Informationssicherheit für Systemhäuser: Fernwartung und Zugriffe
Fernwartung und privilegierte Zugriffe kontrollieren
Systemhäuser benötigen für ihre Arbeit häufig weitreichende Rechte. Dadurch kann ein einzelner Zugang Auswirkungen auf mehrere Kundenumgebungen haben. Sichere Fernwartung braucht deshalb eine klare Zuordnung von Personen, Aufgaben und Berechtigungen sowie nachvollziehbare Regeln für ihren Einsatz.
Die gemeinsame Sicherheitswarnung AA22-131A von CISA und weiteren Behörden behandelt ausdrücklich Risiken für Managed Service Provider und ihre Kunden. Zu den empfohlenen Maßnahmen gehören starke Anmeldung, kontrollierte Konten, Überwachung und eine transparente Aufgabenverteilung.
Den Zugriff vom Antrag bis zum Entzug betrachten
Eine praktische Regelung beschreibt:
- wer einen administrativen Zugang beantragt und genehmigt;
- welche Kundenumgebung und welche Tätigkeit er abdeckt;
- wie die Anmeldung abgesichert und der Zugang einer Person zugeordnet wird;
- welche Aktivitäten nachvollziehbar protokolliert werden;
- wann Berechtigungen überprüft oder entfernt werden.
Gemeinsame Konten erschweren die Zuordnung einzelner Tätigkeiten. Wo sie technisch nicht vermeidbar sind, muss der Einsatz besonders nachvollziehbar und begrenzt organisiert werden.
Kundenumgebungen und Verwaltungswerkzeuge trennen
Beispiel: Ein Techniker betreut mehrere Kunden über eine zentrale Fernwartungsplattform. Seine Berechtigungen werden auf die benötigten Umgebungen begrenzt. Ein Wechsel der Zuständigkeit führt zur Anpassung seiner Rechte. Auffällige Anmeldungen oder unerwartete Verbindungsversuche werden nicht nur gespeichert, sondern einem Bearbeitungsweg zugeführt.
Die zentrale Plattform selbst ist ebenfalls schützenswert. Ihr Ausfall oder Missbrauch kann viele Kunden gleichzeitig betreffen und muss bei der Risikobewertung berücksichtigt werden.
Notfallzugriffe geordnet ermöglichen
Für dringende Eingriffe werden Befugnisse, Dokumentation und nachträgliche Kontrolle vorab geregelt. Ein ständig nutzbarer, unkontrollierter Notfallzugang unterläuft die normalen Schutzmaßnahmen. Kunden und Systemhaus sollten wissen, wer im Ereignisfall informieren, freigeben oder sperren darf.
ISMS für Systemhäuser: Einzelkontrollen zu einem System verbinden
Ein ISMS für Systemhäuser verbindet die beschriebenen Zugriffskontrollen mit Zuständigkeiten, Risikobewertung und wiederkehrender Prüfung. Dabei wird nicht nur die einzelne Kundenumgebung betrachtet. Auch zentrale Werkzeuge für Fernwartung, Verwaltung und Datensicherung können viele Kunden gleichzeitig betreffen.
Für eine praktische Stichprobe lässt sich ein konkreter Servicefall vom Auftrag bis zum Abschluss verfolgen: War der Techniker berechtigt? Lag die erforderliche Freigabe vor? Ist der Eingriff nachvollziehbar? Wurde ein zeitlich begrenzter Zugang anschließend beendet? Die Antworten zeigen, ob technische Einstellungen und organisatorischer Ablauf zusammenpassen. Ein einziger fehlerfreier Fall belegt noch nicht, dass sämtliche Kundenumgebungen gleich abgesichert sind.
ISO 27001 für Systemhäuser ergänzt diese betriebliche Perspektive um Anforderungen an das Managementsystem. Eine angestrebte Zertifizierung muss den tatsächlich vereinbarten Geltungsbereich abbilden. Sie ersetzt die hier beschriebenen Kontrollen nicht. Für laufende Managed Services sind außerdem die Grenzen der Verantwortung zwischen Anbieter und Kunde ausdrücklich zu klären.
Die Fachseite ISO 27001 für Systemhäuser erläutert die Abgrenzung des Zertifizierungsumfangs. Beim dauerhaften Betrieb mehrerer Kundenumgebungen ergänzt das ISMS für Managed Service Provider die Betrachtung zentraler Abhängigkeiten und der Zusammenarbeit im Vorfall.
Quellen und fachliche Grundlagen
- AA22-131A – Schutz von Managed Service Providern und ihren Kunden – CISA und internationale Sicherheitsbehörden
- ISO/IEC 27001:2022 – Informationssicherheitsmanagement – ISO
- BSI-Standard 200-1 – Managementsysteme für Informationssicherheit – Bundesamt für Sicherheit in der Informationstechnik