Der Trend zu Single Sign-On (SSO) ist ungebrochen: Unternehmen wollen ihren Mitarbeitern einen komfortablen Zugang zu immer mehr Cloud- und Unternehmensanwendungen ermöglichen. Doch mit dieser Verbreitung steigt auch das Risiko. Werden zentrale Zugänge kompromittiert, können Cyberkriminelle im schlimmsten Fall Zugriff auf sämtliche angebundenen Systeme erhalten. – Ein Kommentar von Thomas Sonne, Channel Sales Director, Outpost24.

Die Praxis zeigt, dass viele Unternehmen SSO zwar implementieren, die dahinterliegende Identity Security jedoch nicht konsequent absichern. Dabei entscheidet gerade hier die Sicherheitsarchitektur über die gesamte IT-Landschaft. Der Identity Provider (IdP) fungiert faktisch als „Root-System“ für digitale Identitäten; entsprechend streng sollten Administration, Zugriffskontrollen und Monitoring gestaltet sein.

Administratorrechte konsequent trennen

Besonders problematisch ist der Umgang mit Administratorrechten. Werden diese mit normalen Benutzerkonten kombiniert, steigt das Risiko für Phishing- oder Malware-Angriffe erheblich. Best Practice ist daher die klare Trennung von Alltags- und Administrationsidentitäten sowie der Einsatz Phishing-resistenter Multi-Faktor-Authentifizierung, etwa mit Hardware Security Keys.

Kryptografische Schlüssel schützen

Ebenso kritisch ist der Schutz der kryptografischen Grundlagen eines SSO-Systems. Signaturschlüssel, OAuth Secrets oder API-Zugangsdaten dürfen weder unverschlüsselt gespeichert noch langfristig statisch verwendet werden. Aus diesem Grund sollten Unternehmen auf Hardware-Security-Module und sichere Secrets Vaults setzen, um das Risiko kompromittierter Zugangsdaten zu reduzieren.

Berechtigungen nach dem Least-Privilege-Prinzip vergeben

Ein weiterer Hebel liegt in der konsequenten Umsetzung des Least-Privilege-Prinzips. Dieses Sicherheitsprinzip besagt, dass Benutzer, Anwendungen und Systeme grundsätzlich nur die Berechtigungen erhalten sollten, die sie zur Erfüllung ihrer Aufgaben unbedingt benötigen. Ziel ist es, die potenzielle Angriffsfläche möglichst klein zu halten. Allerdings ist das in der Praxis oftmals nicht der Fall. Viele Anwendungen und Benutzer erhalten mehr Berechtigungen als tatsächlich nötig; häufig aus Gründen der Bequemlichkeit. Werden diese erweiterten Rechte missbraucht, vergrößert sich der potenzielle Schaden erheblich.

Angriffe frühzeitig erkennen

Prävention allein reicht nicht. Moderne Identity Security erfordert auch eine schnelle Erkennung von Angriffen. Dazu gehören eine lückenlose Protokollierung von IdP-Änderungen, die Integration der Logs in ein SIEM sowie die Analyse von Anomalien bei Token-Ausstellungen oder Zugriffsverhalten.

Single Sign-On vereinfacht die digitale Zusammenarbeit. Gleichzeitig macht es Identitäten zum zentralen Angriffspunkt. Unternehmen sollten SSO daher nicht nur als Komfortfunktion verstehen, sondern als sicherheitskritische Infrastruktur.

Weitere Informationen zur Specops Software GmbH finden Sie hier.