Jenseits der Perimetergrenzen: Implementierung von Zero-Trust-IAM in Hybrid- und Multi-Cloud-Umgebungen

Moderne Umgebungen basieren auf Cloud-Plattformen, SaaS-Anwendungen und hybriden Infrastrukturen, wodurch Netzwerkgrenzen an Bedeutung verlieren. Die Identität bietet den einheitlichsten Kontrollpunkt über alle Dienste, Anwendungen und Umgebungen hinweg. 

Identitätswildwuchs entsteht, wenn Konten, Anmeldedaten und Berechtigungen über nicht miteinander verbundene Plattformen verteilt sind, was zu blinden Flecken und einer schwachen Governance führt. 

Maschinenidentitäten skalieren schneller als menschliche und verfügen oft nicht über Lebenszyklusmanagement, Passwortrotation und Überwachung – was ihren manuellen Schutz erschwert. 

Durch die Vereinheitlichung von Identitätssystemen, die Durchsetzung starker Authentifizierung, die kontinuierliche Überprüfung von Zugriffen und die Beseitigung impliziten Vertrauens zwischen Systemen. 

Sie sollten eine Bestandsaufnahme aller Identitäten erstellen, Plattformen konsolidieren, MFA durchsetzen, die Governance automatisieren, den Zugriff segmentieren und Richtlinien zur kontinuierlichen Überprüfung anwenden.

Bitte sehen Sie sich hier das Video an, um ein Transkript mit Zeitangaben zu erhalten

Hallo zusammen, willkommen bei „Beyond the Perimeter“.

Ich finde, diese Sitzung hat einen tollen Titel.

Das wäre ein toller Titel für einen Film, aber äh, in dieser Sitzung werden wir nicht über
irgendetwas aus einem Film sprechen.

Wir werden über Ihr IAM-System sprechen und darüber, wie Zero Trust Ihnen
helfen kann, Ihre IAM-Systeme zu schützen und Ihre Netzwerke sicherer zu machen.

Hier sind einige der wichtigsten Ziele, die wir in dieser Präsentation behandeln werden.

Wir werden darüber sprechen, warum Identität heute der neue Sicherheitsperimeter ist.

Außerdem werden wir alle zentralen Zero-Trust-IAM-Prinzipien behandeln, die unserer Meinung nach für
Ihr Identitäts- und Zugriffsmanagementsystem am wichtigsten sind.

Darüber hinaus werden wir einige Strategien erörtern, mit denen wir den Zugriff in Ihrem Identitäts- und Zugriffsmanagementsystem vereinheitlichen, absichern
und verifizieren können.

Abschließend werde ich Ihnen zudem eine Roadmap vorstellen, die Ihnen
hoffentlich praktische Ratschläge und konkrete Schritte an die Hand gibt, mit denen Sie Zero Trust in Ihrem

IAM-System umsetzen können und die Ihnen wirklich dabei helfen, den Einstieg zu finden und schon frühzeitig Erfolge zu erzielen – vielleicht sogar schon nächste
Woche, wenn Sie über Ihre Zero-Trust-Projekte nachdenken.

Mein Name ist Ron Robbins und ich bin Senior Product Manager hier bei Commvault. Ich arbeite im
Bereich „Identity Resilience“ und unterstütze Kunden dabei,

die Herausforderungen im Bereich der Identitätsresilienz in ihrem Unternehmen zu meistern.

Lassen Sie uns gleich loslegen.

Das Wichtigste, was ich meiner Meinung nach bei der Vorbereitung auf diesen Vortrag gelernt habe –
und das, was man meiner Ansicht nach in diesem Vortrag unbedingt im Hinterkopf behalten sollte –, ist, dass

die Identität die neue Perimetergrenze ist.

Früher beschränkte sich unsere Sicherheit doch nur auf die Firewall, nicht wahr?

Wir waren an traditionelle Netzwerkmodelle gewöhnt, bei denen

wir Firewalls und VPNs eingerichtet haben und davon ausgegangen sind, dass unser Netzwerk oder unser Rechenzentrum
durch diese Firewalls und VPNs geschützt ist.

Das ist nicht mehr der Fall.

Wissen Sie, wir haben neue Workloads und neue SaaS-Anwendungen hinzugefügt.

Wir haben unsere Umgebung um neue Cloud-Plattformen erweitert.

Und wie John Hawley es in einem Artikel im CSO Magazine aus dem Jahr 2012 formulierte, sagte er, dass unsere Rechenzentren
zunehmend stark fragmentiert sind.

Sie brechen aus dem behaglichen Sicherheitsperimeter von Firewalls und VPNs aus – was meiner
Meinung nach ein großartiges Bild ist, um darüber nachzudenken, in welcher Situation wir uns

heute befinden: Wir haben nicht mehr dieses traditionelle Netzwerk vor Ort, in dem wir
durch eine Firewall und ein VPN geschützt sind.

Aber wir haben uns weit darüber hinaus ausgebreitet.

Beispielsweise befinden sich die meisten von uns in einer hybriden Situation, in der wir über eine Lösung vor Ort

und zudem mit vielen Cloud-Plattformen arbeiten.

