Defend
Admin-Zugriffe
Admin-Konten können alles öffnen, also sind sie die Konten, die Angreifer am meisten wollen. Admin-Rechte bekommen wenige, namentlich; die Passwörter liegen im Tresor; jede Nutzung wird protokolliert. Unsere eingeschlossen.
Wer die Schlüssel hat, kann alles öffnen.
Ein Admin-Konto öffnet nicht eine Akte, sondern alle. Es setzt jedes Passwort zurück, liest jedes Postfach und schaltet den Schutz ab. Ein Versicherer, ein Mandant oder Kunde oder ein Prüfer fragt deshalb nicht, ob Sie Admin-Konten haben, sondern wer sie hat, wie sie verwahrt werden und ob jemand ihre Nutzung bemerken würde. Unsere Antwort ist bei jedem Unternehmen dieselbe: Admin-Rechte nur für die Menschen, die sie brauchen, jeweils mit Namen; die Passwörter im Tresor, nicht in einer Excel-Tabelle; jede Nutzung protokolliert; das Admin-Konto nie für die tägliche Arbeit benutzt. Als Ihr IT-Dienstleister haben wir die mächtigsten Konten in Ihrem Unternehmen, also gilt das zuerst für unsere eigenen Zugänge. Und die Schlüssel bleiben bei Ihnen.
Was wir einrichten
Wenige, namentlich, im Tresor, protokolliert.
Admin-Zugriffe richten wir in Microsoft Entra ID und auf jedem Server nach demselben Muster ein. So gibt es kein Admin-Konto, an das sich niemand erinnert, und kein Passwort, das niemand sperren kann.
-
Admin-Rechte für wenige, namentlich
Admin-Rollen in Entra ID bekommen nur die Menschen, die sie brauchen, jeweils mit Namen. Kein gemeinsames Admin-Konto, keine Admin-Rechte „nur für den Moment“, die für immer bleiben. Die Liste prüfen wir mit Ihnen, und eine Rolle, die niemand genutzt hat, wird entzogen.
-
Ein eigenes Konto für Admin-Arbeit
Niemand macht Admin-Arbeit mit dem Konto, mit dem er Mails liest. Admin-Konten sind getrennt, bekommen die strengsten Anmelderegeln und immer einen zweiten Faktor, und werden nie für die tägliche Arbeit benutzt.
-
Passwörter im Tresor
Admin-Passwörter, lokale Admin-Konten und die Schlüssel zu Ihrer Firewall, Ihrer Domain und Ihren Backups liegen in einem Tresor, nicht in einer Excel-Tabelle. Öffnen kann ihn nur, wer ihn braucht, jedes Öffnen wird protokolliert, und ein Passwort wird gewechselt, wenn jemand geht.
-
Zuerst unsere eigenen Zugänge
Als Ihr IT-Dienstleister haben wir die mächtigsten Konten in Ihrem Unternehmen. Deshalb öffnen unsere Techniker Akten nur, wenn eine Aufgabe es verlangt, dieser Zugriff ist dokumentiert, und alle, die vertrauliche Daten sehen können, sind schriftlich zur Verschwiegenheit verpflichtet.
-
Notfallzugang, aus jeder Regel herausgehalten
Ein Notfall-Admin-Konto, das an keine einzelne Person gebunden ist, wird eingerichtet, bevor die erste Anmelderegel scharf geht: aus jeder Regel herausgehalten, im Tresor verwahrt und überwacht. So kann keine Regel Ihr Unternehmen aus dem eigenen Tenant aussperren.
-
Alte Zugänge weg, Ihre Schlüssel bleiben
Wechseln Sie zu uns, entfernen wir die Admin-Konten, delegierten Zugriffe und Agenten des bisherigen Dienstleisters, mit schriftlicher Prüfung. Ihr Tenant, Ihre Daten und die Admin-Zugänge gehören Ihrem Unternehmen: Sollten Sie uns je verlassen, nehmen Sie alles mit, samt Dokumentation.
Schriftlich festgehalten
In Ihrer Nachweismappe.
- Wer Admin-Rechte hat, jeweils mit Namen und Rolle, und seit wann
- Dass die Passwörter im Tresor liegen, und wer ihn öffnen kann
- Das Protokoll der Admin-Nutzung, für den Tag, an dem ein Prüfer fragt
- Die Zugriffe unserer eigenen Techniker, dokumentiert
- Die schriftliche Prüfung, dass der bisherige Dienstleister keinen Zugang behält
Die Frage des Versicherers und des Prüfers nach privilegierten Zugriffen bekommt eine Liste, kein Schulterzucken.
Was ohne geschützte Admin-Zugriffe schiefgeht.
