Ihre Frage trifft einen nach wie vor wunden Punkt der IT Sicherheit. Viele Sicherheitsmassnahmen zielen da-rauf ab, Systeme, Applikationen und Informationen gegen unbefugten Zugriff durch Anwender oder gegen externe Angreifer zu schützen. Dabei wird in den meisten Fällen eine wichtige und mit vielen Rechten versehene Benutzergruppe, die Systemadministratoren, ausser Acht gelassen. Das Management der SysAdmin-Passwörter erhält somit eine zentrale Rolle im Security Management. Ich werde Ihre Frage in zwei Teilfragen aufteilen und beantworten:

1. Wie kann verhindert werden, dass Unbefugte Zugang zu wichtigen Passwörtern finden?

2. Wie kann ich eine Verbindung vom Gebrauch eines gemeinsam genutzten Passwortes zu einem individuellen Benutzer herstellen?

Zwischenzeitlich gibt es am Markt verschiedene Lösungen Passwörter zu schützen. Geeignete Träger von Passwörtern sind beispielsweise PIN geschützte Smartcards oder USB Tokens. Im Vordergrund steht die Nutzung verschiedener Passwörter für unterschiedliche Applikationen durch einen Benutzer. Das Manko bei dieser Lösung: Smartcards können Ihnen nicht dabei helfen, Rollen bezogene Passwörter gemeinsam zu nutzen. Bereits beim ersten Passwortwechsel müssen Sie mit Problemen rechnen.

Um diese Probleme zu vermeiden, bieten verschiedene Hersteller gruppenfähige Verschlüsselungslösungen an, mit deren Hilfe auf einem zentralen Server ein so genannter Password Vault (Tresor) erstellt wird. Damit können Sie verschiedene Passwörter effizient schützen und nur definierten Benutzern zugänglich machen. Durch den Einsatz von starken Authentisierungsmechanismen wird der Zugang zu diesem Password Vault zusätzlich gut abgesichert. Nach wie vor nicht gelöst ist jedoch der eindeutige Bezug des gebrauchten Passwortes zu einem Benutzer innerhalb einer bestimmten Zeit. Das heisst, ein Passwort darf nur einmal genutzt werden (One Time Password, OTP), und der Zugriff muss durch einen Audit Trail eindeutig nachvollziehbar sein.

Bei einem Audit Trail werden alle Aktivitäten am Password Vault überwacht (Monitoring), festgehalten (Logging) und ausgewertet (Reporting). Die eindeutige Benutzeridentifizierung erfolgt über starke Authentisierungsmechanismen. Da für den authentisierten Benutzer das verschlüsselte Passwort zugänglich gemacht wird, muss es nach dem Logon - unbemerkt für den Benutzer - verändert werden.

Ein zentrales Passwort Management ist daher aus zweierlei Gründen erforderlich: Erstens lässt sich damit ein sicherer, für den Benutzer transparenter Passwortwechsel durchführen. Zweitens erfolgt ein automatischer Wechsel bei der Initialisierung der SysAdmin Passwörter aller Server, Hosts, Netzwerkkomponenten, Datenbanken und Applikationen. Der entscheidende Vorteil dieses Ansatzes ist: Er gibt Ihnen Gewähr, dass kein bekanntes Default Passwort von externen oder internen Angreifern genutzt werden kann.

Internationale Regulationen wie zum Beispiel der Sarbanes-Oxley-Act, werden Unternehmen zwingen, künftig alle Aktivitäten - auch diejenigen der SysAdmins - an kritischen Systemen für das periodische Auditing oder auf Verlangen auszuweisen. Die heutigen Methoden sind dazu nicht ausreichend. Ohne Frage wird daher das Management der privilegierten Benutzer (Privileged User Management) in Zukunft an Bedeutung zunehmen. Es hilft Ihnen, die Sicherheit Ihrer kritischen Applikationen und Systeme zu gewährleisten und gleichzeitig die Arbeitsprozesse effizienter zu gestalten. Privileged User Management ist eine optimale Ergänzung zu bestehenden oder geplanten Identity und Access Management Systemen.

Der Autor:
Reto Grünenfelder ist Senior-IT-Consultant bei HIS Software Zürich.
www.hissoft.ch