Ähm, unsere IM-Implementierungen stehen dadurch wirklich vor einer Herausforderung, und Geoff Cairns spricht dies in einem
Artikel an, den er anlässlich der Veröffentlichung der Forrester Wave™ verfasst hat.

Er sagt, dass heutige IM-Implementierungen durch Identitätswildwuchs, zahlreiche Benutzerkonten
und Anmeldedaten über isolierte Systeme hinweg gekennzeichnet sind und dass wir infolgedessen eine mangelhafte Identitätshygiene haben

.

Und das ist wirklich etwas, das wir in den Griff bekommen müssen, und es ist etwas, das
von Tag zu Tag zunimmt.

Bezieht man zudem das Problem der genetischen KI mit ein, sieht man diese explosionsartige
Zunahme dessen, was wir als nicht-menschliche Identität oder NHI bezeichnen.

CyberArk stellte 2025 in einer Landschaftsstudie fest, dass die von ihnen
bei Kunden erfassten Maschinenidentitäten

diese mittlerweile die menschlichen Identitäten im Verhältnis von 82 zu 1 übersteigen – eine erstaunliche Zahl
.

Die Anzahl der Agenten, die diese Identitäten nutzen, und die Anzahl der Dienstkonten, die diese Identitäten verwenden
.

Früher hatten wir die Vorstellung von einem Netzwerk mit einer Identität pro Person.

Und früher haben wir nur diese geringe Anzahl von Identitäten verwaltet.

Und jetzt haben wir Tausende und Abertausende von Dienstkonten, die wir
verwalten müssen

mit Namen wie „Dienstkonto 01“, „Dienstkonto 02“ – und das wird einfach zu einem wirklich riesigen
Problem für uns, einem wirklich riesigen Problem, diesen explosionsartigen Anstieg an Identitäten zu verwalten und

die Sicherheit in der gesamten Umgebung zu gewährleisten.

Deshalb bin ich heute mehr denn je der Meinung, dass wir eine Art Zero-Trust-Strategie für
unsere IAM-Umgebung brauchen.

Lassen Sie uns also etwas genauer definieren, wie die Herausforderungen im Hybrid- und Multi-Cloud-Umfeld aussehen
.

Ich frage mich, wie viele von euch eine Multi-Cloud-Strategie verfolgen?

Wenn ihr ausschließlich mit AWS arbeiten würdet, hätten euch die jüngsten Nachrichten vielleicht gezeigt, dass ihr möglicherweise eine Multi-Cloud-Strategie
einführen müsst, bei der Anwendungen

auf mehreren Plattformen verteilt sind, sich über mehrere Clouds erstrecken oder zumindest, wenn möglich, ein Failover zwischen
den Clouds ermöglichen sollten.

Wir integrieren diese Cloud-Plattformen also in unsere Organisation, um Ausfallsicherheit zu gewährleisten.

Und dann haben wir festgestellt, dass jede dieser Cloud-Plattformen, die wir in unserem Unternehmen
einsetzen mussten, über eigene IAM-Systeme verfügt.

Und diese IAM-Systeme haben jeweils ihre eigene Sprache.

Wenn man sich zum Beispiel Active Directory ansieht und dort
eine Rolle hinzufügt, ist das völlig anders als das Hinzufügen einer Rolle in AWS IAM.

Ich meine, es gibt zwar einige ähnliche Konzepte, oder?

Aber die Sprache und der Prozess, den man in Active Directory durchläuft, und der, den man in
AWS IAM durchläuft,

sind zwei völlig verschiedene Dinge.

Ich meine, AWS IAM ähnelt eher einer Skriptsprache für den Zugriff auf
eine Rolle oder das Hinzufügen einer Rolle als Active Directory.

Wenn man also über die Benutzeroberfläche hinausblickt, ist es viel komplexer und nicht einheitlich
über alle IAM-Systeme hinweg.

Das stellt uns vor ein ziemliches Problem, wenn wir bestimmte Vorgaben durchsetzen und plattform- sowie anwendungsübergreifend einheitliche Richtlinien anwenden
wollen.

Auch Fusionen und Übernahmen tragen zu diesem Problem bei.

Wir haben also ständig Fusionen und Übernahmen oder neue Unternehmen, die in unsere
Organisation eintreten, die möglicherweise ihre eigenen Konten haben und für die wir möglicherweise eigene

Konten haben, die wir verwalten müssen.

Und sie bringen möglicherweise Probleme mit der Identitätshygiene mit sich, die wir zuvor gar nicht in Betracht gezogen
haben.

Ich habe früher für eine Organisation gearbeitet – ich werde übrigens keine Namen nennen, um
sicherzustellen, dass die Schuldigen geschützt bleiben.

Aber ich habe früher für eine Organisation gearbeitet, in der es viele Fusionen und Übernahmen gab.

Wir haben ein Zero-Trust-Audit durchgeführt und dabei festgestellt, dass es viele Cloud-Konten
gab, die einfach nicht verwaltet wurden – Konten, die wir aufgrund der Vielzahl

Übernahmen, die im letzten Jahr stattgefunden hatten.