-
Das Admin-Passwort in der Excel-Tabelle
Eine Datei auf der Freigabe, „Passwörter“ genannt, mit jedem Admin-Passwort darin. Wer die Freigabe öffnen kann, kann alles öffnen, und ein Ehemaliger hat vor Jahren eine Kopie mitgenommen.
-
Alle sind Admin, der Bequemlichkeit wegen
Die Admin-Rolle bekam, wer fragte, und zurückgenommen wurde sie nie. Die eine Phishing-Mail, die funktioniert, landet bei einem Admin, und der Angreifer hat die Schlüssel von der ersten Minute an.
-
Das Konto des Dienstleisters, das niemand entfernt hat
Monate nach dem Anbieterwechsel hat der bisherige Dienstleister noch ein Admin-Konto, und eine Synchronisation läuft noch unter einem seiner Logins. Alte Zugänge gehen nicht von selbst.
Ebenfalls unter Defend
- E-Mail-Sicherheit Spam, Phishing und Schadsoftware werden gefiltert, bevor eine Mail jemanden erreicht, mit Langzeitarchivierung.
- Multi-Faktor-Authentifizierung Ein zweiter Faktor für jedes Konto. Ein gestohlenes Passwort allein öffnet nichts.
- Conditional Access Wer sich anmeldet, von wo und mit welchem Gerät, bei jeder Anmeldung geprüft.
- Geräteschutz Verwalteter Schutz und Bedrohungserkennung auf jedem Laptop, jeder Workstation und jedem Server, nach einer dokumentierten Baseline.
- Patches und Schwachstellenmanagement Updates zentral ausgerollt, und die Lücken, die bleiben, gefunden und geschlossen.
- Backups und Wiederherstellungstests Gesichert, gezielt wiederhergestellt, bevor Sie es brauchen, mit Datum, so lange aufbewahrt, wie Sie müssen.
- Sicherheitsmonitoring Geräte, Anmeldungen und Systeme zentral überwacht; was das Monitoring gefunden hat, von unseren Technikern ausgewertet, und was wir geändert haben.
- Berechtigungsprüfung Wer was öffnen kann, mit Ihnen geprüft, damit Zugriffe aus dem letzten Jahr nicht still bestehen bleiben.
- Notfall und Sicherheitsvorfall Wenn jemand klickt oder ein Server eine Lösegeldforderung zeigt: jedes Mal dieselbe Reihenfolge, die im Protokoll endet.
- Die Nachweismappe Was Ihr Unternehmen schützt, so aufgeschrieben, wie es ist, bereit an dem Tag, an dem Versicherer, Mandanten oder Prüfer fragen.
- Fragebögen von Versicherern und Mandanten Die Sicherheitsfragebögen Ihres Versicherers und Ihrer Mandanten und Kunden, beantwortet mit dem, was heute stimmt, die Lücken vor der Verlängerung geschlossen.
- Anbieterwechsel ohne Hintertür Software und Zugänge des bisherigen Dienstleisters entfernt, mit schriftlicher Prüfung, dass niemand einen Zugang behält.
Häufige Fragen
Bekommen wir als Unternehmen Admin-Zugang zu unseren eigenen Systemen?
Ja. Die Admin-Zugänge, der Tenant und die Dokumentation gehören Ihrem Unternehmen; sollten Sie uns je verlassen, nehmen Sie alles mit. Wir verwalten Ihre Systeme; die Schlüssel dazu gehören nicht uns.
Wie viele Admin-Konten sollte ein Unternehmen mit 50 Mitarbeitenden haben?
So wenige, wie die Arbeit braucht, jedes mit Namen. Die Zahl zählt weniger als die Liste: wer welche Rolle hat, warum, und wann sie zuletzt geprüft wurde. Eine Rolle, die seit Monaten niemand genutzt hat, wird entzogen.
Können Ihre Techniker unsere Akten lesen?
Sie erreichen, was sie verwalten, wie bei jedem IT-Dienstleister. Akten öffnen sie nur, wenn eine Aufgabe es verlangt, dieser Zugriff ist dokumentiert, und alle, die vertrauliche Daten sehen können, sind schriftlich zur Verschwiegenheit verpflichtet.
Was passiert mit den Admin-Zugängen, wenn wir 2nd wind verlassen?
Sie bleiben bei Ihnen. Sie bekommen die Admin-Konten, den Tresor, die Dokumentation und einen Plan für den Wechsel, damit der nächste Dienstleister nicht bei null anfängt. Unsere eigenen Zugänge werden entfernt, mit schriftlicher Prüfung.
Start
Wer hat heute die Schlüssel zu Ihrem Unternehmen?
Im Erstgespräch gehen wir durch, wer in Ihrem Unternehmen Admin-Rechte hat, wo die Passwörter liegen, ob jemand ihre Nutzung sehen würde und wie die Liste schriftlich aussähe.
- Kein First Level
- Keine Überraschungen
- Erst testen, dann entscheiden