Passwortschutz und Identity Management: Schützen was man hat!

In der 4. Episode "Schützen was man hat! Was hat man denn? - Sicherheit von Identitäten" unseres Podcasts „Die Datenpragmaten“ geht es unseren beiden Security-Experten Nico Schunter und Henning Dey ganz um das Thema Passwortschutz und Identity Management und die dahinter stehende Frage, wie man sicher mit seinen digitalen Identitäten umgeht. 

Jetzt in den Podcast, z.B. auf YouTube reinhören oder hier in unserem Blog weiterlesen. 

Henning Dey: Hallo, Nico!

Nico Schunter: Hallo, Henning! Und „Hallo“ an alle Zuhörer unseres Podcasts bzw. Leser unseres Blogs! Herzlich Willkommen zu einer neuen Folge der "Datenpragmaten". Wir haben heute wieder ein ganz spannendes Thema für euch mitgebracht, nämlich das Thema „Identity Protection / Identity Management“. Es dreht sich also alles um die Frage, wie um die Sicherheit Eurer digitalen Identitäten steht.  

Was sind denn Identitäten in der IT und warum sind sie wichtig, Henning? 

Henning Dey: Eine Identität in der IT repräsentiert einen Benutzer oder einen digitalen Service, der Zugang zu bestimmten Ressourcen hat. Es ist wie ein digitaler Ausweis, der sicherstellt, dass eine Person oder ein Service eindeutig identifiziert werden kann. Identitäten sind das Herzstück der IT-Security, da sie den Zugang zu Systemen und Daten kontrollieren. Ohne eine sichere und eindeutige Identifikation könnten Benutzer oder Dienste unbefugt auf vertrauliche Informationen zugreifen, was zu erheblichen Sicherheitsrisiken führen könnte. 

Nico Schunter: Genau. Zum Schutz der Identität gehören ja zum Beispiel auch gute Passwörter. Was macht denn ein gutes Passwort aus? 

Henning Dey: Ein gutes Passwort sollte komplex genug und lang genug sein. Es muss nicht alle paar Wochen geändert werden, aber es sollte aus verschiedenen Begriffen bestehen und diese Begriffe sollten so editiert werden, dass z.B. eine Eins für einen Buchstaben steht. Ein Beispiel könnte „SicherheitvonIdentität2024$“ sein. Zusätzlich sollte es so gestaltet sein, dass es für den Benutzer leicht zu merken, aber schwer zu erraten ist. Idealerweise verwendet man eine Kombination aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen, um die Sicherheit zu erhöhen. 

Henning Dey: Aber Nico, was ist denn eigentlich digitales Identitätsmanagement und warum ist es wichtig? 

Nico Schunter: Digitales Identitätsmanagement beinhaltet die Verwaltung von Identitäten, Benutzerkonten und Zugriffsrechten. Es stellt sicher, dass Benutzer und deren Zugriffe sicher verwaltet werden, sowohl für interne Mitarbeiter als auch für externe Kunden. Dies ist entscheidend, um Sicherheitsrisiken zu minimieren und den Zugang zu sensiblen Daten zu kontrollieren. Ein effektives Identitätsmanagementsystem hilft Unternehmen, Compliance-Anforderungen zu erfüllen, Sicherheitsvorfälle zu reduzieren und den operativen Aufwand für die Verwaltung von Benutzerzugriffen zu verringern. Wir bieten unseren Kunden hierzu z.B. Lösungen unseres Partners Okta an. 

Welche Herausforderungen siehst du für Unternehmen im Bereich der digitalen Identitäten bzw. des Identity Managements, Henning? 

Henning Dey: Eine große Herausforderung ist die Verwaltung von externen Benutzeridentitäten und die zentrale Verwaltung dieser Identitäten. Unternehmen müssen sicherstellen, dass sie die Identitäten ihrer Kunden genauso sicher verwalten wie die ihrer Mitarbeiter. Dies erfordert oft komplexe Systeme und Prozesse, um sicherzustellen, dass nur autorisierte Personen Zugang haben. Zudem müssen Unternehmen in der Lage sein, schnell auf Sicherheitsvorfälle zu reagieren und sicherzustellen, dass veraltete oder ungenutzte Benutzerkonten zeitnah deaktiviert werden. 

Nico Schunter: Was sind Best Practices, um Identitäten besser zu schützen und z.B. seinen Passwortschutz zu erhöhen? 

Henning Dey: Neben der Implementierung von Passwortrichtlinien ist es wichtig, regelmäßige Sicherheitstrainings anzubieten, um die Mitarbeiter über mögliche Gefahren aufzuklären. Auch die Überwachung von Anmeldeversuchen aus ungewöhnlichen Orten kann helfen, Identitätsdiebstahl zu erkennen. Zudem sollten Unternehmen moderne Technologien wie Multifaktor-Authentifizierung (MFA) einsetzen, um zusätzliche Sicherheitsschichten zu schaffen. Eine weitere Best Practice ist die regelmäßige Überprüfung und Aktualisierung der Zugriffsrechte, um sicherzustellen, dass Benutzer nur auf die Daten zugreifen können, die sie tatsächlich benötigen. 