Wir stellten fest, dass wir 12 Cloud-Konten hatten, von deren Existenz wir nicht einmal wussten.

Und in jedem dieser 12 Cloud-Konten gab es Administratorkonten, die ausschließlich

für einen einzelnen Benutzer bestimmt waren.

Ein einzelner Benutzer könnte also über 12 verschiedene Admin-Konten auf all diesen 12
Cloud-Plattformen gehabt haben.

Das stellte uns vor ein ziemliches Problem.

Außerdem entstanden, wenn diese Nutzer das Unternehmen verließen, viele verwaisten Konten.

Es gab also verwaistete Admin-Konten, und das ist wirklich etwas, was man in
seinem Unternehmen nicht haben möchte.

Die Identitätshygiene wird also zu einem ziemlichen Problem, wenn man bedenkt,

die Anzahl der Cloud-Plattformen und die Anzahl der
SaaS-Anwendungen, die man in die Gleichung einbezieht.

Deshalb brauchen wir mehr denn je eine Strategie für unsere Identitätssysteme.

Und ich denke, dass es bestimmte Prinzipien aus dem Zero-Trust-Ansatz gibt, die wir auf unsere IAM-Systeme
anwenden können, um die Sicherheit zu erhöhen.

Das erste lautet: Niemals vertrauen, immer überprüfen.

Jeder einzelne Nutzer, jedes einzelne Gerät,

jedes einzelne Objekt, das auf Ihr Netzwerk zugreift – muss sich ausweisen.

Sie müssen sicherstellen, dass es seine Identität nachweist und beweist, dass es ein vertrauenswürdiges Objekt
ist, das auf Ihr Netzwerk zugreifen und dort Funktionen ausführen darf.

Außerdem müssen Sie das Prinzip der geringsten Berechtigungen für Ihre Identitäten umsetzen.

Benutzern sollte also nur so viel Zugriff gewährt werden, wie zur Ausführung einer Aufgabe oder ihrer beruflichen Funktion erforderlich ist – und
nicht mehr.

Wenn sie also Zugriff auf etwas haben, das über ihre berufliche Funktion hinausgeht,

handelt es sich um ein Konto mit übermäßigen Berechtigungen.

Stellen Sie sich vor, was passieren könnte, wenn ein Angreifer dieses Konto in die Hände bekäme, sich
einloggen und Funktionen ausführen könnte, die er in Ihrem Unternehmen eigentlich nicht ausführen darf.

Außerdem benötigen Sie überall eine starke Authentifizierung und MFA, falls Sie diese noch nicht haben.

Die Authentifizierung besteht aus drei Komponenten.

Sie besteht aus etwas, das man weiß, etwas, das man besitzt, und etwas, das man ist.

Daher ist es wichtig, dass eine starke Authentifizierung alle drei dieser Elemente umfasst – oder zumindest
zwei davon, falls Sie zum jetzigen Zeitpunkt in Ihrem Netzwerk noch nicht alle drei umsetzen können.

Das ist sehr wichtig.

Zugriffsentscheidungen müssen auf dem Kontext und dem Sicherheitsstatus basieren.

Was bedeutet das?

Nehmen wir also an, eine Person greift auf das Netzwerk zu, hat einen Laptop und hat
sich irgendwo in New Jersey angemeldet.

Dann hat sie begonnen, im Netzwerk aktiv zu werden, und plötzlich, fünf Minuten später,

ändert sich die IP-Adresse ihres Geräts plötzlich in eine IP-Adresse, die möglicherweise in Kalifornien liegt
, und sie führt ihre Aktivitäten im Netzwerk von Kalifornien aus durch.

Nun ist es unmöglich, dass diese Person in fünf
Minuten quer durch das Land gereist sein könnte.

Das ist eine unmögliche Reise.

Und wenn man so etwas in dieser Sitzung feststellt, sollte man entweder die Sitzung beenden
oder die Person erneut authentifizieren, um sicherzustellen, dass es sich tatsächlich noch um dieselbe Person handelt,

, die sie bei der Authentifizierung angegeben hat.

Daher sind die Überprüfung des Gerätestatus

sowie die Überprüfung des Kontexts äußerst wichtig.

Und damit einher geht auch die kontinuierliche Überprüfung.

Man muss sicherstellen, dass die Person, die man einmal authentifiziert hat, während der gesamten Sitzung weiterhin vertrauenswürdig
ist.

Wenn sie also anfangen, riskantes Verhalten an den Tag zu legen, wenn sie auf Konten zugreifen, auf die sie keinen
Zugriff haben dürfen, wenn sie anfangen, Daten zu löschen oder zerstörerische Handlungen vorzunehmen, sollten Sie

sichergehen, dass Sie die Person erneut verifizieren oder

die Sitzung beenden, wenn ein Risiko besteht.

Ein weiterer großer Vorteil von Zero Trust ist, dass man immer von einer Sicherheitsverletzung ausgehen oder diese „Assumed
Breach“-Denkweise haben sollte, richtig?

