Das Verwalten von Zugängen externer Auftragnehmer ist oft eine Herausforderung. Wenn Sie Zugang für Auftragnehmer verwalten, möchten Sie schnell Zugriff gewähren, zugleich aber sicherstellen, dass dieser Zugang nach Projektende sofort wieder entzogen wird. Mit Microsoft Entra Conditional Access können Sie einen automatisierten, selbsträumenden Prozess einrichten, der präzisen Zugriff gewährt und Zugänge automatisch sperrt.
Finanzielle und Compliance-Gründe für automatische Sperrung
Automatische Sperrung von Zugängen ist nicht nur sinnvoll für die IT-Sicherheit. Sie ist ein wichtiger Teil des finanziellen Risikomanagements und der Einhaltung von Vorschriften. Das größte Risiko bei der Verwaltung von Auftragnehmern ist, dass man sich auf das menschliche Erinnerungsvermögen verlässt, um Konten zu löschen und Berechtigungen zu entziehen. Vergessene Konten mit fortbestehenden Rechten, sogenannte ruhende Konten, sind ein beliebtes Ziel für Angreifer. Ein kompromittiertes ruhendes Konto ermöglicht Angreifern, sich unbemerkt im Netzwerk zu bewegen.
Ein bekanntes Beispiel dafür ist das Target-Datenleck von 2013. Die Angreifer nutzten die Anmeldedaten eines Drittanbieters mit zu umfangreichen Rechten, um sich Zugang zu sensiblen Bereichen zu verschaffen. Hätte Target das Prinzip der minimalen Rechte strikt umgesetzt, wäre die seitliche Ausbreitung wahrscheinlich begrenzt oder verhindert worden.
Wenn Sie in Microsoft Entra für Ihre Auftragnehmer eine Anmeldefrequenz festlegen und den Zugriff sofort entziehen, sobald ein Benutzer aus der Sicherheitsgruppe entfernt wird, reduzieren Sie das Risiko von nachwirkenden Rechten. Diese Automatisierung hilft Ihnen, das Prinzip der geringsten Rechte regelmäßig anzuwenden und gegenüber Prüfern unter Regelwerken wie DSGVO oder branchenspezifischen Vorgaben Rechenschaft zu zeigen.
Sicherheitsgruppe für Auftragnehmer anlegen
Der erste Schritt zur Beherrschung des Durcheinanders ist Organisation. Regeln einzeln auf Benutzer anzuwenden ist fehleranfällig und führt zu vergessenen Konten. Gehen Sie daher ins Microsoft Entra Admin Center und erstellen Sie eine neue Sicherheitsgruppe mit einem klaren Namen, zum Beispiel "Externe-Auftragnehmer" oder "Temporärer-Zugang".
Diese Gruppe wird zu Ihrem zentralen Steuerpunkt. Fügen Sie jeden neuen Auftragnehmer hinzu, wenn er beginnt, und entfernen Sie ihn, wenn das Projekt endet. Dieser einzelne Schritt legt die Grundlage für eine saubere und skalierbare Verwaltung in Entra.
Automatische Ablaufrichtlinie erstellen
Im nächsten Schritt richten Sie die Richtlinie ein, die den Zugriff automatisch steuert. Conditional Access übernimmt den Großteil der Arbeit. Erstellen Sie im Entra-Portal eine neue Conditional-Access-Richtlinie und weisen Sie sie Ihrer Gruppe "Externe-Auftragnehmer" zu. Definieren Sie anschließend die Bedingungen, die steuern, wie und wann Zugriff gewährt oder entzogen wird.
Im Bereich "Gewähren" erzwingen Sie Multi-Faktor-Authentifizierung, um eine zusätzliche Sicherheitsstufe einzuführen. Unter "Sitzung" finden Sie die Einstellung zur "Anmeldefrequenz"; stellen Sie diese beispielsweise auf 90 Tage oder auf einen Wert, der zu Ihren Verträgen passt. So werden regelmäßige Neuanmeldungen erforderlich und gleichzeitig sichergestellt, dass entfernte Auftragnehmer sich nicht erneut authentifizieren können.
Zugriff nur auf die erforderlichen Werkzeuge beschränken
Überlegen Sie genau, welche Aufgaben ein Auftragnehmer tatsächlich ausführt. Ein freiberuflicher Redakteur benötigt eventuell nur Zugriff auf das Content-Management-System, nicht aber auf die Finanzsoftware. Ein Webentwickler braucht Zugang zu Staging-Servern, nicht zu HR-Anwendungen. Richten Sie eine zweite Conditional-Access-Richtlinie für Ihre Auftragnehmergruppe ein, in der Sie unter "Cloud-Apps" nur die erlaubten Anwendungen auswählen und alle anderen blockieren.
Vorteile dieser Vorgehensweise:
- Reduzierung der Angriffsfläche durch Prinzip der geringsten Rechte
- Gezielter Zugriff auf genau die Tools, die zur Erfüllung der Aufgabe nötig sind
- Klare Trennung zwischen internen und externen Ressourcen
Starke Authentifizierung ergänzen
Sie können zusätzlich Geräte- und Authentifizierungsanforderungen einbinden. Sie müssen nicht das persönliche Gerät eines Auftragnehmers verwalten, aber Sie können steuern, wie er seine Identität nachweist. Beispielsweise lässt sich eine Richtlinie konfigurieren, die einen konformen Client erfordert und gleichzeitig per "ODER" den Zugriff erlaubt, wenn der Benutzer eine phishing-resistente Methode nutzt, etwa die Microsoft Authenticator-App. So fördern Sie die Nutzung starker Verfahren ohne unnötige Reibung.
Das System automatisch für Sie arbeiten lassen
Der größte Vorteil tritt ein, sobald alles konfiguriert ist: Der Zugang wird weitgehend automatisch verwaltet. Wenn ein neuer Auftragnehmer in die Sicherheitsgruppe aufgenommen wird, gelten sofort die definierten Zugriffsrechte und Sicherheitskontrollen. Wird der Auftragnehmer entfernt, werden Zugriffe sofort komplett entzogen, inklusive aktiver Sitzungen. So vermeiden Sie nachwirkende Rechte.
So können Sie Zugang für Auftragnehmer verwalten
Mit einer kurzen, initialen Einrichtung in Conditional-Access-Richtlinien schaffen Sie ein System, das sicher und weitgehend wartungsfrei arbeitet. Wenn Sie Zugang für Auftragnehmer verwalten, setzen Sie präzise Zeitfenster und verhindern automatisch, dass ehemalige Auftragnehmer weiter auf Ihre Systeme zugreifen. Das ist ein Gewinn für Sicherheit, Produktivität und Ihre innere Ruhe.
Wenn Sie Unterstützung bei der Umsetzung wünschen, sprechen Sie uns an, damit wir gemeinsam ein passendes set-and-forget-System aufbauen.
Neueste Kommentare