 On demand Webinar

Schützen Sie Ihre Identitäten während des gesamten Lebenszyklus

Gewährleisten Sie die Sicherheit Ihrer Benutzer:innen mit einem ganzheitlichen Ansatz, der bei der Prüfung und Validierung Ihrer Umgebung beginnt, über die Implementierung von Sicherheitsmaßnahmen reicht und bis hin zu weitreichenden Analysemöglichkeiten führt.

Webinar ansehen→  

Nico Schunter: Wie kann man sich denn eigentlich gegen Phishing-Attacken schützen? 

Henning Dey: Man sollte immer prüfen, ob die URL zu dem Anbieter gehört und skeptisch sein, wenn man unerwartete E-Mails oder Nachrichten erhält. Ein gesundes Misstrauen und das Vermeiden von Eingaben persönlicher Daten auf unbekannten Webseiten sind wichtige Maßnahmen. Es ist auch ratsam, Sicherheitssoftware zu verwenden, die verdächtige Aktivitäten erkennt und blockiert. Darüber hinaus kann es hilfreich sein, verdächtige E-Mails oder Nachrichten an die IT-Abteilung weiterzuleiten, damit diese überprüft und entsprechende Maßnahmen ergriffen werden können. Gerade was E-Mail-Sicherheit betrifft empfehlen wir Kunden gern unseren Partner Proofpoint, um z.B. gefälschte E-Mails unmittelbar zu erkennen und Diebstahl vertraulicher Informationen zu verhindern. 

Nico Schunter: Was zum Thema Identity-Management auch immer genannt wird, ist MFA. Welche Methoden gibt es, Multifaktor-Authentifizierung zu umgehen? 

Henning Dey: Phishing kombiniert mit Social Engineering kann genutzt werden, um Benutzer dazu zu bringen, ihre MFA-Codes einzugeben. Ein Man-in-the-Middle-Angriff kann ebenfalls MFA umgehen, indem er die Daten in Echtzeit abfängt und weiterleitet. Diese Angriffe zeigen, dass MFA zwar eine starke Sicherheitsmaßnahme ist, aber nicht unfehlbar und immer in Kombination mit anderen Sicherheitsmaßnahmen verwendet werden sollte. Unternehmen sollten zusätzliche Schutzmechanismen wie Verhaltensanalysen und Anomalie-Erkennung implementieren, um verdächtige Aktivitäten frühzeitig zu erkennen. 

Nico Schunter: Welche Rolle spielt Social Engineering bei Sicherheitsvorfällen? 

Henning Dey: Social Engineering nutzt psychologische Manipulation, um Menschen dazu zu bringen, vertrauliche Informationen preiszugeben. Es ist eine der häufigsten Ursachen für Sicherheitsvorfälle, da es die menschliche Komponente ausnutzt. Angreifer nutzen oft die Gutgläubigkeit oder den Stress der Opfer, um Zugang zu sensiblen Daten zu erhalten. Schulungen und Sensibilisierungsmaßnahmen für Mitarbeiter sind daher essenziell, um das Bewusstsein für diese Art von Bedrohungen zu schärfen und die Erkennungsfähigkeiten zu verbessern. 

In dem Kontext der Folge habe ich den Begriff Sim-Swapping gehört. Was ist das und wie kann man sich dagegen schützen, Nico? 

Nico Schunter: Sim-Swapping ist eine Methode, bei der Angreifer eine neue SIM-Karte auf den Namen des Opfers bestellen, um SMS-TANs abzufangen. Sichere Identitätsfragen und das Bewusstsein für solche Angriffe können helfen, diese zu verhindern. Es ist auch wichtig, den Mobilfunkanbieter darüber zu informieren, dass solche Anfragen nur nach strenger Verifizierung bearbeitet werden sollen. Zusätzlich sollten Benutzer ihre Mobilfunkanbieter bitten, eine zusätzliche Sicherheits-PIN für ihre Konten einzurichten, um unautorisierte Änderungen zu verhindern. 

Ein weiteres Interessantes Thema sind die Geräte bzw. die Hardware selbst. Was sind denn die Risiken bei der Nutzung privater Geräte für geschäftliche Zwecke, Henning? 