Man sollte sein Netzwerk so aufbauen, als befänden sich bereits böswillige Akteure darin.

Und ich denke, eine herausfordernde Übung – oder vielleicht auch eine unterhaltsame Übung für einige von euch
, die gerne als Ermittler tätig sind –, wäre es, davon auszugehen, dass bereits

jeden Tag in Ihr Netzwerk eingedrungen ist.

Macht euch daran, die Sitzungen zu überprüfen, schaut euch die Aktionen der Benutzer an, versucht

herauszufinden, ob jemand jeden Tag etwas Böswilliges in eurem Netzwerk anstellt, und versucht, böswillige Akteure auf frischer Tat zu ertappen
.

Wenn ihr immer von einem Einbruch ausgeht, werdet ihr stets vorsichtig sein, ihr werdet immer Vorsichtsmaßnahmen treffen
und ihr werdet immer die Vorgänge in eurem Netzwerk

und in Ihren Identitätssystemen überwachen.

Welche Strategien können wir also anwenden, um einige dieser Zero-Trust-Richtlinien umzusetzen?

Nun, als Erstes können wir meiner Meinung nach Identität, Authentifizierung und
Zugriff vereinheitlichen.

Und was meine ich damit?

Also, ähm,

mit all diesen Cloud-Plattformen und all diesen SaaS-Anwendungen, die wir implementiert haben,
haben wir diese Identitätssilos.

Ich nenne sie gerne „Identitätsinseln“ – einfach diese Inseln der Identität, die da draußen existieren.

Und der einfachste Weg, sie alle unter Kontrolle zu bringen, besteht darin, die Silos aufzubrechen oder
die Trennlinien zwischen all diesen Identitätsinseln zu beseitigen und sie alle zusammenzuführen.

Schaffen Sie eine einzige Quelle der Wahrheit für Ihre Identitäten.

In den meisten Unternehmen ist das oft das HR-System: Wenn neue
Mitarbeiter eingestellt werden und ihre Daten dort eingeben.

Das könnte die zentrale Informationsquelle sein und der Ort, an dem Sie Konten anlegen.

Es könnte sich aber auch um ein „Identity-as-a-Service“-System handeln, wie beispielsweise Entra AD, Ping oder
Octa – so etwas in der Art.

Entscheidend ist dabei, dass Sie zu einer Identität pro Benutzer gelangen.

Es ist viel einfacher, Benutzer und Identitäten zu verwalten, wenn Sie eine Identität pro Benutzer haben.

Außerdem lässt sich diese Identität leichter über mehrere Systeme und
Dienste hinweg zusammenführen, wenn man eine Identität pro Benutzer hat.

Und das ist der nächste Schritt.

Genau das müssen Sie tun: diese Identität vernetzt nutzen.

Ich habe ein gutes Beispiel aus einer früheren Organisation, mit der ich zusammengearbeitet habe.

Ich verspreche, es wird nicht dieselbe Organisation sein, aber auch hier handelt es sich um eine anonyme Organisation.

Wir haben einen FTP-Dienst bereitgestellt.

Dieser FTP-Dienst ließ sich nicht

mit unserer damaligen üblichen Verbundstrategie kombinieren.

Daher verfügte er über einen eigenen Identitätsspeicher.

Er verfügte zudem über eine eigene MFA-Komponente.

Wir waren damals noch nicht besonders gut darin, eine Föderation zwischen unserer Unternehmensumgebung
und unserer Cloud-Umgebung herzustellen.

Wer also auf diesen Cloud-FTP-Dienst zugreifen wollte, musste sich zunächst über ein Benutzerkonto, einen Benutzernamen und eine MFA-Abfrage beim
Unternehmens-VPN anmelden.

Anschließend musste sie sich bei unserer Cloud-Plattform anmelden

mit einem Unternehmensbenutzerkonto, einem Benutzernamen, einem Passwort und einer MFA-Abfrage anmelden.

Anschließend musste sie sich beim FTP-Dienst anmelden – mit Benutzername, Passwort und einer
MFA-Abfrage.

Und alle diese Zugänge hatten denselben Namen.

Wenn also jemand den Helpdesk anrief und ein Problem mit seiner Identität oder mit einem seiner MFA-Konten hatte, konnten wir nicht sagen, um
welches es sich handelte.

Im Grunde genommen

mussten wir raten und herausfinden, mit welchem sie Probleme hatten, und sie konnten uns nicht ohne Weiteres mitteilen, um
welches es sich handelte.

Manchmal konnten ihre Probleme gelöst werden, manchmal nicht, und wir hatten wirklich keine
Ahnung, wo genau die Identitätsprobleme bei diesem bestimmten System lagen.

Daher ist es sehr wichtig, irgendwie zu dieser einen Identität pro Benutzer zu gelangen.

Außerdem ist es viel einfacher, richtlinien- und rollenbasierte Zugriffsmodelle plattformübergreifend
zu vereinheitlichen, wenn man über eine einzige Identität verfügt.

