Zwei-Faktor-Authentifizierung für externe Zugänge
Ein Zugang von außen soll einfach funktionieren.
Das ist verständlich. Wenn jemand unterwegs ist, im Homeoffice arbeitet oder der Dienstleister helfen muss, soll der Zugang nicht im Weg stehen. Die Zwei-Faktor-Authentifizierung wirkt dann wie eine zusätzliche Hürde. Wieder ein Schritt, der Zeit kostet, obwohl die Arbeit längst wartet.
Auch der Admin oder IT-Dienstleister hat einen guten Grund, den Zugang einfach zu halten: Er will helfen, wenn etwas klemmt. Mitarbeitende wollen ohne Umweg an ihre Aufgabe. Die Geschäftsführung will, dass Aufträge, Termine und Kunden nicht warten. Niemand handelt leichtfertig. Gerade deshalb kann ein Zugang entstehen, den jeder einzeln für sinnvoll hält und den niemand als Ganzes betrachtet.
Eine offene Frage nach elf Tagen
Der Fall der Südwestfalen-IT zeigt, warum diese Gesamtansicht wichtig ist. In der Nacht vom 29. auf den 30. Oktober 2023 wurden dort erste verschlüsselte Dateien bemerkt. Laut Berichten über den Forensikbericht gab es bereits ab dem 18. Oktober erste Anmeldeversuche am VPN, rund elf Tage davor.
Die Südwestfalen-IT erklärte später, die Angreifer hätten über eine softwarebasierte VPN-Lösung mit einer Schwachstelle Zugang zum internen Netzwerk erlangt. Diese Lösung verlangte keine Multifaktor-Authentifizierung. Wie die benötigten Zugangsdaten abgegriffen wurden, konnte nach Angaben der Südwestfalen-IT nicht abschließend geklärt werden.
Das ist keine Geschichte, in der man bequem auf einen Fehler zeigen kann. Bei diesem Zugang fehlte die Multifaktor-Authentifizierung. Betroffen waren 72 Verbandskommunen und eine IT-Infrastruktur für über 22.000 Arbeitsplätze sowie 160 Fachverfahren.
Der ehrliche Einwand lautet: Firewall und Virenschutz sind nötig. Sie nehmen einem aber nicht die Entscheidung ab, wie ein Zugang von außen geschützt wird. Sicherheit fängt im Kopf an. Dort, wo Geschäftsführung, IT und Tagesgeschäft gemeinsam festlegen, welcher Zugang welchen Schutz braucht.
Zwei-Faktor-Authentifizierung gemeinsam prüfen
Ich würde nicht mit einer langen Liste anfangen. Ich würde einen Zugang auswählen, der von außen erreichbar ist. Die Frage lautet: Reicht dort wirklich ein Passwort, oder braucht es einen zweiten Faktor? Danach wird festgelegt, wer den Zugang nutzt, wer ihn betreut und was passiert, wenn der zweite Faktor einmal nicht funktioniert.
Das ist keine Aufgabe für die IT allein. Die Geschäftsführung entscheidet, welchen Aufwand der Betrieb für einen sicheren Zugang trägt. Der Admin oder Dienstleister kennt die Technik und die Folgen im Alltag. Die Mitarbeitenden können sagen, an welcher Stelle der Weg sie tatsächlich aufhält. Erst aus diesen drei Sichtweisen wird eine Regel, die im Alltag bestehen kann.
Ein erster Schritt für diese Woche
Nehmen Sie sich mit der Geschäftsführung und dem Admin oder IT-Dienstleister 30 Minuten Zeit. Thema: Zugänge von außen. Bereich: der Zugang, über den Mitarbeitende oder Dienstleister in die IT kommen. Verantwortlich ist eine Person aus der Geschäftsführung. Der nächste Schritt: Für jeden solchen Zugang aufschreiben, ob ein zweiter Faktor verlangt wird und wer die Antwort prüft.
Damit lösen Sie noch nicht jedes Sicherheitsproblem. Sie machen aber eine Stelle sichtbar, die im Alltag leicht als Komfortfrage durchgeht. Vorsorge beginnt dort, wo jemand die Frage stellt, bevor etwas passiert.
Sie möchten diese Frage einmal für Ihren Betrieb klären? Dann sprechen wir zwanzig Minuten darüber. Ohne Vorbereitung. Die Frage reicht als Anfang. Ich höre mir an, was bei Ihnen daran hängt, und schaue mit Ihnen auf den ersten Schritt.
Quellen
Michael Höner ist IT-Architekt und strategischer Sparringspartner für den Mittelstand. Er berät Unternehmen in NRW und bundesweit zu IT-Sicherheit, KI-Verantwortung und digitaler Architektur, ohne Produktprovisionen und ohne Implementierungsmandat.
Beitragsbild: KI-generiertes Bild.
Klingt nach etwas, das Sie auch betrifft? Reden wir darüber.
20 Minuten Erstgespräch. Kostenfrei, ohne Vorvertrag. Ich melde mich binnen 1–2 Werktagen.
