Dienstleister-Fernzugriff sollte auf die Personen, Systeme und Wartungszeiten begrenzt sein, die ihn tatsächlich brauchen. Auch ein vertrauenswürdiger Anbieter benötigt kontrollierte Zugänge: Seine Konten, Geräte oder Supportplattform können Teil Ihres Sicherheitsrisikos werden.
Eine Dienstleister-Verbindung braucht einen Verantwortlichen und klare Grenzen
- Benennen Sie den genehmigenden Systemverantwortlichen und den Techniker des Dienstleisters.
- Erfassen Sie erreichbare Systeme und die minimal erforderlichen Berechtigungen.
- Vereinbaren Sie Wartungsfenster, Ablaufzeit und Notfallzugangsweg.
- Prüfen Sie nach der Arbeit wichtige Funktionen und entziehen Sie den temporären Zugang.
Finden Sie Zugänge ohne klare Verantwortung
Erfassen Sie, wer sich womit verbinden kann. Dazu gehören Fernwartungsprogramme, VPNs, Cloud-Portale, Anbieterkonten und vom Vermieter installierte Geräte. Fragen Sie nach dem Zweck jeder Verbindung und der intern zuständigen Person, die sie genehmigt.
Eine monatliche Wartungsrechnung ersetzt kein Zugriffsverzeichnis. Dokumentieren Sie Konto, erreichbare Anlagen, Verantwortliche und Supportzeiten. Suchen Sie auch nach Verbindungen, die nach Projektende oder nach dem Ausscheiden eines Technikers aktiv geblieben sind.
Nutzen Sie persönliche Konten mit minimalen Rechten
Bevorzugen Sie individuelle Konten mit MFA statt eines gemeinsamen Kennworts. Ein Zugang zum Kühlungsregler braucht keinen Zugriff auf die Lohnbuchhaltung oder sämtliche Server. Trennen Sie Betriebstechnik von Bürosystemen und begrenzen Sie die Verbindungen zwischen den Bereichen.
Unterstützen ältere Anlagen keine moderne Anmeldung, schützen Sie das vorgeschaltete Zugangssystem und dokumentieren Sie diese Grenze. Ein VPN ist nur ein Baustein: Auch angemeldete Nutzer können zu weitreichende Rechte besitzen. Prüfen Sie Notfallzugänge gesondert.
Ein Freigabe-Beispiel für gelegentliche Wartung
Beispielhafter Zugangsnachweis, kein Grund, Überwachung oder Sicherheitsalarme zu unterbrechen. Vereinbaren Sie den tatsächlichen Umfang mit dem Systemverantwortlichen.
Vor der Sitzung
- Zweck: Untersuchung eines benannten Gerätefehlers.
- Identität: verifizierter Techniker mit einem individuell genehmigten Konto.
- Umfang: nur das betroffene System; vom Verantwortlichen genehmigtes Zeitfenster und genehmigte Berechtigungen.
Nach der Sitzung
- Dokumentieren Sie die Arbeit und prüfen Sie relevante Verbindungsprotokolle.
- Bestätigen Sie Betrieb, Überwachung und Alarmübermittlung mit dem zuständigen Spezialisten.
- Lassen Sie temporäre Berechtigungen ablaufen und dokumentieren Sie jeden genehmigten dauerhaften Zugang.
Begrenzen Sie Zeitfenster, ohne Notfallreparaturen zu verhindern
Verwenden Sie, soweit unterstützt, Freigaben und Ablaufzeiten für gelegentliche Wartung oder erhöhte Rechte. Vereinbaren Sie, wer eine Sitzung genehmigt, wie die Identität geprüft wird und was außerhalb der Geschäftszeiten gilt. Eine unerwartete E-Mail allein bestätigt keinen echten Wartungsauftrag.
Entziehen Sie Zugänge nicht, bevor ihre Abhängigkeiten verstanden sind. Manche Verbindungen übertragen Überwachung oder Alarme. Planen Sie Änderungen mit den Prozessverantwortlichen, prüfen Sie wichtige Funktionen und halten Sie einen dokumentierten Rückweg bereit.
Prüfen Sie Aktivitäten und entfernen Sie ungenutzte Rechte
Bewahren Sie brauchbare Verbindungs- und Änderungsprotokolle mit angemessenen Zugriffsrechten und Fristen auf. Legen Sie fest, wer Auffälligkeiten untersucht. Protokolle ohne Auswertung helfen wenig; Sitzungsaufzeichnungen brauchen außerdem verhältnismäßige Regeln zum Datenschutz.
Bestätigen Sie nach Wartungen die Arbeit, entfernen Sie befristete Rechte und prüfen Sie die Anlage. Kontrollieren Sie dauerhafte Konten regelmäßig sowie bei Vertrags- und Personaländerungen. Vereinbarungen sollten Vorfallmeldungen, Zugangsentzug und die Herausgabe Ihrer Konfiguration abdecken.
Machen Sie aus der Checkliste konkrete Schritte
ICT Shift koordiniert Zugriffe in lokalen, Cloud- und Hybridumgebungen. Unsere IT-Sicherheit und Geschäftskontinuität und unser Cloud- und Infrastrukturmanagement unterstützen eine praktische Prüfung Ihrer Dienstleisterverbindungen. Für den Einstieg beim wichtigsten Zugang sprechen Sie mit einem Engineer.