Und auch wenn es darum geht, die Lebenszyklus-Bereitstellung und die Governance für Ihre
Benutzer zu automatisieren, ist dies mit einer einzigen Identität und einer konsolidierten Identitätslandschaft viel, viel einfacher.

Lassen Sie uns als Nächstes über die Absicherung privilegierter Zugriffe sprechen.

Auch das ist sehr wichtig.

Eine der Maßnahmen, die Sie ergreifen müssen, besteht darin, Ihre Administratoren als die Identitäten
mit dem höchsten Risk in Ihrem Unternehmen zu behandeln.

Sie sind die gefährlichsten Konten, und im Falle einer Sicherheitsverletzung werden sie am häufigsten

im Falle eines Sicherheitsvorfalls ins Visier genommen.

Sie sind für Angreifer am wertvollsten, nicht wahr?

Niemand in Ihrem Unternehmen sollte ständig über erweiterte Berechtigungen verfügen.

Kein Administrator sollte ständig über erweiterte Berechtigungen verfügen.

Er braucht sie einfach nicht.

Er braucht sie nicht, um im Internet zu surfen oder Nachrichten über das Weltgeschehen zu lesen.

Sie müssen eine Art „Just-in-Time“-Erweiterung der Berechtigungen durchsetzen

, bei der Administratoren erweiterte Berechtigungen nur für den Zeitraum erhalten, den sie benötigen, um
die gewünschte Aktion auszuführen.

Wenn Sie dies in Kombination mit dem Zero-Trust-Prinzip umsetzen, erhalten Sie ein
Administratorkonto, das nur für einen bestimmten Zeitraum Zugriff hat, um die erforderlichen Aufgaben zu erledigen.

Und es hat nur Zugriff auf genau jene spezifische Funktion, auf die wir den Zugriff beschränkt
haben.

Dadurch werden Ihre Administratorkonten wesentlich sicherer.

Sie sollten außerdem eine Art überwachter Notfallkonten definieren.

Dazu habe ich eine tolle Geschichte.

Ich frage mich – fragen Sie sich doch mal selbst: Wie viele von Ihnen da draußen haben einen Bob in ihrem Umfeld?

Ich meine, ihr kennt diesen Typen, ihr kennt Bob.

Bob ist der Typ, der als Einziger Zugriff auf diesen einen Server hat, der verstaubt in einem alten, ähm, Verkabelungsschrank irgendwo vor Ort in Ihrer Organisation steht

und er ist der Einzige, der sich dort einloggen kann.

Und wenn Bob jemals das Unternehmen verlassen würde oder wenn Bob – Gott bewahre – sterben sollte, würdet ihr
den Zugriff auf diesen Server verlieren.

Ihr könntet euch nicht mehr darauf einloggen.

Ihr könntet keine Backups mehr erstellen und keine Daten mehr wiederherstellen.

Sie könnten ihn nicht mehr aktualisieren.

Und Bob weiß das, und Bob weiß, dass er sehr wertvoll ist.

Deshalb sollten Sie sicherstellen, dass Sie solche Personen wie Bob aus Ihrem Umfeld entfernen.

Sie sollten über Notfallkonten verfügen, die Sie einrichten können und auf die Sie bei
Bedarf zurückgreifen können, sollte das Unvorstellbare eintreten, sollte eine Katastrophe eintreten – und Konten, die

überwacht und kontrolliert werden – Konten, die Sie aus- und wieder einchecken können, um die weitreichendsten Aktionen durchzuführen
, wie zum Beispiel Root-Zugriff auf ein Cloud-Konto, das Ihnen gehört.

Ein weiterer wichtiger Aspekt bei der Absicherung und Privilegierung des Zugriffs ist die Forderung nach doppelter Genehmigung für Aktionen mit erheblichen
Auswirkungen.

Was meine ich damit?

Nehmen wir an, Sie haben einen Administrator, der sich anmelden und 50 Konten ändern muss.

Normalerweise tut er das nie, aber Sie wissen ja, dass dies eine Aktion mit sehr weitreichenden Auswirkungen ist.

Das wäre eine sehr schädliche Aktion, wenn er 50
Konten auf einmal verwalten und eine Änderung vornehmen würde, die erhebliche Auswirkungen auf Ihr Unternehmen hätte.

Sie möchten über einen Mechanismus verfügen, bei dem für diese spezifische Aktion eine doppelte Authentifizierung oder
doppelte Genehmigung erforderlich ist, sodass Bob, wenn er diese Änderung vornimmt,

die Genehmigung von jemand anderem einholen muss – vielleicht müsste auch jemand aus einer höheren Ebene der Organisation
diese Aktion genehmigen.

Und das ist sehr wichtig.

Wenn ein Angreifer Zugriff auf Bobs Konto oder das Konto einer anderen Person erhält – hör mal, ich nehme hier nur
Bob als Beispiel –, bräuchte er ein zweites Konto, um diese

zerstörerischen oder folgenschweren Aktionen ausführen zu können.

Außerdem muss sichergestellt werden, dass jede Privilegien-Sitzung und jede Administratorsitzung
aufgezeichnet wird.