Henning Dey: Private Geräte können Schadsoftware enthalten, die Unternehmensdaten gefährden. Unternehmen sollten sicherstellen, dass nur kontrollierte Geräte Zugang zu ihren Ressourcen haben. Dies kann durch die Implementierung von Mobile Device Management (MDM) Systemen erreicht werden, die die Sicherheit und Compliance der Geräte sicherstellen. Außerdem sollten klare Richtlinien und Schulungen für Mitarbeiter bereitgestellt werden, um das Bewusstsein für die Risiken der Nutzung privater Geräte zu schärfen. 

Wie wichtig findest du, ist das Bewusstsein für Sicherheit im privaten Bereich, Nico? 

Nico Schunter: Sehr wichtig, da Identitätsdiebstahl auch im privaten Bereich große Schäden verursachen kann. Das Nutzen eines Passwort-Safes und das Bewusstsein für mögliche Gefahren können helfen, private Daten zu schützen. Es ist auch sinnvoll, regelmäßig die eigenen Konten und deren Sicherheitseinstellungen zu überprüfen. Darüber hinaus sollten Personen darauf achten, ihre persönlichen Daten nur auf vertrauenswürdigen Webseiten einzugeben und regelmäßig Sicherheitsupdates für ihre Geräte und Anwendungen zu installieren. 

Henning Dey: Und was können Unternehmen dahingegen tun, um die Sicherheit ihrer digitalen Identitäten zu verbessern? 

Nico Schunter: Unternehmen sollten sicherstellen, dass ihre Passwortrichtlinien stark sind, regelmäßige Sicherheitstrainings durchführen und moderne Technologien wie MFA einsetzen, um die Sicherheit zu erhöhen. Zusätzlich sollten sie Systeme zur Überwachung und Erkennung von verdächtigen Aktivitäten implementieren, um schnell auf mögliche Bedrohungen reagieren zu können. Eine kontinuierliche Bewertung und Verbesserung der Sicherheitsstrategien ist ebenfalls wichtig, um mit den sich ständig weiterentwickelnden Bedrohungen Schritt zu halten. 

Henning Dey: Danke, Nico. Und damit sind wir wieder am Ende der Folge angelangt. Das war heute wieder ein sehr spannendes Thema. 

Nico Schunter: Ja, durchaus sehr spannend. Danke auch dir, Henning, und an alle da draußen sage ich: Bis zum nächsten Mal bei “die Datenpragmaten” und wie du jetzt sagen würdest, Henning: Bleibt sicher! 

Fazit

Digitale Identitäten sind das Herzstück der IT-Sicherheit – und der Schutz dieser Identitäten muss für Unternehmen oberste Priorität haben! Hacker nutzen immer raffiniertere Methoden wie Phishing, Social Engineering und SIM-Swapping, um Zugang zu sensiblen Daten zu erhalten. Doch Unternehmen und Privatpersonen können sich schützen: Starke Passwortrichtlinien, Multifaktor-Authentifizierung und regelmäßige Sicherheitsupdates sind essenziell.

Sicherheitsbewusstsein ist keine einmalige Maßnahme, sondern ein kontinuierlicher Prozess. Schulungen, Überwachungssysteme und ein durchdachtes Identitätsmanagement sind der Schlüssel, um Angriffe zu verhindern. Warten Sie nicht, bis es zu spät ist – handeln Sie jetzt und machen Sie Ihre digitalen Identitäten unangreifbar!

Jetzt mehr erfahren und Termin vereinbaren →

Begriffe und Bedeutungen 

Digitale Identität – Eine eindeutige Zuordnung einer Person oder eines digitalen Services zu bestimmten IT-Ressourcen. 

Identitätsmanagement – Verwaltung von Benutzerkonten, Identitäten und Zugriffsrechten zur Sicherstellung der IT-Sicherheit.

Multifaktor-Authentifizierung (MFA) – Sicherheitsverfahren, das mehrere Faktoren zur Identitätsbestätigung erfordert, z. B. Passwort und Einmalcode.

Phishing – Betrugsversuche, bei denen Angreifer sich als vertrauenswürdige Institutionen ausgeben, um sensible Daten zu stehlen.

Man-in-the-Middle-Angriff – Ein Cyberangriff, bei dem ein Angreifer die Kommunikation zwischen zwei Parteien abfängt und manipuliert.

Social Engineering – Methode, bei der Angreifer psychologische Manipulation nutzen, um Personen zur Preisgabe vertraulicher Informationen zu bewegen.

Sim-Swapping – Angriffstechnik, bei der Betrüger die Kontrolle über eine Telefonnummer übernehmen, um SMS-TANs und andere Sicherheitscodes abzufangen. 

Mobile Device Management (MDM) – Technologie zur Verwaltung und Sicherung von mobilen Endgeräten innerhalb eines Unternehmensnetzwerks.

E-Mail-Sicherheit – Technische und organisatorische Maßnahmen zur Abwehr von Bedrohungen wie Phishing, Spam und Malware per E-Mail.