NIS2 und privilegierte Zugänge: Was der Auditor von Ihnen sehen will

Bei einem Konformitätsaudit bringt eine einfache Frage eine Organisation oft in Verlegenheit: „Wer hat sich letzten Dienstag mit dem Administratorkonto des Produktionsservers angemeldet, und was hat er getan?“ Wenn darauf Schweigen folgt, ist das Problem nicht nur technischer Natur. Es wird zu einer Konformitätsabweichung.

Ein Szenario, dem wir regelmäßig begegnen

Nehmen wir eine mittelgroße Organisation, die seit Inkrafttreten des belgischen Gesetzes vom 26. April 2024 unter NIS2 fällt. Ihre IT ist dem Anschein nach in gutem Zustand: aktuelle Firewall, ausgerollter Virenschutz, getestete Backups. Dennoch zeigt die Prüfung der privilegierten Zugänge ein klassisches Bild.

Das „admin“-Konto der Domäne teilen sich drei interne Techniker. Das Passwort einer Industrieanlage wurde seit ihrer Installation nicht geändert. Zwei Wartungsdienstleister verbinden sich per VPN mit Zugangsdaten, die vor mehreren Jahren per E-Mail übermittelt wurden, einer davon für einen bereits beendeten Vertrag. Und keine Aufzeichnung gibt Aufschluss darüber, was während dieser Verbindungen getan wurde.

Nichts davon ist spektakuläre Nachlässigkeit. Es ist die gewöhnliche Anhäufung praktischer Entscheidungen, die im Laufe der Zeit getroffen wurden. Aus Sicht eines Auditors ist jedoch jedes dieser Elemente eine Feststellung.

Was der Text vorschreibt

Die NIS2-Richtlinie schreibt in Artikel 21 Absatz 2 einen Grundstock an Risikomanagementmaßnahmen vor. Mehrere davon betreffen unmittelbar die privilegierten Zugänge: Konzepte für die Zugriffskontrolle und das Management von Anlagen (Buchstabe i), der Einsatz der Multi-Faktor-Authentifizierung (Buchstabe j), die Sicherheit der Lieferkette einschließlich der Beziehungen zu Dienstleistern (Buchstabe d) und die Bewältigung von Sicherheitsvorfällen (Buchstabe b), die voraussetzt, dass sich das Geschehene rekonstruieren lässt.

In Belgien übersetzt das CyberFundamentals-Framework (CyFun) des Zentrums für Cybersicherheit Belgien diese Anforderungen in konkrete Maßnahmen, mit denen die Organisation nachweisen kann, dass sie geeignete und verhältnismäßige Maßnahmen ergriffen hat. Die Norm ISO/IEC 27001:2022 deckt dieselben Themen ab, insbesondere mit ihren Maßnahmen zu privilegierten Zugriffsrechten und zur Protokollierung.

Was der Auditor sehen will

Ein Auditor gibt sich nicht mit einer schriftlichen Richtlinie zufrieden. Er verlangt überprüfbare Nachweise. In der Praxis kehren fast immer fünf Nachweise wieder:

ein Inventar der privilegierten Konten, jeweils mit einer namentlich benannten verantwortlichen Person;
der Nachweis, dass MFA für diese Konten durchgesetzt wird, und nicht nur für das E-Mail-Postfach aktiviert ist;
eine Spur der Administrationssitzungen: wer, auf welchem System, wann und idealerweise was getan wurde;
ein Prozess für Dienstleister: zeitlich begrenzter Zugang, bei Vertragsende widerrufen, ohne geteiltes Passwort;
eine regelmäßige Überprüfung dieser Rechte, datiert und dokumentiert.

Am häufigsten fehlt der dritte Punkt. Systemprotokolle zeigen manchmal, dass eine Verbindung stattgefunden hat, selten aber, was danach geschah. Genau diese Information fehlt jedoch an dem Tag, an dem ein Sicherheitsvorfall analysiert werden muss.

Der Bastion-Host als strukturierende Antwort

Um diese Lücken konsistent zu schließen, besteht die wirksamste Lösung darin, alle Administrationszugänge über einen einzigen Kontrollpunkt zu leiten: einen Bastion-Host für privilegierte Zugänge, auch PAM genannt. Die Nutzer authentifizieren sich dort mit einem zweiten Faktor, greifen nur auf die für ihre Rolle freigegebenen Systeme zu, und jede Sitzung wird aufgezeichnet.

Wegen der Lizenzkosten waren solche Werkzeuge lange großen Organisationen vorbehalten. Open-Source-Lösungen wie Vauban ändern das: Der Code ist prüfbar, das Werkzeug läuft auf der Infrastruktur der Organisation, und das Budget fließt in die Einführung statt in Lizenzen.

Das Werkzeug allein genügt nicht. Zunächst muss man wissen, welche Konten zu schützen sind, festlegen, wer worauf zugreifen darf, und dann die Überprüfung der Rechte organisieren. Ist es aber einmal eingerichtet, liefert es auf einen Schlag mehrere Nachweise, die der Auditor erwartet.

Fazit

Privilegierte Zugänge bündeln das Risiko: Sie sind es, die ein Angreifer zu erlangen sucht, und sie sind es, die ein Auditor zuerst prüft. Vor einem NIS2- oder CyFun-Audit lautet die sinnvolle Frage nicht „Haben wir eine Zugriffsrichtlinie?“, sondern „Können wir mit Belegen zeigen, wer auf unsere kritischen Systeme zugegriffen und was er dort getan hat?“.

Cyber Praxis führt CyFun-Audits durch und begleitet die Einführung dieser Kontrollen, von der Bestandsaufnahme der Zugänge bis zum Bastion-Host.