Stellen Sie sicher, dass all dies überwacht und überprüft wird.

Und teilen Sie Ihren Mitarbeitern mit, dass diese Aktivitäten überprüft und aufgezeichnet werden.

Ich stelle fest, dass Administratoren viel vorsichtiger sind, wenn sie wissen, dass ihre Handlungen beobachtet werden.

Sie achten viel stärker darauf, keine Fehler zu machen, und verhalten sich
viel zurückhaltender, wenn sie wissen, dass ihre Sitzungen

überwacht und ihre Sitzungen überprüft werden.

Ich halte das also für wichtige Maßnahmen zur Absicherung des Zugriffs mit Sonderrechten.

Fügen wir dann noch die kontinuierliche Überprüfung hinzu.

Diese kontinuierliche Überprüfung ähnelt dem Zero-Trust-Ansatz, ist aber Zero Trust in Echtzeit.

Was wir tun, ist, dass wir Benutzer kontinuierlich validieren und prüfen, ob sie die
Berechtigung haben, das zu tun, was sie tun müssen.

Man darf nämlich nicht vergessen: Nur weil wir
einen Benutzer beim allerersten Mal authentifizieren, heißt das noch lange nicht, dass ihm während der gesamten Zeit, in der er

online ist oder während der gesamten Dauer seiner Sitzung.

Sitzungstoken

können gestohlen und Sitzungen können gekapert werden; diese können übernommen werden, und böswillige Akteure können damit riskante Aktionen
ausführen.

Daher ist es wichtig, kontinuierlich zu überprüfen, was der Nutzer während seiner Sitzung tut, und den Gerätestatus zu berücksichtigen
.

Wenn es sich bei dem Gerät, das auf die Sitzung zugreift, um ein Unternehmensgerät handelt oder um ein
privates Gerät, das möglicherweise Malware in Ihr

Netzwerk einschleusen könnte, ist es sehr wichtig, dies im Auge zu behalten.

Für risikobehaftete Aktionen benötigen Sie eine Art verstärkte Authentifizierung.

Wenn sich also jemand anmeldet und seine Berechtigungen erweitern oder ein
Administratorkonto erstellen möchte, sollte eine Art erweiterte Authentifizierung stattfinden.

Ein gutes Beispiel hierfür ist die Anmeldung bei Ihrer Bank: Wenn Sie sich bei
Ihrer Bank anmelden, geben Sie Ihren Benutzernamen und Ihr Passwort ein und nutzen möglicherweise MFA, wenn es sich um eine

gute Bank handelt, und Sie gehen dorthin, um einfach Ihr Konto zu überprüfen oder Ihre Transaktionen einzusehen,

, aber dann möchten Sie einen großen Geldbetrag auf ein anderes Konto überweisen, was Sie sonst
nie tun.

Die Bank fordert Sie möglicherweise zur zusätzlichen MFA auf oder sendet Ihnen eine E-Mail mit der Aufforderung: „Bitte geben Sie den Code ein,
den wir Ihnen gerade per E-Mail gesendet haben, damit Sie diese Transaktion bestätigen können.“

Das ist ein Beispiel für eine „Step-up“-Authentifizierung.

Und das lässt sich in Ihrem Unternehmen leicht umsetzen – insbesondere bei
risikobehafteten Vorgängen.

Sie müssen Sitzungen auf Anomalien überwachen.

Stellen Sie sicher, dass Sie den Benutzer bei Auftreten von Anomalien in einer Sitzung erneut authentifizieren
.

Wenn ein Benutzer also normalerweise nicht auf Finanzdaten in SharePoint zugreift und plötzlich darauf zugreift
oder Zugriff darauf anfordert, ist es vielleicht an der Zeit, eine erneute Authentifizierung durchzuführen oder die

Sitzung zu überprüfen und sicherzustellen, dass der Zugriff für den Benutzer weiterhin berechtigt ist.

Außerdem sollten Sie das Risk dynamisch anpassen – je nach Risk

oder anhand der jeweiligen Aktivitäten dynamisch anpassen.

Nehmen wir zum Beispiel an, wir haben über, äh, unmögliche Reisen gesprochen.

Nehmen wir zum Beispiel an, jemand beginnt in seiner Sitzung um 2
Uhr morgens, riskante Aktionen durchzuführen,

morgens, obwohl seine normale Arbeitszeit von neun bis fünf ist.

Nun, dann sollten Sie sicherstellen, dass die Sitzung dieser Person nicht gekapert wurde oder
ihr Token nicht gestohlen und an anderer Stelle von jemandem im Ausland oder jemandem

, der versucht, in Ihrem Netzwerk Schaden anzurichten, an anderer Stelle verwendet wird.

Sie müssen über eine Methode oder einen Weg verfügen, kompromittierte Sitzungen
sofort zu erkennen und zu unterbrechen, sobald Sie feststellen, dass ein Risk besteht oder dass

böswillige Akteure beteiligt sind.

