nicht vertrauenswürdig oder unbekannt und nicht vertrauenswürdig eingestuft werden.
• Zeit: Zugriffe können zeitlich eingeschränkt werden, um die Sicherheit zu erhöhen. So könnte etwa der Zugriff von Dienstleistern nur während bestimmter Zeiten erlaubt sein.
• Benutzerkonto: Unterschiedliche Benutzergruppen haben unterschiedliche Berechtigungen. So sollten beispielsweise Webentwickler keinen Zugriff auf sensible Finanzdaten haben.
• Gerät: Es wird zwischen mobilen und stationären Geräten unterschieden, da diese unterschiedlichen Sicherheitsanforderungen unterliegen.
• Anwendung: Zugriffe können auf bestimmte Anwendungen beschränkt werden, wobei einige Anwendungen möglicherweise vollständig gesperrt sind.
• Zugriffsrisiko: Das Risiko eines Zugriffs kann ebenfalls bewertet werden, z. B. durch Berücksichtigung von Sicherheitsrichtlinien oder potenziellen Bedrohungen wie fehlenden Updates oder Malware.

Entscheidung über den Zugriff

Nach der Bewertung der Kriterien gibt es drei mögliche Entscheidungen:

• Zulassen: Der Zugriff wird ohne Einschränkungen gewährt, wenn der Kontext als sicher eingestuft wird.
• Blockieren: Der Zugriff wird verweigert, wenn Sicherheitsbedenken bestehen.
• Zusätzliche Merkmale erforderlich: Der Zugriff wird gewährt, wenn zusätzliche Anforderungen erfüllt werden.

Erweiterung des Zugangs durch zusätzliche Anforderungen

Bei sensiblen Ressourcen kann es erforderlich sein, zusätzliche Sicherheitsmaßnahmen zu ergreifen, um den Zugriff zu ermöglichen. Dazu gehören beispielsweise die Nutzung einer Multi-Faktor-Authentifizierung oder die Erfüllung von Gerätekonformitätsanforderungen.

Sind Angreifer damit chancenlos?

Ein sehr restriktiver Einsatz von „Bedingtem Zugriff“ kann die Angriffsflächen erheblich reduzieren. Dennoch bleibt ein Restrisiko bestehen, da Angreifer immer wieder Wege finden, beispielsweise durch die Übernahme von Clients oder das Fälschen von Gerätekonformität. Jeder Schutzmechanismus ist nur dann wirksam, wenn er von den Nutzern akzeptiert und die dahinterstehende Philosophie aktiv gelebt wird.

Microsoft Entra ID im Kontext von Conditional Access

Microsoft Entra ID, ehemals Azure AD (Azure Active Directory), spielt eine entscheidende Rolle bei der Implementierung von Conditional Access, um Unternehmensnetzwerke zu sichern. Es bietet leistungsstarke Identitäts- und Zugriffsmanagementfunktionen, die den Schutz sensibler Daten gewährleisten.

Hauptfunktionen:

• Identitätsmanagement: Ermöglicht die sichere Verwaltung von Benutzeridentitäten und -zugriffen.
• Bedingter Zugriff: Implementiert Richtlinien, die den Zugang basierend auf Kriterien wie Standort und Gerät regeln.
• Single Sign-On (SSO): Vereinfacht den Zugriff auf Anwendungen durch eine einmalige Anmeldung.
• Multifaktor-Authentifizierung (MFA): Erhöht die Sicherheit durch zusätzliche Verifizierungsschritte.

Durch diese Funktionen ermöglicht Microsoft Entra ID Unternehmen, flexible und sichere Netzwerkzugangskontrollen zu implementieren, die den aktuellen Sicherheitsanforderungen gerecht werden.

Fazit: Bedingter Zugriff als Schlüssel zu sichereren Unternehmensnetzwerken

Der Einsatz von Conditional Access erweist sich als essenzieller Bestandteil moderner IT-Sicherheitsstrategien. Durch die gezielte Kontrolle von Zugriffsrechten kann die Angriffsfläche erheblich reduziert werden, was den Schutz der digitalen Infrastruktur eines Unternehmens maßgeblich verbessert.

Vorteile von Conditional Access:

• Erhöhte Sicherheit: Durch die Einschränkung des Zugangs basierend auf spezifischen Kriterien wie Standort, Zeit und Gerät wird das Risiko unbefugter Zugriffe minimiert.
• Flexibilität: Unternehmen können Zugriffspolicies individuell anpassen, um den spezifischen Anforderungen unterschiedlicher Benutzergruppen gerecht zu werden.
• Schutz sensibler Daten: Besonders schützenswerte Informationen können durch zusätzliche Sicherheitsmaßnahmen wie Multi-Faktor-Authentifizierung besser gesichert werden.

Herausforderungen und Überlegungen:

• Benutzerakzeptanz: Die Einführung neuer Sicherheitsmaßnahmen erfordert die Akzeptanz und das Verständnis der Mitarbeiter. Eine klare Kommunikation über die Vorteile und die Notwendigkeit dieser Maßnahmen ist daher entscheidend.
• Technische Umsetzung: Die Implementierung von Conditional Access erfordert eine sorgfältige Planung und möglicherweise Investitionen in neue Technologien.
• Ständige Anpassung: Die Sicherheitsmaßnahmen müssen regelmäßig überprüft und an neue Bedrohungen und technologische Entwicklungen angepasst werden.

Insgesamt ist Conditional Access ein kraftvolles Werkzeug, das Unternehmen nicht nur hilft, Sicherheitsrisiken zu minimieren, sondern auch die Effizienz und Flexibilität der IT-Infrastruktur zu steigern. 

Durch die richtige Implementierung und kontinuierliche Anpassung an aktuelle Bedrohungslagen können Unternehmen ihre Netzwerksicherheit auf ein neues Niveau heben.

FAQs – Fragen zum Conditional Access

Was ist Conditional Access?

Conditional Access ist ein Sicherheitsansatz, der den Zugriff auf Unternehmensressourcen basierend auf bestimmten Kriterien wie Benutzeridentität, Standort oder Gerät einschränkt. Es hilft, die Sicherheit zu erhöhen, indem es unbefugte Zugriffe verhindert.

Warum ist Conditional Access wichtig?

Es schützt Unternehmensnetzwerke vor unerwünschten Zugriffen und reduziert die Angriffsfläche. Durch gezielte Zugangskontrollen werden sensible Daten besser geschützt und Sicherheitsrisiken minimiert.

Welche Kriterien werden für Conditional Access verwendet?

Zu den häufigsten Kriterien zählen Standort, Zeit, Benutzerkonto, Gerät, Anwendung und Zugriffsrisiko. Diese Faktoren helfen, den Kontext des Zugriffs zu bestimmen und entsprechend zu steuern.

Wie wirkt sich Conditional Access auf die Benutzererfahrung aus?

Obwohl es zusätzliche Sicherheitsmaßnahmen erfordert, kann eine gute Implementierung die Benutzererfahrung kaum beeinträchtigen. Mit klarer Kommunikation und Schulung verstehen die Nutzer die Notwendigkeit und profitieren von einer sichereren Arbeitsumgebung.

Ist Conditional Access für jedes Unternehmen geeignet?

Ja, es ist für Unternehmen jeder Größe vorteilhaft, da es flexibel anpassbar ist und auf spezifische Sicherheitsbedürfnisse zugeschnitten werden kann. Besonders Unternehmen mit sensiblen Daten profitieren von der erhöhten Sicherheit.

Autorin Joanna Lang-Recht