Okay, nachdem wir nun die Strategie geklärt haben, lassen Sie uns über einige praktische Maßnahmen
sprechen, die Sie in Ihrem Unternehmen sofort umsetzen können, um Zero Trust für Ihre IAM-Systeme einzuführen.

Ich weiß, dass diese nicht auf jedes einzelne Unternehmen zutreffen werden.

Ich habe versucht, den Ansatz allgemein und praxisnah zu gestalten.

Aber dies sind einige Punkte, über die Sie nachdenken können, und ich hoffe, sie geben Ihnen Anregungen, wie
Sie in Ihrem Unternehmen erfolgreich sein und einige der Zero-Trust-Richtlinien in Ihrem

Unternehmen umsetzen können.

In den ersten 30 Tagen sollten Sie sich meiner Meinung nach vor allem darauf konzentrieren, die MFA
überall durchzusetzen.

Wenn Sie derzeit noch keine MFA haben, ist das eine wirklich schnell umsetzbare Maßnahme.

Wenn Sie ein MFA-System in Ihrem Unternehmen einführen können – also ein System, das Benutzer zur Eingabe eines
Codes auffordert – oder wenn Sie bereits überall MFA einsetzen, ist das vielleicht ein Anstoß dafür,

dass Sie vielleicht auf eine Phishing-resistente MFA umsteigen möchten, beispielsweise nach dem FIDO2-Standard oder etwas
in dieser Richtung.

Das ist ebenfalls eine hervorragende Maßnahme,
die sich in Ihrem Unternehmen leicht umsetzen lässt und Ihre Konten deutlich sicherer macht.

Beginnen Sie außerdem damit, Ihre Identitätssilos zu erfassen.

Stellen Sie fest, wo sich alle Ihre Identitäten befinden, auf welchen „Inseln“ sie angesiedelt sind, wo
Ihre Cloud-Anwendungen laufen, welche Cloud-Plattformen Sie nutzen und welche Identitätssilos sich

darin befinden.

Versuchen Sie herauszufinden, wo sich alles befindet, und führen Sie eine sehr gründliche Bestandsaufnahme durch.

Anschließend sollten Sie Ihre Administratorkonten und Ihre Dienstkonten absichern.

Das ist etwas, das Sie vom ersten Tag an tun können.

Machen Sie sie sicherer, ganz gleich, wie Sie das tun – selbst wenn es sich nur um minimale Maßnahmen handelt.

Beginnen Sie mit kleinen, schrittweisen Maßnahmen, um diese Administratorkonten sicherer zu machen, und lassen
Sie nicht zu, dass jemand dauerhaft über die Berechtigungen verfügt, innerhalb Ihres Unternehmens beliebige Aktionen durchzuführen.

In den ersten 30 Tagen ist es wichtig, erste Erfolge zu erzielen.

Es ist wichtig zu begründen,

, warum dieses Zero-Trust-Projekt wichtig ist.

Arbeiten Sie in den nächsten 90 Tagen daran, Konsistenz zu schaffen.

Beginnen Sie mit Ihrem Plan zur Identitätskonsolidierung.

Beginnen Sie mit der Umsetzung der Identitätskonsolidierung.

Führen Sie alle Ihre Identitätsinseln zusammen und verbinden Sie Ihre Silos.

Stellen Sie sicher, dass Sie zu einer Identität pro Person gelangen.

Legen Sie fest, wie Ihr Richtlinienrahmen aussehen soll.

Auch wenn Sie noch nicht mit der Umsetzung beginnen, ist es wichtig, mit der Definition zu starten – zusammen mit Ihrem
Lebenszyklusmanagement.

Wie wird Ihr Lebenszyklusprozess aussehen?

Wie werden Benutzer in Ihr Unternehmen aufgenommen?

Wie erfolgt ihr Austritt?

Wie gehen Sie mit Mitarbeitern um, die Ihr Unternehmen verlassen?

Wie löschen Sie deren Konten?

Es ist wichtig, dies im Vorfeld zu definieren, damit Sie im Laufe der Zeit Automatisierungen implementieren
können.

Führen Sie außerdem eine Geräteüberwachung ein.

Falls Sie dies noch nicht haben, ist es wichtig, Ihre Geräte zu überprüfen und sicherzustellen, dass
sie vertrauenswürdig sind und dass die Personen, die sie nutzen,

über vertrauenswürdige Geräte verfügen, die beispielsweise mit einem Unternehmens-Image ausgestattet sind oder einem
bestimmten Unternehmensstandard entsprechen, und diese Geräte als risikobehaftet zu kennzeichnen, wenn sie

.

Richten Sie dann diese Konten für den Notfall ein.

Wir wollen nicht, dass Bob stirbt, wir wollen nicht, dass Bob das Unternehmen verlässt, und wir wollen
den Zugriff auf jenen Server in dem verstaubten Schrank nicht verlieren, zu dem nur Bob Zugang hat.

Stellen Sie also sicher, dass Sie diese Konten der Risikoklasse zügig einrichten.

Und arbeiten Sie dann langfristig auf eine höhere Reifegradstufe hin.

Erweitern Sie Ihre Konsolidierung.

Stellen Sie sicher, dass Sie zu dieser einzigen vertrauenswürdigen Datenquelle gelangen, sei es das ER-System oder eine Art
IDAS-System.

Stellen Sie auf eine fortschrittlichere Form der Authentifizierung um.

Für Sie könnte das eine passwortlose Authentifizierung auf Basis von beispielsweise FIDO2 sein.

Ich liebe Authentifizierung wirklich sehr.

Ich könnte allein darüber ganze 30 Minuten lang sprechen.

Aber die passwortlose Authentifizierung ist etwas, das Ihre Nutzer wirklich zu schätzen wissen werden und das
meiner Meinung nach Ihre Sicherheit erheblich erhöht.

Passwörter sind einfach keine sichere Methode zur Authentifizierung des Nutzers.

Stellen Sie sicher, dass Sie Ihre Verifizierung oder Ihre kontinuierliche
Überprüfung durch eine Verhaltensüberwachung ergänzen.

Ich habe es bereits erwähnt: Verhaltensweisen wie der Zugriff auf das Netzwerk um 2 Uhr morgens,

obwohl man normalerweise von 9 bis 17 Uhr arbeitet.

Das ist ein Beispiel für eine Verhaltensüberwachung, die Sie in Ihre Sitzungen integrieren können und die für mehr Sicherheit sorgt
.

Ergänzen Sie Ihre Lebenszyklus-Governance und die Steuerung

Ihren Identitätslebenszyklus.

Wenn ein Benutzer in das Unternehmen eintritt, erhält er sofort den erforderlichen Zugriff.

Und wenn er das Unternehmen verlässt, verliert er den bisherigen Zugriff vollständig, sodass
Sie sicherstellen können, dass keine verwaisten Konten bestehen und Sie Ihr

Netzwerk schützen können.

Wenden Sie Ihre Richtlinien anschließend als Code an, um eine einheitliche Durchsetzung zu gewährleisten.

Behandeln Sie Ihre Richtlinien als Code.

Richten Sie sozusagen ein Richtlinien-Repository ein.

Stellen Sie sicher, dass Sie Ihre Richtlinien von Zeit zu Zeit testen.

Stellen Sie sicher, dass Sie eine Versionskontrolle für Ihre Richtlinien haben und dass
diese wie Code behandelt und bei Änderungen ein- und ausgecheckt werden.

Ich hoffe, dass ich Ihnen damit genügend Informationen gegeben habe, um herauszufinden, wie Sie eine Zero-Trust-Richtlinie
für Ihre IAM-Systeme umsetzen und Ihr Netzwerk wirklich sicherer machen können.

Ein paar Dinge, die Sie sich aus dieser Sitzung merken sollten.

Denken Sie daran, dass es wichtig ist, Ihre Identitätshygiene zu verbessern.

Die Anzahl der Identitäten nimmt explosionsartig zu,

Identitäten im „New Perimeter“, und stellen Sie sicher, dass Sie einen Plan haben, der Verbesserungen vorsieht –
sei es durch Konsolidierung, das Aufräumen dieser Silos und dieser Identitäts-

Inseln oder einfach nur durch die einheitliche Anwendung von Richtlinien und Vorgehensweisen in Ihrem
gesamten Unternehmen.

Versuchen Sie stets, Maßnahmen zu ergreifen, die Ihnen einen Vorteil verschaffen, falls ein Angreifer
eine Ihrer Identitäten in die Hände bekommt.

Und eine Sache, die Sie aus dieser gesamten Präsentation unbedingt im Gedächtnis behalten sollten, ist, dass

Vertrauen nichts ist, was man einmalig gewährt, wenn sich der Benutzer authentifiziert.

Es ist etwas, das kontinuierlich überprüft werden sollte – anhand seiner Handlungen und
anhand dessen, was er in Ihrem Unternehmen tut.

Daher sollte dies kontinuierlich überwacht werden.

Ich hoffe, das war hilfreich für Sie.

Wenn es einige nächste Schritte gibt, die ich Ihnen empfehlen könnte, wäre
unter anderem das Anhören eines On-Demand-Podcasts.

Wir haben einen Podcast bzw. einen Webcast zum Thema „Active Directory Identity Resilience“.

Ein großartiger Webcast, den ich Ihnen wärmstens ans Herz legen möchte.

Außerdem können Sie mehr über Cyber-Resilienz erfahren und darüber, wie Commvault Sie
dabei unterstützt, indem Sie sich für einen Cyber-Resilienz-Workshop anmelden oder an einer Cyber-Resilienz-Schulung

– die entsprechenden Links finden Sie auf dem Bildschirm.

Ich möchte mich ganz herzlich für Ihre Zeit heute bedanken und danke Ihnen für Ihre
Aufmerksamkeit.

Und ich hoffe wirklich, dass Ihnen dies auf Ihrem Weg hin zu „Zero Trust“ für Ihre IM-Systeme
in Zukunft weiterhilft.

Vielen Dank für Ihre Teilnahme heute und vielen Dank, dass Sie dabei waren.